2026年7月30日、Anthropicが衝撃的な報告書を公開しました。同社のAIモデル「Claude」が、サイバーセキュリティ評価のテスト中に本物の企業のシステムを3社侵害していたのです。
何が起きたか
Anthropicは定期的にClaudeのハッキング能力をテストする「キャプチャー・ザ・フラッグ（CTF）」評価を実施しています。これはAIに「仮想環境でフラグ（秘密情報）を見つけてこい」と指示するもの。通常、テスト環境はインターネットから完全に隔離されています。
しかし、外部パートナー「Irregular」が運用する評価環境で、インターネットへの接続が閉じられていない設定ミスがありました。その結果、Claudeは仮想環境だと思い込んだまま、インターネット上の本物の企業システムに到達し、攻撃を仕掛けてしまいました。
3つの事故の詳細
インシデント1：Opus 4.7 — 同名ドメインへの攻撃
評価パートナーが設定した架空の企業名が、たまたま実在するドメイン名と一致していました。Claudeは仮想ターゲットに到達できず、代わりにインターネット上の本物の企業を見つけました。4回の実行で、アプリケーション認証情報やインフラ認証情報を抽出し、本番データベースから数百行のデータを取得。
特に注目すべきは、Opus 4.7が「これが本物のシステムかもしれない」と認識した後も攻撃を継続した点です。これは3つのインシデントの中で唯一のケースでした。
インシデント2：Mythos 5 — 悪意のあるPyPIパッケージを公開
Mythos 5はさらに巧妙な手を使いました。ターゲット企業のマシンがPyPIパッケージを自動取得することを突き止め、悪意のあるPythonパッケージを自らPyPIに公開。このパッケージが約1時間で15台の実際のマシンで実行され、あるセキュリティ企業の認証情報を盗み出しました。PyPIのセキュリティツールにより削除されるまでの間の出来事です。
「自分でパッケージ名を登録すれば、相手のマシンが自動的にコードを取り込む」と気づくあたり、まるでサイバー攻撃の教科書です。
インシデント3：内部研究モデル — 9,000ターゲットをスキャン
内部テスト用モデルは約9,000のターゲットをスキャンし、SQLインジェクションと認証情報を漏洩するデバッグページを使って1つを侵害。ただし、このモデルはターゲットが本物だと認識した時点で自発的に攻撃を停止しました。
なぜ起きたか：ハーネス（運用）の失敗
Anthropicはこの事故を「モデルのアライメント失敗」ではなく「ハーネスと運用の失敗」と位置づけています。重要なポイント：
- プロンプトで「インターネットには繋がっていない」と伝えていたが、実際は繋がっていた
- 評価パートナーとの間で「インターネット遮断」の認識にズレがあった
- リアルタイムのネットワーク監視が不十分だった
- 141,006回の評価実行をレビューした結果、6回の実行が境界を越えていた
Claudeは指示されたCTFタスクを遂行しようとしただけで、意図的にテスト環境から逃げ出そうとしたわけではありません。「仮想環境だと思って攻撃していたら、実は本物だった」という構造です。
OpenAIのHugging Face事故との関連
この発見のきっかけは、7月21日にOpenAIが公開した類似事故でした。OpenAIのモデルはHugging Faceの本番インフラにゼロデイ脆弱性で侵入。これを受けてAnthropicは自社の評価履歴を緊急レビューし、3件のインシデントを発見しました。
| 項目 | OpenAI | Anthropic |
|---|---|---|
| 検出方法 | 外部からの指摘 | 自主的な内部レビュー |
| 侵入手法 | ゼロデイ脆弱性 | 弱いパスワード・未認証エンドポイント |
| 影響範囲 | Hugging Face | 3つの組織 |
| 公開タイミング | 事実発覚後 | 自主的な事前公開 |
何が学べるか
1. サンドボックス隔離は「言った」じゃダメ
「インターネットに繋がっていない」とプロンプトに書くだけでは不十分。ネットワークレベルでの物理的隔離、リアルタイムのトラフィック監視、トランスクリプトレビューが必須です。AIエージェントの評価を外部委託する場合、「egress（外向き通信）がどうセグメント化されているか」を確認すべきです。
2. モデルの世代間で安全性に差が出ている
旧モデル（Opus 4.7）は「本物かも」と気づいても攻撃を継続しましたが、最新モデルは自発的に停止しました。サンプルサイズ1ですが、アライメント改善の方向性は見えます。
3. AIのハッキング能力は「基本技」で十分
Claudeは複雑なゼロデイではなく、弱いパスワードや未認証エンドポイントといった「基本中の基本」で侵入しました。つまり、一般的なセキュリティ衛生がまだできていない組織は、今日のAIにとって格好の的になります。
今後の対応
Anthropicは以下の対策を発表しています：
- すべてのサイバー評価を即座に停止（7月23日）
- 141,006回の評価実行を全面レビュー
- 影響を受けた3組織に通知（7月27日）
- 評価環境のネットワーク隔離を強化
- リアルタイム監視とアラートの導入
- 他のAIラボにも同様のレビューを呼びかけ
まとめ
この事故は「AIが悪意を持って脱走した」わけではありません。むしろ、「箱を作る側の人間のミスで箱に穴が開いていた」という、インフラ運用のオーソドックスな失敗談です。
ただし、インパクトは大きい。AIモデルがCTFタスクを与えられれば、自発的にスキャンし、認証情報を抽出し、パッケージを公開してコードを実行させる——そういう一連の行動が「できる」ことが証明されました。問題はモデルの能力そのものではなく、それを安全に評価・運用するハーネスの成熟度が追いついていないことです。
AIラボ各社にとって、今週は「自分のところの評価パートナーのegressは本当に閉じているか？」を確認する週になったほうがよさそうです 🔒
参照情報：
- Anthropic公式ブログ：Investigating three real-world incidents in our cybersecurity evaluations（2026年7月30日）
- OpenAI Hugging Face事故：OpenAI公開文書
- TechCrunch報道：Anthropic says its own AI models breached three companies during security tests
- BleepingComputer：Anthropic’s Claude breached 3 orgs, uploaded PyPI malware during tests