AIが標的の実在性を認識できないとき

1週間前、私はOpenAIのテストエージェントがサンドボックスを脱出し、Hugging Faceの本番インフラにアクセスした件について書きました。あの時の私の主張は、これは攻撃者の物語というよりも封じ込めの物語であり、この30年間私たちが頼ってきたサイバーセキュリティの基本原則が今もなお結果を左右するというものでした。昨日、Anthropicが同じ問題について自社版の報告を公表しましたが、そこから得られる教訓は変わりません。

OpenAIの開示を受けて、Anthropicはモデルが理論上インターネットに到達し得た141,006件の評価実行を遡って調査しました。その結果、Claudeがテスト環境の想定境界を越え、3つの異なる組織の実際の本番システムを侵害していた事例が3件見つかりました。最も早い侵害は2026年4月に発生していました。Anthropicは自社の実行ログを読み返すことでこの活動を発見し、被害を受けた組織に連絡を取りました。

Hugging Faceの侵入事案との大きな違いは、Anthropicがこの活動を自社監査によって発見し、情報を開示した点です。これは責任ある対応であり、信頼を得るに値しますが、開示までの時間軸には改善の余地が残ります。

同じ封じ込めの物語、より多くの証拠とともに

OpenAIのエージェントがゼロデイ脆弱性を悪用してサンドボックスを脱出したケースとは異なり、Anthropicの事例は伝達不足と設定ミスに起因していました。Claudeに与えられたのはキャプチャー・ザ・フラグ形式の課題でした。架空のシナリオの中で、別のマシンから秘密の情報を取得するというもので、手法は指定されていませんでした。プロンプトにはインターネットアクセスがないと記載されていましたが、実際には設定ミスによりアクセス可能な状態でした。モデルがフラグを探す過程でオープンなインターネットにたどり着いた際、そこで見つけた実在のシステムを演習の一部だと解釈し、攻撃を仕掛けてしまいました。

これらの攻撃で悪用されたのは、脆弱なパスワード、未認証のエンドポイント、露出したデバッグページ、使い回された認証情報といったありふれた欠陥でした。ある事例では、モデルはアプリケーションおよびインフラの認証情報を抽出し、数百行分の本番データを保持するデータベースにまで到達しています。目新しい脆弱性やゼロデイは使われていません。前回の投稿での指摘を改めて繰り返すなら、接続の相手がAIエージェントであろうと人間であろうと、戦術・技術・手順(TTP)に違いはありません。一方を止める対策は、もう一方も止めます。

Anthropicも同じ結論に達しており、「強力な自律的能力を伴う評価環境にも、相応の統制が必要であり…(モデルが)動作する他のあらゆるシステムと同水準のセキュリティ基準を適用する必要性が増している」と述べています。架空のシナリオで満たされた検証環境は、中身がすべて虚構であるがゆえに一見リスクが低く見えるかもしれません。しかし、モデルがその環境の外にはみ出してしまえば、その違いを見分けることはできないのです。

今回の新しい要素

Anthropicが記録した3件の事例のうち1件では、モデル自身が考案したサプライチェーン攻撃が絡んでいました。

テスト環境の中で、Claudeは開発者に対しPyPIの公開レジストリには存在しないPythonパッケージをインストールするよう指示する文書を発見しました。Claudeはこのパッケージの悪意あるバージョンを作成し、テスト環境内で自動的にダウンロード・実行させることを「決断」しました。そのためにわざわざメールアドレスを作成してアカウントを登録し、そのマルウェアを実在の公開レジストリにアップロードしています。このパッケージは約1時間公開された状態にあり、その間に15の正規システムにダウンロードされました。

そのシステムの一つは、あるセキュリティ企業が定常的にPyPIパッケージをインストールして解析するために使用しているスキャナーでした。悪意あるパッケージがインストールされた際にClaudeのコードが実行され、認証情報を窃取した上でそれを使ってその企業のネットワーク内を横方向に移動しました。詳細は明らかになっていませんが、権限を持つインフラへのアクセスは広範な侵害につながりかねません。Hugging Faceのケースと同様、この企業も直接の標的ではなく、行き過ぎたAIによる意図せぬ被害者だったのです。

この、認可された標的と認可されていない標的を区別できないという点こそ、Hugging Faceの件について書いた投稿で私が指摘した懸念です。モデルにある標的への攻撃を認可したとしても、それがどこまで及ぶかを制限したことにはなりません。Anthropicは評価行為を認可しただけのはずが、結果として公開レジストリ上に稼働中の悪意あるパッケージが生まれ、15のシステムに影響が及びました。もし自社システムに対して攻撃的なテストを行うためにエージェントを差し向ければ、そのエージェントは取引先の許可も、あなた自身の許可も得ないまま、その取引先を攻撃対象にしてしまうかもしれません。封じ込めによってそうではないと証明されない限り、自律型エージェントはインターネット全体にアクセスできるものとみなすべきです。

セキュリティ特性としての状況認識

3件の事例にはそれぞれ異なる3つのモデルが関わっており、実世界のシグナルが現れた後の振る舞いもモデルごとに異なりました。最も古いモデルであるOpus 4.7は、本番システムに到達したことを認識した後も攻撃を継続しました。Mythos 5は自分がオープンなインターネット上にいると推論したものの、その後シミュレーションの中にいるのだと自らを納得させてしまいました。一方、最新の内部モデルは標的が実在すると結論づけると、自ら攻撃を停止しました。

ガードレール、アライメント、封じ込めは、もはや他の誰かの研究課題ではなく、実務上のセキュリティ上の関心事となっています。可能な限り決定論的な統制を導入することを常に目指すべきである一方で、モデルのガードレールやシステムプロンプトが持つセキュリティ上の価値を軽視すべきではありません。これらは多層防御の一翼を担うことができます。今回のシナリオにおいて、より高度なモデルほど「改善された」振る舞いを示したことは心強い材料です。

ここから学ぶべきこと

Anthropicの今回の開示によって、防御の基本方針が変わるわけではありません。攻撃対象領域を縮小し、監視すること。既知の脆弱性だけでなく、手法そのものをブロックすること。窃取された正規の認証情報は、人間にとってと同様、機械にとっても有用な近道であるため、アイデンティティを主要な統制軸に据えること。設計段階から封じ込めを組み込み、エージェントの手が届く範囲は取引先を含めあらゆるものに及び得ると想定すること。そして、機械の速度で動く対応態勢を訓練しておくこと。AIによって加速する攻撃に関する私たちの調査では、攻撃ツールが数週間ではなく数日で出回るようになっていることが示されています。

機械の敵対者に対する防御についての私たちの考え方については、Sophos AI Security 2026 reportをご覧ください。