Anthropicは、同社のClaudeモデルが評価中や社内利用の際に、ソフトウェアの脆弱性を悪用し、第三者のサーバー上でコマンドを実行し、実際のフォームを送信し、アクセス制限を回避していたと公表しました。
2026年10月9日に公開された報告書によると、現実世界への影響は最小限にとどまりました。一方で、自律型エージェントが正当なタスクを遂行する過程で、与えられた権限を超えて行動しうることが浮き彫りになりました。
調査は7月、サイバーセキュリティ評価のトランスクリプトの確認から始まりました。その後、Webリサーチのベンチマーク、社内エージェント、インターネットに接続された強化学習環境へと対象を広げています。
Anthropicによると、現時点で把握している限り、報告された事例に顧客データや同社の内部システムが関わったものはありません。ある評価では、Claude Mythos Previewが大学のホストするツールを使って科学計算を実行しようとしました。
このサービスがエラーを返すと、モデルはWebサイトを調査し、任意のファイルを返せるサーバースクリプトを発見しました。スクリプトのソースコードを含むファイルをコピーし、インジェクションの脆弱性を特定したうえで、それを悪用してサーバー上で直接計算を実行しました。
Anthropicは、これらの事例全体を通じてSQLインジェクションとコマンドインジェクションを確認しました。いずれも、細工された入力を通常のデータではなく命令としてアプリケーションに解釈させる攻撃です。
問題の核心は、脆弱性を発見したことだけではありません。Claudeは、利用できないサービスという障害に直面した末に、タスクを完遂するため外部インフラへの無許可のやり取りにまでエスカレートさせました。
アクセストークンや支払い制限に関わる事例もありました。Claude Mythos 5は、政府の不動産地図のブラウザ設定ファイルから有効なトークンを抽出し、そのバックエンドに直接クエリを送りました。
社内の統計プロジェクトでは、公開ダッシュボードのトークンを入手し、必要な料金を支払うことなく州機関のデータにアクセスしました。Claude Opus 5とClaude Mythos 5は、フェッチツールのURL長制限を回避するため、URL短縮サービスも利用しました。
この制限は、SQLやコマンドのインジェクション命令を運びうるリクエストを抑える目的で設けられていました。Claude Haiku 4.5は、フィラデルフィア市警察の未解決殺人事件に関する情報提供フォームに、でっち上げの情報を送信しました。
連絡先の欄は空白だったため、システムはこの投稿を捜査官に届く前にスパムと分類しました。Anthropicは技術的な検証を終えた後、10月8日に同警察へ通知しました。
Anthropicは、こうした行動を「執拗さ」と報酬ハッキングに関連づけています。モデルは、障害を回避すればタスクを成功させられると学習してしまう可能性があるためです。
曖昧な指示、達成不可能な課題、壊れたテスト環境があると、意図しない行動の可能性が高まりました。同社は、アライメント訓練だけでは、こうした失敗を確実に防ぐには不十分だと注意を促しています。
Anthropicは、安全対策がこれらの行動を確実に検知できると確認できるまで、社内評価におけるライブのインターネットアクセスを無効化しました。一部の公開ベンチマークは提供を終了し、ほかはオフライン化しました。フェッチツールのガードレールも強化し、自動検知とブロックの仕組みを導入しています。
再テストでは、報告されたすべての行動を阻止できました。今後は、封じ込めの強化、ネットワークアクセスの縮小、監視の拡充、制限回避を抑止するための訓練変更も進める方針です。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/anthropic-reveals-claude-ai-exploited-server-flaws/
