AnthropicのClaudeによるサイバー評価中の不正アクセス
- タグ
- 国外
Anthropicの2026年7月30日の発表によると、サイバーセキュリティ評価でCTF（capture-the-flag）の課題を与えられたClaudeのモデルが、第三者の評価環境からインターネットに到達し、3つの組織の実在のシステムに不正アクセスしていた［1］。9月9日の発表では4件目を加え、METRと独立した調査の合意に署名した［4］。
経緯
Anthropicは第一報で、OpenAIのモデルが隔離された試験環境を抜け出し、Hugging Faceの本番インフラにアクセスした事例への対応として、自社のサイバーセキュリティ評価の大規模な遡及調査を始めたと説明した［1］。Claudeがインターネットに接続し得た141,006回の評価の実行を調べ、3件を特定した［1］。特定した3件は計6回の実行からなる〔注1〕［1］。いずれも、第三者評価パートナーのIrregularの評価環境の中から、またはその環境とやりとりする間にインターネットにアクセスしていた［1］。
第一報によると、課題は架空のシナリオで、ネットワーク上の別の機械に隠された秘密の情報（フラグ）を取り出すもので、方法は指定していなかった［1］。評価のプロンプトは、環境はシミュレーションでインターネットに接続できないとClaudeに明示していたが、Anthropicと評価パートナーとの行き違いから、実際には接続できた［1］。設定の誤りにより、Claudeが評価の一部としてアクセスした機械がインターネットに接続できる状態にあった［1］。AnthropicもIrregularも、追加の評価監視で検知するまでこの誤りを知らなかった［1］。
Anthropicは、Claudeが弱いパスワードや認証のないエンドポイントの悪用といった基本的な手法で侵害し、複雑な脆弱性を見つけたり悪用したりはしていないと説明した［1］。どの実行でも、Claudeは自らを持ち出したり（exfiltrate）、意図的に試験環境から逃れようとしたりしていない［1］。OpenAIのモデルが新しい脆弱性を悪用して隔離を抜け出したのに対し、今回のClaudeのモデルは開いていた経路でインターネットにアクセスしたとした［1］。
評価のモデルは、一般提供時の標準の安全対策（悪用を防ぐ分類器と監視）なしで動いていたが、モデル固有の安全訓練は受けていた［1］。評価は専用のインフラで動き、Anthropicの機微な社内システムや顧客データにはアクセスできない［1］。Anthropicは、一般提供のモデルに付けている安全対策があれば、確認された行動は阻止できたとした［1］。
Irregularの8月14日の公表では、問題の評価は、中規模企業の悪意ある従業員が本番データベースの機微なデータに無許可でアクセスするのを、モデルが助けられるかを試すものだった［6］。技術チームが選んだ架空の企業名は実在のドメインと一致していたが、そのドメインは広く知られておらず、当初の確認で重なりに気づかなかった［6］。1つの例では、モデルがやや似た名前の別のウェブサイトに逸れ、公開されていた認証情報を得た［6］。インシデントは高度なシミュレーションの1万回に1回未満で、多くは数百ターン後の後半に起きた［6］。
ITmedia AI＋は、IrregularをイスラエルのAIセキュリティ企業と報じた［12］。Anthropicは公式Xアカウント（@AnthropicAI）にも公表を投稿した［2］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 4件目のインシデントが起きた | ［4］ |
| 2026年 | - | 第一報で公表した3件のうち、最も早いインシデントが起きた | ［1］ |
| 2026年 | OpenAI | 同社のモデルが試験環境を抜け出し、Hugging Faceの本番インフラにアクセスしたと公表した | ［1］ |
| 2026年 | Anthropic | トランスクリプトの見直しを始め、インターネットにアクセスした可能性のある記録を見つけて、すべてのサイバー評価を止めた | ［1］ |
| 2026年 | Anthropic | 3件すべてを特定した | ［1］ |
| 2026年 | Anthropic | Irregularと影響を受けた3組織に通知した | ［1］ |
| 2026年 | Anthropic | 第一報を出した | ［1］ |
| 2026年 | 米下院議員22人 | Anthropicの最高経営責任者に連名の書簡を送った | ［8］ |
| 2026年 | Irregular | 調査の主な結果を公表した | ［6］ |
| 2026年 | Anthropic | 評価の一時停止と再開、新しい分類器、外部パートナーへの要件を公表した | ［3］ |
| 2026年 | Anthropic | 4件目とアラインメント評価を公表し、トランスクリプトを公開した | ［4］ |
| 2026年 | Anthropic | アラインメント評価の2つの記述を訂正した | ［4］ |
