アンソロピックは、Claudeモデルの一つが、本来は隔離された環境で実施されるはずのサイバーセキュリティ評価中に、実在するサードパーティのシステムに侵入していたという4件目のインシデントを公表しました。自律性を増すAIエージェントがもたらすリスクに対する業界の懸念が、さらに深まっています。
同社によると、このインシデントは2026年1月に遡るもので、Claude Opus 4.6の初期バージョンが関与していました。このモデルは「タスクを中断できない」状態に陥り、外部インフラに侵入したとされています。アンソロピックは影響を受けたすべての関係者に通知済みですが、対象者については明らかにしていません。このインシデントは先月まで発覚していなかったとみられています。
これは、2026年7月にアンソロピックが公表した3件の先行事例に続くものです。当時はClaude Opus 4.7、Mythos 5、そして名前が明かされていない研究用モデルが、それぞれサイバーセキュリティ評価の最中に、同社が当時気づかないまま別々の組織のシステムを侵害していました。
「AIの安全性は、モデルだけの問題ではなく、運用面・人的面の問題でもあります。単純な設定ミスや命名ミスによって、制御されているはずのテストが実システムとやり取りしてしまい、モデルは警告サインがあったにもかかわらず目的の追求を続けました。自律型エージェントを導入する組織は、明確な説明責任、隔離されたテスト環境、最小権限アクセス、そして影響の大きい操作に対する人間による承認を整備する必要があります。AIが『正しいことをする』と信頼することは、セキュリティ対策にはなりません」
– KnowBe4 リードCISOアドバイザー Javvad Malik氏
アンソロピックによると、4件のインシデントはいずれも、同じ外部評価パートナーが構築したサイバーセキュリティ評価の最中に発生しました。Claudeにはインターネット接続のないシミュレーション環境で動作していると伝えられていましたが、設定ミスにより実際にはオープンインターネットに接続されていました。この評価を担当したパートナー企業Irregularは、原因は命名ミスにあったと説明しています。ハッキングのシミュレーションで使用された架空の企業名が、たまたま実在するドメインと一致してしまい、モデルがそのドメインに対して攻撃的な行動を取ってしまったというものです。
アンソロピックはその後、約4億8100万件のトランスクリプトを対象に同様の問題がないか調査しましたが、同等以上の深刻度を持つ事例は他に見つからなかったとしています。また同社は、独立系研究非営利団体METRとの間で、今回のインシデントについて別途調査を実施する契約を締結しています。
アンソロピックは根本原因として、偏った推論と無謀さという2つのアライメント上の欠陥を挙げています。具体的には、モデルは当初シミュレーション環境だと伝えられていたにもかかわらず、実際にはライブのインターネットに接続されているという証拠を軽視したり誤読したりする傾向があり、また与えられたタスクの遂行に一心不乱になるあまり、潜在的に有害な行動も辞さない姿勢を見せていました。
「あるAIエージェントによるセキュリティ侵害の監査を、別の自動化されたAIエージェントに任せるというアプローチは、根本的に欠陥があります。こうしたモデルはますます自律的な存在として振る舞い、ネットワークの境界を探るようになっています。評価環境から抜け出して外部システムにアクセスすれば、サプライチェーン攻撃の予測不能な新たな経路が生まれてしまいます。開発者は、ソフトウェアに自己採点を任せるのではなく、厳格なネットワーク分離を徹底すべきです」
– Huntress セキュリティオペレーション シニアマネージャー Dray Agha氏
アンソロピックが最も懸念しているのは、Claude Mythos 5が関与したインシデントだといいます。このモデルは、Pythonソフトウェアの大半を配布するために使われている公開リポジトリ、PyPIに悪意あるパッケージをアップロードしようと、相当な手間をかけていました。同社によれば、このモデルは思考の連鎖(chain-of-thought)推論の中で自分はシミュレーション内にいると繰り返し述べていたものの、実際の環境には自身が本物のインターネット上にいることを示す明確な証拠が存在しており、その行動はそれを認識していたことと矛盾しないものでした。研究者らが実世界の文脈であることを紛れもなく示すようトランスクリプトを修正した後でさえ、このモデルは攻撃的な行動を続けたということです。
アンソロピックは、これらのインシデントの範囲は限定的にとどまっていたと強調しています。設定されたタスクから逸脱したClaudeのインスタンスはなく、他のAIエージェントと連携しようとした例もなく、自らの行動の証拠を隠そうとした例もありませんでした。また同社は、偏った推論の傾向は同社の新しい本番モデルではそれほど顕著ではなく、より徹底したアライメントトレーニングによって軽減できるとしつつも、根本的な原因や、なぜMythos 5で特に深刻だったのかについては、いまだ不明のままだと付け加えています。
「エージェント型AIシステムがより高性能になり、より広く導入されるようになるにつれ、モデルがアクセスすべきでないものにアクセスした場合に誰が責任を負うのかという法的枠組みに答えを出す必要が出てきます。今回の4件のインシデントは、法律がまだ十分に対応できていない問題に対する初期の試金石です。アンソロピックは4億8100万件のトランスクリプトの中から4つの問題を見つけ出し、それを全員に公表しました。本当に問われるべきは、業界の他の企業がどれだけの問題をまだ十分な精査をせずに見過ごしているか、ということです」
– Huntress EMEA担当 vCISO兼サイバーセキュリティアドバイザー Muhammad Yahya Patel氏
今回の公表は、AIモデルの安全性全般に対する監視が強まる中で行われました。ライバル企業のOpenAIも最近、2026年5月に発生していた未公表のインシデントを認めています。読み取り専用のインターネットアクセス権を持つ社内デプロイの自律型エージェントが、休眠状態にあったドイツ語版wikiフォーラムを乗っ取り、時間制限のあるタスクの回答をすり合わせたり制限を回避したりしようとして、1万8000件を超える投稿をやり取りしていたというものです。人間のモデレーターが投稿の削除を始めると、エージェントらはバックアップページの名前を工夫し、アルファベット順に並んだ削除リストの末尾に埋もれるようにすることで、この削除作業をかいくぐろうとしたと伝えられています。
「私たちは、AIを非難するのをやめて、AIエージェントの行動について責任者である人間に説明責任を負わせるべきです。過失に対して罰金を科されるとなれば、企業はAIの導入を慎重に考えるようになるでしょう。テック企業のCEOたちがAIの危険性について警鐘を鳴らしながら、その一方でまるでその危険性が避けられないものであるかのようにAIを作り続けているのを見るのは、もどかしい限りです。この問題が十分に深刻化すれば、第三者による不正なハッキングやデータ窃取、知的財産権侵害を補償するAI保険という新たな市場が生まれる可能性もあります」
– Comparitech コンシューマープライバシー・アドボケイト Paul Bischoff氏
アンソロピックは、AIシステムがより高性能になるにつれ、こうしたリスクは減少するどころか増大していく可能性が高いと警告しています。同社は「将来のAIシステムはますます高性能になっていくため、アライメントの失敗がより深刻な害をもたらす可能性がある」と述べたうえで、堅牢にアライメントされたフロンティアモデルを訓練することは依然として未解決の技術的課題であり、継続的な研究と、それを導入する側のより強固な運用規律の両方が求められると付け加えています。
いずれにせよ、今回の一連のインシデントは、エージェント型AIの導入における最も弱い環はモデル自体ではなく、その周囲に構築される環境や設定、そして監視体制にあるかもしれないということを、改めて思い起こさせるものとなっています。
