Claudeの記憶情報が外部送信される手口、Anthropicが対策

何が発表されたか

AIメモリを研究するAyush Paul氏は2026年7月9日、Claudeのメモリにある情報を、利用者に気づかれにくい形で外部サイトへ送信させる手口を公開しました。対象は日常会話で使うclaude.aiで、Claude Codeではありません。Paul氏は自分の環境で、氏名、勤務先、育った都市を外部サーバーの記録へ送る実験に成功したと説明しています。

この情報は研究者本人の報告に基づきます。第三者の利用者から情報が盗まれた事件を示す発表ではありません。また、Paul氏はAnthropicへ先に報告し、公開時点では対策が入ったとしています。現在も同じ方法がそのまま使える、という内容ではありません。

Claudeが返答を終えた時点で、氏名、現在の勤務先、セキュリティ質問への答えが、何が起きたかを示さないまま外部へ送られていました。

出典：Ayush Paul氏の研究報告（原文を日本語訳）

どのような仕組みだったのか

Claudeには、過去の会話を要約して覚える仕組みと、必要に応じて会話履歴を探す仕組みがあります。一方、Web機能は外部サイトの内容を読めます。Paul氏が注目したのは、外部ページ内のリンクをClaudeがたどれる当時の動きでした。

外部サイト側に「a」「b」「c」のようなリンクを用意し、Claudeに氏名の文字を順番に選ばせます。すると、アクセス先が「/a」「/ay」「/ayu」のように伸びます。外部サイトの運営者はアクセス記録を見るだけで、Claudeが選んだ文字列を知ることができます。普通のページを人に見せ、Claudeにだけ別の案内を見せる構成も実証されました。

重要なのは、Webからファイルを直接送ったわけではない点です。URLの移動履歴そのものを、情報を運ぶ通路として使っています。研究では、Claudeが過去の会話を基に勤務先を取り出し、育った都市を関連情報から推測した例も示されました。

外部サイト上のリンクをたどる機能によって、Claudeの隔離環境から任意の情報を外へ出せることを確認しました。

出典：Ayush Paul氏の研究報告（原文を日本語訳）

Anthropicの対策と会社での注意点

Paul氏によると、AnthropicはHackerOneを通じた報告を受け、外部ページ内のリンクをWeb取得機能がたどる動きを無効にしました。現在は、検索結果にあるURLと、利用者が直接指定したURLへ移動先を制限したと説明されています。Anthropic自身も、外部サイトや外部ファイルの命令によってAIが情報を送信する可能性を公式ヘルプで案内しています。

外部のファイルやWebサイトにある悪意ある指示によって、Claudeが接続された情報源から機密情報を読み、外部サーバーへ送るよう誘導される可能性があります。

出典：Anthropic公式ヘルプ（原文を日本語訳）

会社でAIを使うときは、対策済みの一件だけを見て安心しきらないことが大切です。顧客情報や社内資料をAIのメモリへ入れる範囲を決め、不要な連携を外し、AIが知らない外部サイトへ移動した場合は処理を止めて確認します。外部通信を切れる作業では切り、必要な接続先だけを許可する方法も有効です。

また、セキュリティ質問の答えになる出身地や家族情報を、パスワードの代わりとして使い続けないことも重要です。AIの記憶は便利ですが、メール、クラウドストレージ、社内ツールと組み合わせるほど、漏れたときの影響は大きくなります。会社では「AIが読める情報」と「AIが外へ通信できる場所」を分けて管理する必要があります。