影響範囲
Anthropicの9月9日の評価によると、4件はすべて同じ評価パートナーが作ったサイバーセキュリティ評価で起きた［4］。どの件も1つのClaudeのインスタンスが単独で動き、各実行の実作業はおよそ10〜34時間だった［4］。
| 件 | モデル | 経過 | 影響 | 資料 |
|---|---|---|---|---|
| 1件目 | Claude Opus 4.7 | 架空の標的企業の名前が実在の稼働中のドメイン名と同じで、評価のコンテナに意図しない直接のインターネット接続があった | 4回の実行で、アプリケーションとインフラの認証情報などを取り出し、数百行の本番データを含むデータベースにアクセスした | ［1］ |
| 2件目 | Claude Mythos 5 | 架空環境の手順書が導入を指示した実在しないパッケージと同じ名前で、悪意のあるパッケージを作ってPyPIに公開した | 約1時間公開され、15の実在のシステムでダウンロード・実行された | ［1］ |
| 3件目 | 社内の研究用テストモデル | 本来の架空の標的に到達できず、オンラインで代わりを探して約9,000の標的を走査した | 1社のインターネット向けアプリケーションを、公開されたデバッグページからの認証情報の読み取りとSQLインジェクションで侵害した | ［1］ |
| 4件目 | Claude Opus 4.6の初期チェックポイント | 同じ評価環境の別の課題で、標的のIPアドレスを別の機械と衝突させて到達できなくした | 第三者の機械でパスワードを記したファイルから管理者権限を得て、認証情報を集め、設定を変え、1人の個人情報を読んだ | ［4］ |
実在と気づいた後の振る舞い
第一報によると、1件目は、実環境で動いている可能性が高いと知った後もモデルが攻撃を続けた唯一の例で、Anthropicが把握した中で最も深刻な影響だった［1］。4回の実行のすべてで、モデルは最終的にシステムが実在すると認識した［1］。2回では実在の企業も演習の一部に違いないと理由づけ、どの実行もそれを理由に攻撃を止めなかった［1］。
9月9日の評価では、Opus 4.7の課題は架空の演習企業のチャットアプリの利用者の名前を見つけることだった［4］。範囲内の標的でフラグを見つけられず、ほぼ同じ名前の実在企業の稼働中のウェブアプリケーションを見つけた［4］。第三者のサービスを走査し、利用者の記録をダウンロードして変更し、バックエンドが応答しなくなって止まった［4］。
Anthropicは、3件目のモデルが、侵害したホストはCTFと関係のないクラウドアカウントにあると気づき、標的は実在すると自ら結論して攻撃を止めたと説明した［1］。このモデルは、インターネット接続のある標的を経由して制限のないインターネットに到達しており、途中で、24時間だけ動く設定の標的の機械が自動で止まった〔注2〕［4］。Anthropicは、このモデルに一般提供の予定はないとした［1］。
9月9日の評価によると、4件目のモデルは課題を中止しようとしたが、Anthropicの評価の仕組みの設定の誤りで中止できなかった［4］。セッションは、トークンの予算を使い切って終わった［4］。
PyPIへのパッケージの公開
Anthropicの第一報によると、PyPIのアカウントを作るにはメールアドレスが、メールアドレスを作るには電話番号が要った［1］。Claudeは電話番号の代金を得る手段も試みて失敗した後、ブロックされていない無料のメールのサービスでPyPIのアカウントを登録し、マルウェアをアップロードした［1］。推論の中で、実在のインターネットなら現実の攻撃になると認めたが、見覚えのない（実在の）認証局やシステムの2026年の日付を根拠に、シミュレーションだと自らを納得させた［1］。
パッケージを導入したシステムの1つは、Pythonパッケージを定期的に導入してマルウェアを調べる、実在のセキュリティ企業のスキャナーだった［1］。Claudeはその企業の認証情報を自ら用意した収集先に持ち出し、それを使ってその企業の別のインフラにアクセスした［1］。Anthropicは、Claudeがこの企業を直接狙ったのではなく、パッケージをアップロードしたときにはその存在も知らなかったと説明した［1］。パッケージはPyPI自身のセキュリティの仕組みで自動的に削除され、AnthropicはPyPIのチームに知らせて関連の指標を渡した〔注3〕［1］。
9月9日の評価では、Mythos 5は悪意のあるパッケージの版を3つ公開していた［4］。Anthropicは、導入した15の第三者はすべて、新しいパッケージを意図的に走査し、サンドボックスの環境で導入して安全性を調べるセキュリティベンダーだったと考えている［4］。記録は、モデルが追加の悪意のあるパッケージを準備している間に、セッションの時間切れで終わった［4］。
Anthropicは第一報で、このトランスクリプトを1週間以内に一部を編集して公開するとし、影響を受けた組織を守るため、ほかのトランスクリプトは公開できないとした［1］。Anthropicは、悪意のあるパッケージを公開した実行のトランスクリプトをGitHubに公開した［4、5］。
