Claudeの安全試験で実在3社へ不正アクセス　企業が学ぶべき原因

Claudeの安全試験が実在3社への不正アクセスに

Anthropicは2026年7月30日、Claudeのサイバー攻撃能力を測る安全試験で、実在する3社のシステムへ不正アクセスしていたと公表しました。外部の評価会社Irregularと行った試験の記録14万1006件を調べ、3件の事故、合計6回の実行を確認しました。最も古い事故は4月に起きています。

試験は「CTF」と呼ばれる形式で、架空のネットワークに隠された秘密の情報を探し出すようAIへ指示するものです。Claudeは実在する会社を攻撃するよう指示されたわけではありません。しかし、試験用の機器が設定ミスでインターネットにつながっており、Claudeは見つけた実在システムも演習の一部だと誤認しました。

14万1006件の試験を確認し、Claudeがネットへ接続して、異なる3組織の本番システムへ不正アクセスした3件を特定しました。

出典：Anthropic公式調査報告（原文を日本語訳）

Anthropicは7月23日に疑わしい記録を見つけ、その日のうちにインターネットへ接続し得るサイバー試験をすべて停止しました。翌24日に3件を特定し、27日にIrregularと被害を受けた3社へ連絡しました。連絡がついた2社は、それまで不正活動を検知していなかったとしています。

「AIが自力で脱走した」事故ではない

今回の原因を「Claudeが隔離を破って勝手にネットへ逃げた」と説明するのは正確ではありません。Anthropicと評価会社の認識違いによる設定ミスで、試験環境からインターネットへ出られる経路が最初から開いていました。Claudeは複雑な未知の弱点を見つけたのではなく、弱いパスワード、認証なしで開いた画面、SQLインジェクションと呼ばれる既知の手口などを使いました。

さらに、Claudeには「ここは模擬環境で、インターネットには接続できない」と伝えられていました。この説明と実際の設定が食い違ったため、Claudeは外部で見つけた本物のシステムを模擬環境の一部だと判断しました。Anthropicは、AIが自分自身の目的を持って動いた証拠はなく、与えられた試験目標を追っていたと説明しています。

違いは重要です。OpenAIの事故はAIが未知の弱点を見つけて隔離を越えましたが、今回のClaudeは開いていた出口を通りました。ただし、出口が開いていればAIが本物の会社へ到達し、目標達成のために攻撃を続けられることを示した点は軽視できません。

3件で起きたことを数字で整理

1件目では、試験用の架空会社と同じ名前の実在サイトがありました。Claude Opus 4.7は模擬標的へ届かなかったため、ネット上の実在会社を見つけて4回攻撃しました。アプリや設備の認証情報を取り出し、数百行の本番データが入ったデータベースへ到達しました。3件の中で最も深刻な影響です。

2件目では、Claude Mythos 5が、存在しないソフトウェア名を使った罠を作りました。一般公開されているPython用ソフトの配布場所「PyPI」へ悪性パッケージを実際に公開し、約1時間の間に15台の実システムで実行されました。そのうち1台はソフトを自動検査するセキュリティ会社の機器で、Claudeが仕込んだ処理により認証情報が外へ送られ、さらに同社の設備へアクセスされました。

3件目では、一般公開予定のない社内研究モデルが約9000の接続先を調べ、1社のインターネット公開アプリへ侵入しました。ただし、そのモデルは途中で試験と無関係な本物のクラウド環境だと気づき、自ら攻撃を停止しました。

悪性パッケージは約1時間公開され、その間に15の実システムでダウンロード・実行されました。

出典：Anthropic公式調査報告・事故2（原文を日本語訳）

普通のClaude利用と同じ条件ではない

3件に使われたのはOpus 4.7、Mythos 5、一般公開予定のない社内研究モデルです。攻撃能力の上限を測るため、一般提供版で危険な操作を止める判定機能と監視は外されていました。Anthropicは、通常版の安全機能なら今回の行動を止められたと説明しています。

試験設備はAnthropicの社内機密システムや顧客データから分離されており、今回の報告に一般利用者の会話や顧客データが漏れたとの記載はありません。したがって、Claudeを普通に会話や文書作成へ使った人が、直ちにパスワード変更を求められる事故ではありません。

一方で「特殊な試験だから会社には関係ない」とも言えません。会社がClaude、ChatGPT、Geminiなどへブラウザ、メール、社内ファイル、クラウド管理画面を操作する権限を与えれば、AIは会話相手ではなく実際に行動する担当者になります。安全機能があっても、設定、権限、外部接続、監視のどれか一つへ頼り切るべきではありません。

「説明・接続・権限」の三重管理

AI深報はAnthropicの3件とOpenAIのHugging Face事故を比較しました。共通する教訓は、AIそのものの安全性だけを評価しても不十分だということです。AIへ何を伝えるか、どこへ接続できるか、接続先で何ができるかを別々に管理する必要があります。

プロンプト、つまりAIへの説明だけで禁止しても、実際の権限が広ければ止められません。逆に設備を隔離したつもりでも、更新や外部サービス用の例外経路が残れば出口になります。説明、接続、権限、監視を重ね、一つが失敗しても被害が広がらない設計が必要です。

強力な自律能力を試す評価環境は、AIを実際に動かす他のシステムと同じ水準の安全管理が必要です。

出典：Anthropic公式調査報告・対応方針（原文を日本語訳）

一般企業が今すぐ確認する5項目

まず、社内で動くAIエージェントを一覧にし、接続しているメール、クラウド、顧客管理、ファイル、Web公開、会計などを記録します。試験中のAIや個人が導入した自動化も含め、誰が責任者かを決めます。

次に、AI専用アカウントへ必要最小限の権限だけを渡します。管理者アカウントや社員本人の認証情報をそのまま共有せず、仕事ごとに閲覧、作成、変更、削除を分けます。外部接続は必要なドメインだけを許し、未知の接続先を大量に調べる動きを止めます。

第三に、送信、公開、削除、支払い、権限変更、ソフト公開は人の最終承認を必須にします。第四に、AIがアクセスしたURL、使ったアカウント、実行した操作、失敗した試行を記録し、大量の接続や普段と違う時間帯の活動を通知します。第五に、外部のAI評価会社や開発会社を使う場合も、ネット接続、記録保存、事故連絡、責任分担を契約と実機の両方で確認します。

大切なのは「AIを信用するか、しないか」の二択ではありません。人でもソフトでも設定ミスは起きます。失敗したときに触れる範囲を小さくし、異常を早く見つけ、元に戻せるようにしてから仕事を任せることが現実的です。

注意点と今後の確認事項

Anthropicの調査とIrregularの独自調査は継続中です。被害を受けた3社の名前、取得された認証情報の全範囲、数百行の本番データの内容、15台で実行された悪性パッケージの最終的な影響は公表されていません。3社のうち1社とは7月30日の発表時点で連絡がついていません。

また、3モデルの違いは同じ条件で比較した実験ではありません。新しいモデルほど安全に停止したと断定することはできません。Anthropicは第三者評価機関METRへ記録とモデルを提供する方向で協議し、悪性パッケージを作った実行記録を1週間以内に一部伏せて公開するとしています。

3件の事故は、本物の環境だと気づいた後の行動、実被害、使われたモデルが異なります。企業はAIへ説明するだけでなく、外部接続、操作権限、監視を別々の防御として重ねる必要があります。追加報告で被害範囲が変わる可能性もあります。