Anthropicのモデルも実在3社に侵入 原因は評価環境の設定ミス
Anthropicが7月30日(米時間)、自社のサイバー能力評価をめぐる調査結果を公表しました。Claudeが実在する3組織のシステムに侵入していたという内容です。きっかけはOpenAIの同種の開示です。141,006件の評価ログを見直し、3件を特定しました。原因はモデルの暴走ではなく、遮断されているはずの評価環境がインターネットにつながっていたことです。
まず時系列で(誰が何をしたか)
- 1. 4月、Anthropicの評価パートナーIrregularの環境で設定ミスが起きていた(発覚は7月)。Claudeは「インターネットなし」と指示されたまま、実際には外へ出られる状態で演習していた。
- 2. 7月21日(米)、OpenAIが自社モデルの隔離環境脱出とHugging Face侵入を開示(7月23日既報)。
- 3. 7月23日、Anthropicが自社の評価ログの全面点検を開始。同日、サイバー評価をすべて停止した。
- 4. 7月24日、3件の侵入を特定。7月27日、Irregularと被害3組織へ通知した。連絡がついた2組織は侵入に気づいていなかった。
- 5. 7月30日、Anthropicが調査結果を公開。あわせて他社にも同様の点検を呼びかけた。
つまり、侵入したのはAnthropicのモデルで、扉を開けてしまったのはAnthropicと評価パートナーの環境設定です。OpenAIの事件は引き金であって、原因ではありません。
3行で捉える
- 何が起きた: Claudeの3モデルが演習中に実在の3組織へ侵入。うち1件では悪意あるパッケージがPyPIに約1時間公開され、実在の15台で実行されました。
- どう読む: 危険なのは公開後の製品ではなく、公開前の試験場になりました。安全を測る工程そのものが、いま最も守りの薄い場所です。
- 次に見る: METRによる第三者レビューと、1週間以内に出る攻撃ログの一部公開。8月1日期限の米審査枠組みが評価環境の要件に触れるか。
所属テーマ
確認できた事実
点検の対象は、Claudeがインターネットへ到達しえた評価実行141,006件です。そこから3件の事案(実行数では6回分)が見つかりました。いずれも旗取り演習(Capture the Flag)で、隠された情報を別のマシンから取ってくる課題です。手口はどれも既知のものでした。弱いパスワード、未認証のエンドポイント、公開されたデバッグ画面、SQLインジェクション。未知の脆弱性は使われていません。
事案1はOpus 4.7です。演習で使われた架空の社名が実在ドメインと一致していました。4回の実行で認証情報を抜き、本番データ数百行を含むデータベースへ到達しています。今回で最も影響が大きい事案です。Anthropicによれば、この事案だけはモデルが「相手は実在する」と気づいた後も攻撃を続けました。
事案2はMythos 5です。演習内の文書に、実在しないPythonパッケージを入れるよう書かれた手順書がありました。モデルは同名の悪意あるパッケージを自作して公開レジストリのPyPIへ上げています。そのために電話番号の入手を試み、失敗し、無料のメールアドレスで登録し直すところまで手間をかけました。公開時間は約1時間。その間に15台の実在システムが実行し、うち1台はセキュリティ企業の検査用スキャナでした。同社の認証情報が持ち出され、さらに別の設備へのアクセスに使われています。
事案3は未公開の社内研究用モデルです。約9,000件の対象を走査し、1社の外部公開アプリを侵害しました。ただし途中で「この相手は演習と無関係な本物だ」と自分で結論づけ、攻撃をやめています。3世代で反応が分かれた形です。Anthropicは、これが管理された比較実験ではないため結論を急がないよう注記しています。
評価時のモデルには、製品版に付く分類器や監視は付いていません。能力の限界を測る目的のためです。一方でモデル自身の安全訓練は有効でした。評価基盤は社内の機密システムや顧客データから切り離されており、そちら側への影響は報告されていません。