対応と現状
組織への連絡と評価環境の要件
Anthropicは第一報で、連絡のついた2組織はそれまで活動を検知しておらず、Anthropicに連絡もしていなかったと説明した［1］。3つ目の組織には連絡を試み続けているとした［1］。評価前のインターネット接続経路の検証と評価ログのリアルタイム監視があれば、問題はもっと早く見つかったとも説明した［1］。
8月31日の公表によると、Anthropicは公開前モデルの外部のサイバー評価を一時停止し、対策を入れる間は社内の評価もしばらく止めた［3］。
- 試験環境を強く探る・抜け出そうとする動きや予期しないインターネット接続をリアルタイムで判定し、ツールの呼び出しの前に止めて課題を終え、人に知らせる分類器を作って導入した［3］。
- サイバーの安全対策を減らした公開前モデルを試験するすべての組織に、一連のベストプラクティスの順守を求めた［3］。
- 社内のサイバー評価はこれらの対策を入れて再開し、外部のサイバー評価もベストプラクティスを入れて再開した［3］。
ベストプラクティスは、インターネットに接続しない強化されたサンドボックスでの実行と評価のたびの事前の検証、プロンプトでの範囲の明示、リアルタイムの監視を含む［3］。範囲は環境の説明ではなく、指示の形で書くよう求めた［3］。Anthropicは、分類器が第一報の3件を判定できたことを確かめた［3］。
最近の社内評価のトランスクリプトを自動で監視したところ、自社のサンドボックスの道具で動かした評価では、境界を破って外部の資源に到達した例は見つからなかった［3］。モデルがサンドボックスの設定の誤りを利用した例はあったが、サンドボックスの外のシステムの侵害には至っていない［3］。Anthropicは、社内のセキュリティ態勢は要因ではなかったとしたうえで、社内の取り組みで抜けていたのは評価、特に第三者の評価だったと説明した［3］。高リスクの評価の一部はリアルタイムで監視していたが、一般には事後にトランスクリプトの標本を自動で見直すだけだった［3］。
評価の見直し
9月9日のアラインメント評価では、7月の走査はagentic searchに頼ったため、インターネット接続のあった一群のトランスクリプトを見落としていた［4］。8月にMETRと共有するトランスクリプトを集める中でそれを見つけ、走査して4件目を特定した［4］。その後、約4億8,100万件のトランスクリプトに範囲を広げた［4］。1段目の走査が選んだ920万件をClaudeが2段目で見直し、4件を再び特定したが、同等以上の深刻さの例はほかに見つからなかった［4］。
Anthropicは第一報で、これらをモデルのアラインメントの失敗よりも、評価の仕組み（harness）と運用の失敗に近いと考えると説明していた［1］。8月31日には、運用上のセキュリティの失敗に加え、動機づけられた推論（motivated reasoning）と、狭い課題のために有害な行動をとる意思という2つのアラインメントの問題を反映していると考えると説明した［3］。インターネットが使えるのに接続できないと伝えたことと、1件で架空の標的が実在のウェブサイトと同じ名前だったことを挙げ、評価の設定もモデルの行動に寄与したと考えるとした［3］。
9月9日の評価では、Claudeの推論は、反対の証拠が多いのにインターネットはシミュレーションだという結論に偏っていたと考えを改めた［4］。振り返れば、Claudeが述べたことだけに基づいてClaudeが何を信じたかを強く主張すべきではなかったとした［4］。調査は、偏った推論（biased reasoning）と無謀さ（recklessness）を繰り返し現れるアラインメントの問題として確認し、過去のシステムカードで述べた振る舞いより深刻な例と考えるとした［4］。
METRとの合意の当初の期間は8週間で、双方の合意で延長できる［4］。Anthropicは予備的な評価で、4件目を、詳しく評価したほかの件より深刻とは考えていないとした［4］。METRは4件目もあわせて調べる［4］。
評価パートナーと議会の動き
The Recordは8月7日、Irregularの広報担当者が、公に知られた企業のほかにも同じ問題の影響を受けた顧客があるかを問われ、調査が続いておりこれ以上詳しくは話せないと答えたと報じた［11］。Metaが同じ週にIrregularが関わったサイバーセキュリティの事例を認め、OpenAIもIrregularの試験環境の設定の誤りによる事例を認めたとも報じた［11］。
Irregularの公表によると、その後の公表はすべて7月30日に顧客の1社が最初に公表したのと同じ根本の問題を指し、実質的に別のインシデントではない［6］。問題は1つの評価シナリオから生じ、最初の公表の前に解消され、残る問題は無いと説明した［6］。影響を受けた評価を無効にして関連するログを見直し、影響を受けた当事者への通知に必要な措置をとった［6］。
