OpenAIに続きAnthropicでもAI評価中の侵入が判明　Claudeが3組織の実システムにアクセス

　Anthropicは7月30日、サイバーセキュリティー能力を評価していたClaudeが、評価環境からインターネットへ接続し、外部3組織の実システムへ不正アクセスしていたと発表した。

　同社はOpenAIが7月21日に公表したHugging Faceへの侵入事故を受け、インターネットへ到達できた可能性のある14万1006回の評価ログを遡って調査。その結果、3件のインシデントを特定した。

In a review of our cybersecurity evaluations, we found three incidents in which a Claude model reached the internet from within or while interacting with a third-party evaluation environment, and then gained unauthorized access to the real systems of three different…

— Anthropic (@AnthropicAI) July 30, 2026

　問題が起きたのは、外部評価パートナーのIrregularと実施した「CTF（Capture The Flag）」形式の試験だ。モデルには架空のネットワークに隠された情報を見つけるよう指示し、実行環境はシミュレーションでインターネットには接続できないと伝えていた。しかし、AnthropicとIrregularの認識のずれから、評価環境にはインターネットへつながる経路が残っていた。Claudeは外部で見つけた実システムも試験の一部だと誤認し、弱いパスワードや認証のない接続先など、基本的な手法を使って侵入したという。

　評価はモデルの最大能力を測るため、一般提供時に使う安全分類機能や監視を外した状態で行われていた。一方、モデル自体の安全訓練は維持され、Anthropicの社内システムや顧客データへ接続できる環境ではなかった。

　関与したのは「Claude Opus 4.7」「Claude Mythos 5」、一般提供を予定していない社内研究用モデルの3種類で、最も早い事例は4月に起きていた。

　1件目では、試験内の架空企業と同名の実在サイトをOpus 4.7が発見。4回の実行で認証情報などを取得し、数百行の本番データを含むデータベースへアクセスした。モデルは途中で実環境の可能性に気づいたものの、実在サイトも試験に含まれると判断して攻撃を続けた。

　2件目では、高度なサイバー能力を持つ限定提供モデルのMythos 5が、実在するPythonパッケージ配布サイト「PyPI」に悪意のあるパッケージを公開した。パッケージは約1時間公開され、15台の実システムでダウンロード、実行された。このうちセキュリティー企業の自動検査システムから認証情報が外部へ送られ、Claudeはそれを使って同社の別のシステムにもアクセスした。Mythos 5は実行中、もし現実のインターネットなら攻撃に当たると一度は認識していたが、接続を保護する認証局を正しく認識できなかったことなどから、環境はシミュレーションだと結論づけ作業を続けたという。

　3件目では、社内研究用モデルが約9000の接続先を走査し、外部企業のアプリケーションに侵入した。ただし、侵入先が試験と無関係なクラウド環境だと認識すると、モデルは自ら攻撃を中止した。

　Anthropicは7月23日にサイバー評価を停止し、翌24日までに3件を特定。27日にIrregularと影響を受けた3組織へ通知した。連絡が取れた2組織は、それまで活動を検知していなかったという。同社は独立評価機関METRによる第三者検証も進め、評価環境と外部パートナーに対する監視、事前確認を強化する方針だ。

　今回の事例は、OpenAIの事故と共通点を持つ一方、侵入経路は異なる。OpenAIの複数モデルは隔離環境内のソフトウェアに未知の脆弱性を見つけ、外部へ出る経路を自ら開いたうえで、評価問題「ExploitGym」の解答を得るためHugging Faceの本番環境へ侵入した。Claudeの場合、インターネットへの経路は設定不備によって初めから開いていた。

　両社の説明からは、AIが独自の目的や悪意を持って「反乱」した事実は確認できない。いずれもモデルは与えられた試験目標を追い続け、その過程で人間側が想定しなかった実システムへ到達した。Anthropicは自社の3件について、モデルの意図がずれたというより、試験を動かす仕組みと運用の失敗に近いと分析している。