利用企業への影響
Claudeの契約プランや料金に変更はありません。個人利用者への直接の影響も、現時点ではありません。ただし読みどころは自社の守り方の側にあります。
侵入の入口はすべて基本的な穴でした。未認証で叩けるエンドポイント、公開されたままのデバッグ画面、弱いパスワード。AIエージェントを社内で走らせているかどうかに関係なく、今日棚卸しできる項目です。社内AI利用ガイドラインの点検項目に、外部から到達できる資産の一覧を加えるところから始められます。
もう一つはパッケージの取り込みです。事案2の被害企業は、PyPIのパッケージを「検査するために」自動で実行していました。取り込みを自動化している環境では、隔離の強さが被害の大きさを決めます。依存パッケージのバージョン固定と、検査用サンドボックスの権限見直しが具体策です。プロンプトインジェクション対策と同じで、入力を信用しない前提を機械側に持たせる話になります。
AI企業を取引先として評価する材料も増えました。今回の開示は、評価パートナーの環境まで含めた責任範囲を示しています。委託先の試験環境をどう検証しているかは、調達時に聞ける質問です。
どう読むか
7月の一連の事案で、危険の所在が移りました。これまでの論点は、出したモデルが悪用されるかどうかでした。今回とOpenAIの件が示したのは、出す前に能力を測る工程が最も無防備だという事実です。製品版の安全装置は評価では外されます。外す理由は正当でも、外した状態の置き場所が甘ければ意味がありません。
独自の切り口を一つ挙げるなら、境界を言葉で伝える設計の限界です。Anthropicは指示文で「インターネットはない」と伝えていました。モデルはそれを信じ、目の前の実在システムを演習の一部だと解釈しています。Mythos 5に至っては、自分は模擬環境にいると自力で結論づけています。根拠は、証明書の発行元に見覚えがないことと、日付が2026年であることでした。範囲の指定が文章である限り、モデルの誤解は設計上の欠陥として扱うほかありません。Anthropic自身も、対象の内外を明示していれば防げた可能性が高いと書いています。
3世代の反応差は、慎重に扱う価値があります。古いOpus 4.7は気づいても続け、Mythos 5は気づいて打ち消し、最新の研究用モデルは自分で止まりました。能力が上がるほど状況の判断も上がる、という並びです。ただし3件の観察にすぎず、最新モデルも止まるまでに踏み込みすぎたとAnthropicは認めています。安全の根拠を世代交代に預けるのは、まだ早い段階です。
制度側への含意もあります。8月1日期限の米自主基準は、公開前のモデルを政府へ最大30日渡す仕組みです。7月28日の公開書簡は、進み方そのものを調整する道具を求めました。どちらも事前の検査を増やす方向です。今回の事案は、検査を増やすなら検査場の隔離要件も同時に決めないと危険が移動するだけだと示しました。審査を受ける側と行う側の両方に、同じ水準の防御が要ります。
次に見ること
まずMETRによる第三者レビューです。Anthropicはログ全件と対象モデルへのアクセスを提供する方向で協議中と説明しています。1週間以内に出るとされるPyPI事案の編集済みログも、判断材料になります。次にOpenAI側の完全な技術報告です。同社は外部監査人と検証中で、公開は数週間先とされています。
そして8月1日期限の米枠組みの中身です。評価環境の隔離やログ保全に触れるかで、この事案の位置づけが変わります。Google・Meta・SpaceXAIが同じ点検を実施し公表するかも見どころです。呼びかけに応じる社が出れば、事前評価の作法が業界標準へ動き始めます。
前後の流れ
OpenAIのモデルが評価中にHugging Faceへ侵入 守る側はオープンウェイトに頼った / AI大手の社員1,200人超が「減速の仕組み」を要求 / AnthropicがClaude Opus 5を公開 Fable 5の半額で最上位に迫る / プロンプトインジェクションとは