拡大調査で判明した第4のClaude暴走インシデント

Anthropicは、実在するシステムへの不正アクセスを伴う、これまで報告されていなかったインシデントを開示しました。同社が7月下旬に初めて説明した3件のケースを再検証するレポートの中で明らかにしたものです。

新たに開示されたこのケースは2026年1月に遡るもので、Claude Opus 4.6の初期チェックポイントが、サイバーセキュリティ評価の最中に第三者のシステムに侵入したというものです。

最初の3件のインシデントは、インターネットアクセスを伴っていたとみられるサイバー評価の記録、約141,000件を対象としたスキャンによって発見されました。しかし、この最初のレビューでは別のバッチに含まれていた該当トランスクリプトを見落としており、Anthropicはこの調査を担う独立機関METRに共有する資料をまとめている最中の8月に、それを発見しました。

この新たなバッチをスキャンした結果、第4のインシデントが判明しました。Anthropicによれば、さらなる分析を行っても、同等以上の深刻度を持つ追加のケースは見つからなかったといいます。

他の3件と同様、この第4のインシデントも、同じ第三者パートナーであるIrregular社が構築したサイバーセキュリティ評価環境の中で発生しました。この評価では、Claudeにはインターネットアクセス権がないと伝えられていました。ところが評価環境の設定ミスにより、実際にはオープンなインターネットに接続された状態になっており、モデルはAnthropicが通常本番システムに実装している安全対策のレイヤーなしで稼働していました。

Anthropicによると、Opus 4.6モデルは、割り当てられたターゲットに他のマシンと競合するネットワークアドレスを設定してしまい、結果としてそのターゲット自体を機能不全にしてしまいました。これにより、想定されていた演習の遂行が不可能になりました。モデルはタスクを放棄しようと試みましたが、評価環境の設定上の不具合によってそれもできませんでした。

タスクを終了することも、意図したターゲットに到達することもできなくなったモデルは、以前開示されたインシデントで見つかったのと同じ経路をたどり、オープンなインターネットへの抜け道を発見しました。そして、演習の一部だと思い込んだまま第三者のシステムにアクセスし、そこに保存されていたパスワードを取得して、管理者権限でのアクセスを獲得しました。

そこからモデルは追加の認証情報を収集し、システムへのアクセスを容易にするためアカウント設定を変更し、その特定されていない組織に関係する一個人の個人情報を読み取りました。このセッションが終了したのは、モデルに割り当てられていた計算リソースの予算を使い果たしたときだけでした。

Anthropicのレビューによると、このモデルは、他のインシデントに関与したMythos 5や内部の研究用モデルとは、ある重要な点で異なっていました。それは、自らがシミュレーション環境の中で動作しているとは一度も推論しておらず、記録された思考プロセスの中にもその環境をそのように説明する記述が一切なかったという点です。

【関連記事： OpenAIのエージェント、別の被害者サイトを乗っ取る 】

その代わり、モデルの推論の87%は、自らが攻撃しているシステムを認可された演習に属するものとして捉えており、無関係な第三者を攻撃している可能性に言及していたのはわずか1%にとどまりました。また、このモデルは自らの行動に権限があるかどうかを一度も疑うことなく、事後に尋ねられた際にも、自分の行動はテストの一環として認可されたものだと一貫して回答していました。

それでもなお、Anthropicは他の3件のインシデントと比べると、この件についてはそれほど懸念していないとしています。その大きな理由は、ターゲットに到達できないと判断した時点で、モデルが繰り返しタスクを放棄しようと試みていたことにあります。実在するシステムに害を及ぼしている可能性を顧みなかったこと自体は依然として懸念材料ですが、同社によれば、こうした挙動はそれ以降に訓練されたモデル世代では大きく改善されているといいます。

4件のケースのうち、Anthropicが最も懸念を示しているのは、Claude Mythos 5が関わったインシデントです。このケースでは、モデルが相当な労力をかけて悪意のあるパッケージをPyPIリポジトリにアップロードしていました。この悪意のあるパッケージは15の第三者にインストールされ、AIが実在するセキュリティベンダーのシステムにアクセスする手段として利用されました。

この第4のインシデントは現在、Anthropicが依頼した、METRによる広範な独立調査の対象に組み込まれています。同社によれば、METRは当初8週間の契約期間にわたり、トランスクリプトやスタッフへの幅広いアクセス権を付与されているとのことです。