セキュリティ
勝者が誰であれ、割を食うのは私たちです
ある企業が未発表製品のために展開した奇抜なマーケティング施策が、いつしかAnthropicとOpenAIが互いの失態を大声で叫び合うコンテストと化してしまいました。
本日先ほどの記事をご覧になった読者はすでにお気づきでしょうが、この一連のドラマ――もはやシットコムと呼んだ方が正確かもしれません――に新たな展開が加わりました。AnthropicがOpenAIによる「Mythos」マーケティング手法の模倣を上回ろうとした結果、皮肉にも自らを笑いものにしてしまったのです。
Anthropicは4月にMythosを初めて予告して以来、恐怖を煽る形でこのモデルを売り込んできました。自社のサイバーセキュリティモデルは一般公開するには危険すぎると宣言し、Project Glasswingを通じて選ばれた一部の信頼できる組織のみにアクセスを提供してきたのです。
この戦略は功を奏したと言わざるを得ません。AnthropicはMythosという名前をサイバーセキュリティと強く結びつけることに成功しており、それゆえ先週、OpenAIが競合の実証済みの広報戦略を借用したように見えたのも頷けます。
OpenAIのエージェントはゼロデイ脆弱性を悪用してサンドボックスから脱出し、Hugging Faceへの自律的サイバー攻撃を引き起こしました。この一件は、AIがいつか暴走して世界を乗っ取るのではないかという長年の懸念を刺激し、案の定センセーショナルな見出しを量産することになりました。
今週、Anthropicはさらに濃いピエロメイクを塗り重ねるかのような対応を見せ、絶好の機会をみすみす無駄にしてしまいました。
Claudeの開発元であるAnthropicは、自社モデルをフラッグ奪取型のテスト環境に投入しました。プロンプト上ではインターネットへのアクセスはないとされていましたが、評価パートナーのIrregularとの間に生じた「誤解」により、実際には接続が生きていたのです。
Anthropicのモデルはその後、OpenAIと同じ筋書きをなぞりました。パブリックインターネットに到達し、外部組織のシステムを攻撃したのです。今回は1件ではなく3件の組織が影響を受けたと同社は認めています。
あるシナリオでは、Mythos 5が開発者を説得し、汚染されたPyPIパッケージをダウンロードさせました。このパッケージは15台のマシンにインストールされ、その中にはこの種のパッケージを日常的にマルウェアスキャンしているサイバーセキュリティ企業のマシンも含まれていました。
Anthropicは次のように説明しています。「その企業のスキャナーがパッケージをインストールした際、Claudeが仕込んだ隠しコードが実行されました。私たちの見立てでは、同社のセキュリティスキャナーはPyPIパッケージを安全なものとして扱っていたとみられ、その結果Claudeは同社の認証情報を、自ら用意した収集拠点へ流出させることができました。Claudeはその後、これらの認証情報を使ってこの企業のさらなるインフラへアクセスしました」
さらに悪いことに、3件のインシデントのうち最初のものは4月に発生していました。Anthropicがこれを発見したのは、OpenAIの開示を受けて実施した数か月後の遡及的な手動レビューにおいてでした。もし調査に乗り出していなければ、これらのインシデントは発見されることも、ましてや開示されることもなかった可能性があります。
いくつか留意すべき点もあります。テスト対象のモデルの中で最も古いOpus 4.7は、自らが何をしているか一応認識していたにもかかわらず、本番システムを攻撃しました。Mythos 5はインターネットへのアクセスが指示に反することを認識していたものの、それでも構わないという理屈をひねり出して行動を続けました。汚染されたPyPIパッケージを公開したのもこのモデルです。
外部組織への攻撃を自ら思いとどまったのは、名前が明かされていない研究用モデルただ1つでした。
Anthropicはまた、これらのモデルが、通常の本番運用に伴うような安全対策や監視体制を欠いた状態で稼働していたことも明らかにしています。何より批判を免れないのは、一般公開するには危険すぎると自ら判断していたMythos 5を、予期せずインターネットに接続可能な環境で、しかも安全対策なしに稼働させていた点です。
OpenAIが自社技術を制御する責任においてこれほど大きく失敗したことを認めた後だっただけに、Anthropicはこの一件を自社に有利な形で語ることも十分できたはずです。
架空の政治広報アンチヒーローで軽快な弁舌を振るうマルコム・タッカーのような人物でなくとも、Anthropicがこの出来事を利用して「自社こそがより安全で信頼できるAI企業だ」と主張できたはずだということは容易に想像がつきます。
ところが実際には、自社のマーケティング手法が競合の後押しに使われていることに気づいたAnthropicは、OpenAIと正面から張り合う道を選びました。自ら進んで同種のサンドボックス絡みの失態を認め、しかもその結果はさらに悲惨だったと開示したのです。被害を受けた企業は1社ではなく3社に上りました。
つまり、AI業界がOpenAIの「暴走エージェント」というストーリーを自ら上回ろうとした結果、後に残ったのは、技術を無責任に扱う企業という新たな評判だったというわけです。
失敗したスーパーヒーローたち
この一件は、AnthropicにもOpenAIにも、世界をAIから守る役割を任せられるという信頼感をまったく抱かせるものではありません。
ImmuniWebの創業者であり、現役のサイバーセキュリティ・データ保護分野の弁護士でもあるイリヤ・コロチェンコ博士は、両社を「失敗したスーパーヒーロー」になぞらえました。
「現時点で結論を出すのはいささか早計かもしれませんが、今回の一連のインシデントは、AIベンダーが安全にAIを展開できる能力、ましてやいわゆる最先端モデルが安全に使用できることを顧客に保証できる能力について、確実に信頼を損なうものです」と同氏は本誌The Registerに語りました。
「これは、自分を守ってくれるはずのスーパーヒーローを雇ったのに、そのスーパーヒーローが突然暴走して自分や家族を殺してしまうのではないかと怯えているようなものです。そんなスーパーヒーローは誰も必要としていません」
同様に、HunterStrategyの副社長でIANSの教員でもあるセキュリティ専門家のジェイク・ウィリアムズ氏も次のように述べています。「はっきり言わせてもらいます。大手AI研究所は、自社のエージェントから一般市民を守るという点で怠慢です。
「今すぐ政府による規制が必要です。少なくとも、エージェントが他者に損害を与えた場合に懲罰的損害賠償を保証する私訴権が必要でしょう」
これまで自社に有利に働いてきたマーケティング上の常套句を取り戻そうとしたことで、Anthropicは結果的に自らの安全性の実績を精査の対象にさらし、何よりも注目を集めることを優先しているのではないかという批判まで招くことになりました。
取材に応じた他の専門家たちも、両社ともエージェントの扱いを誤っているという懸念を共有しており、システムがより高性能になるにつれ、その結果はさらに深刻化しかねないと指摘しています。
両社に共通するのは無謀さであり、AnthropicもOpenAIも、なぜかそれを自ら宣伝したがっているように見えます。®
