サイバーセキュリティ企業のスタートアップCathedralは、同社のAIエージェントがサードパーティ製ソフトウェアの脆弱性を悪用し、Anthropicの社内業務システムに侵入する経路を見つけたと明らかにしました。Claudeの開発者が使うコアAIインフラの外側にも、弱点が存在することが浮き彫りになりました。
10月26日付のワシントン・ポストの報道によると、この発見はAnthropicの外部セキュリティテストプログラムを通じて明らかになりました。
同紙はCathedralの報告書草案を確認しています。草案には、会議の議事録、給与や採用オファーに関する情報、先進的なAIモデルをめぐるSlackでのやり取りにアクセスできる可能性があったと記されていました。
Anthropicは、影響が及んだのは営業、人事、ITの各システムに限られるとの認識を示しました。一方で、基盤となるモデルや顧客の会話が侵害されたとの見方は否定しています。
報道によると、研究者らが狙ったのはClaude自体ではなく、管理業務や営業活動を支える業務アプリケーションでした。Cathedralは、同社のエージェントが12時間足らずの稼働で社内情報に到達する経路を見つけたと説明しています。
これに対しAnthropicは、研究者らがソフトウェアへの直接侵入を数日間試みて失敗していたと指摘しました。見出しで強調された所要時間の主張には疑問があるとしています。
これまでの報道では、影響を受けたベンダーやアプリケーションは公表されていません。そのため、これらの製品を使う他組織への影響範囲を、第三者が評価することは困難です。Cathedralは、10月に先行してAnthropicへ報告した際、ソフトウェアベンダーにも通知したとされています。
公開されている情報からは、詳細な攻撃チェーンは確認できません。到達可能性のあるすべての種類の情報がコピーされたことも示されていません。したがって、報じられたアクセス経路を、Cathedralの草案が述べる機微な記録すべての盗難が確認された証拠と同一視すべきではありません。
Anthropicによると、研究者らは一部の顧客やパートナーの業務用連絡先情報と、基本的なユーザーアカウント記録にアクセスしました。一方で、顧客のプロンプトやClaudeの応答、ソースコード、モデルの重みにはアクセスできなかったといいます。
同社は、研究者が発見内容を提出する前にモニタリングでCathedralの一部の活動を検知し、同日中にアクセスを遮断したと説明しています。また、Cathedral以外の第三者が脆弱性を悪用した形跡は確認されていないとしています。
Anthropicは影響を受けたサードパーティ製アプリケーションを無効化しました。ベンダーが脆弱性に対処したことを確認したうえで、初めてアクセスを復旧しています。
Cathedralは、元政府効率化省（DOGE）のスタッフが創業した企業で、政府機関や企業向けにAI搭載のサイバーセキュリティツールを開発しています。
今回の発見は、一般的な企業向けソフトウェアのリスクに注目を集めました。ただ、草案が未公開で、アプリケーション名も明かされていないため、世界のセキュリティチームが独自に検証するうえで重要な技術的疑問が残されたままです。
この調査はAnthropicのバグバウンティプログラムの下で行われました。しかしAnthropicは、Cathedralが活動の全容を開示せず、プログラムの規則に違反したと非難しています。Cathedralは、調査中のデータアクセスは最小限に抑えたと主張しています。
Anthropicはまた、Cathedralが今回の発見を国家安全保障の問題として広く位置づけていることにも異議を唱えました。公開情報からは、争点が3つに整理できます。業務システムへのアクセスが実証されたこと、Cathedralが到達可能だったと主張する情報の範囲、そして重要なAI資産は保護されていたとするAnthropicの立場です。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チーム向けの詳細を見る
翻訳元: https://cyberpress.org/ai-agents-exploit-third-party-software-flaws/
