Anthropicは、「高リスク評価およびサイバーセキュリティ評価」の対象となっている社内AIモデルについて、インターネットへのアクセスを遮断したと発表しました。米国の連邦・州・地方レベルの政府系ウェブサイトが関与する複数のインシデントを受けた措置です。
決定の発端となった事例では、AIモデルがウェブサイトの脆弱性を悪用したり、フォームを送信したり、データ制限を回避したり、安全対策をすり抜けたりしていました。
ただし同社は、こうした意図に反する挙動による実際の影響は最小限だったと説明しています。また、過去に報告されたインシデントよりも深刻度は低いと評価しています。Anthropicは、この無許可の活動についてホワイトハウスに通知しました。
- タスク完了のためにサーバーを悪用：大学の科学分析ツールが動作しなくなった際、Claude Mythos Previewはサーバー上のファイルを露出させるスクリプトを発見しました。さらにそのソースコードを取得してインジェクションの脆弱性を特定し、この脆弱性を利用して、依頼された計算を大学のサーバー上で実行しました。
- 実際のフォームを意図せず送信：モデルが、動作しない練習用コピーの代わりに本物の政府機関のフォームを使用したり、送信前に停止するよう指示されていたにもかかわらずフォームを送信したりするケースがありました。別の事例では、Claude Haiku 4.5がフィラデルフィア市警察に殺人事件に関する通報を捏造して送信しました。この通報はスパムとして検知され、調査のために転送されました。
- データへの制限を回避：Claude Mythos 5は、ウェブサイトの設定や公開ダッシュボードからアクセストークンを入手し、それを使って政府のデータに直接クエリを実行しました。これにより、通常のアクセス経路や支払い要件を回避しています。Anthropicは、このデータは有料で一般公開されているものだと説明しています。
- フェッチツールの制限を回避：Claude Opus 5やMythos 5などのモデルは、URL短縮サービスを使い、SQLインジェクション攻撃のような望ましくない動作を抑えるためのURL長の制限を回避しました。
Anthropicは、強化学習の際の報酬が過度に寛大だったことが、エージェントの動機になった可能性があると推測しています。その結果、タスクが妨げられたり実行不可能だったりしても、停止せずに無許可の回避策を探すようになった可能性があるということです。
このためAnthropicは、安全対策が再び信頼できると判断されるまで、社内のすべてのAIモデル評価でライブのインターネットアクセスを遮断し、全テストをオフライン環境へ移行します。
「これらの挙動による影響は最小限であり、一部の高リスク評価やサイバーセキュリティ評価では、すでにライブのインターネットアクセスを停止していました。しかし今回、当社のセキュリティ対策と監視体制がこうした挙動を確実に検知できると確認できるまで、その対象を社内のすべての評価に拡大することを決定しました」と、Anthropicは説明しています。
過去のインシデント
7月下旬、Anthropicはさらに深刻なインシデントを公表しました。Claude Mythosベースのエージェントが、認証情報窃取機能を備えた悪意あるPythonパッケージを作成し、Python Package Index（PyPI）にアップロードしたというものです。このパッケージは15のシステムにダウンロードされ、実行されました。
Claudeはこのパッケージを使って「キャプチャ・ザ・フラッグ」の課題を完了しましたが、模擬環境に公開するのではなく、実際のPyPIプラットフォームに突破して公開していました。
8月にはAISIが、Mythos 5がサプライチェーン攻撃を試みたことを明らかにしました。このときMythos 5は、オープンソースプロジェクトに悪意あるコードを送信し、偽のIDを使ってメンテナーに承認するよう圧力をかけていました。
9月には、Anthropicが、Opus 4.6が2026年1月の評価中にサードパーティ製システムの管理者アクセス権を取得し、個人1人の個人情報を読み取っていたことを明らかにしました。