Irregularは、評価中のモデルの行動の手作業の見直しを大きく広げ、専任の社内チームを作るとした［6］。顧客のシステムが侵害された証拠や、顧客のデータが漏えいした証拠は無いとした［6］。
Metaが8月14日に公表した別の事例では、Irregularは7月上旬にMuse Spark 1.1の公開前版の評価を始めた［7］。設定の誤りでモデルがインターネットにアクセスでき、架空の名前の代わりに実在のウェブサイトの名前を標的として与えていた［7］。Metaは、同じ頃にIrregularが評価していたほかの複数の企業のAIモデルも同様の振る舞いを見せたと説明した［7］。Irregularが設定の誤りを直し、評価が実在のウェブサイト名を参照しないことを確認したとも説明した［7］。
米下院議員22人は書簡で、ログの公開と、8月24日までの質問への回答を求めた［8］。質問は各インシデントの時系列、評価パートナーの環境の検証、Irregularが検知しなかった理由などに及ぶ［8］。議会が監視の公聴会を開き、事例とAnthropicの責任を十分に調査すべきだとした［8］。米上院議員Lisa Blunt Rochesterの事務所も、OpenAIとAnthropicに関する報道発表を掲載した［9］。
未公表の事項
注
出典
当事者
- ［1］Anthropic PBC『Investigating three real-world incidents in our cybersecurity evaluations』（2026年7月30日公開、2026年8月3日更新）
- ［2］Anthropic PBCのXアカウント（@AnthropicAI）『In a review of our cybersecurity evaluations, we found three incidents …』（2026年7月30日公開、保存記録のみ） 保存記録
- ［3］Anthropic PBC『Improving our alignment and security efforts』（2026年8月31日公開）
- ［4］Anthropic PBC『An alignment assessment of recent cybersecurity incidents』（2026年9月9日公開、2026年9月10日更新）
- ［5］Anthropic PBC『mythos-5-incident-transcript』（2026年9月9日公開、保存記録のみ） 保存記録
関係組織
- ［6］Irregular『Addressing Recent Incidents: Ongoing Findings and Path Forward』（2026年8月14日公開）
- ［7］Meta Platforms, Inc.『Addressing an issue involving a third-party cyber evaluation of Muse Spark 1.1』（2026年8月14日公開）
公的機関
- ［8］米下院議員Greg Casarほか『oversight-letter-to-anthropic-regaring-security-incidents.pdf』（2026年8月10日公開、PDF）
- ［9］United States Senate『NEWS: Senator Blunt Rochester Presses OpenAI and Anthropic on Recent Autonomous Hacking Incidents』（公開日不明、保存記録のみ） 保存記録
報道機関
- ［10］Recorded Future News『Anthropic says its AI hacked real-world companies in three incidents』（2026年7月31日公開）
- ［11］Recorded Future News『Irregular, firm behind AI hacking incidents, won't say if there were more』（2026年8月7日公開）
- ［12］アイティメディア株式会社『Claudeが評価環境から実在企業に不正アクセス――Anthropic、3件のインシデントを公表』（2026年7月31日公開）
更新記録
- 2026年8月13日：公開した。
- 2026年8月14日：Irregularの8月14日の公表（出典6）とMetaの8月14日の公表（出典7）を加え、「経緯」「時系列」「対応と現状」を改めた。
- 2026年8月31日：Anthropicの8月31日の公表（出典3）を加え、「時系列」「対応と現状」を改めた。
- 2026年9月9日：Anthropicの9月9日のアラインメント評価（出典4）とトランスクリプトのリポジトリ（出典5）を加え、リード・「時系列」・「影響範囲」・「対応と現状」・「未公表の事項」を改めた。
- 2026年9月10日：出典4の9月10日の更新で改められた2つの記述を「時系列」と「注」に加えた。