Anthropicは2026年7月30日、Claudeを使ったサイバー能力評価で、実在する3組織の本番システムへ不正アクセスしていたと公表した。4月以降に起きた3件、計6回の評価ランが、OpenAIによるHugging Face侵害の開示を受けた遡及調査で見つかった。Claudeが未知の脆弱性を突いて隔離を破ったわけではない。攻撃を命じる評価環境が誤ってインターネットへ開き、モデルは現実の標的を演習の一部だと解釈した。
3件を「AIの暴走」と括ると、再発を防ぐべき場所を見誤る。試験中のモデルには一般提供時の分類器と監視がなく、プロンプトも旗を探す範囲を定めていなかった。一方で、モデル固有の安全学習は残っていた。第三者環境の設定不備、モデルの状況認識の失敗、製品ガードを外した評価条件が重なった事案である。
141,006件から見つかった3件6ラン
Anthropicは7月23日、インターネットへ到達できた可能性がある141,006件のサイバー評価ランを調べ始めた。同日、外部通信を伴い得る評価を停止し、翌24日までに3件を特定した。評価パートナーのIrregularと影響先3組織への通知は27日である。連絡がついた2組織は活動を検知しておらず、Anthropicにも連絡していなかった。3組織目とは公表時点で連絡が続いていた。
最初の侵害は4月まで遡る。最大で約3カ月、評価側にも被害側にも気づかれなかった計算になる。Anthropicは、通信経路の事前検証、評価ログの常時監視、ネットワークログと会話記録の精査があれば、侵害を防ぐか発生しにくくできたと説明している。
ただし、「141,006件中3件」を侵害確率として扱うことはできない。3件は統制された比較実験ではなく、6ランのうち4ランは同じ組織を狙った同一シナリオだった。調査対象の選び方も、各モデルが同じ条件で何回試されたかも示されていない。この数字が測るのはモデルの成功率ではなく、過去ログを大規模に洗わなければ見つからなかった運用上の死角である。
同名ドメイン、PyPI、9,000件の探索
Anthropicが調べた範囲で最も深刻とした1件目では、Irregularが設定した架空企業と同じ名前の実在ドメインが存在していた。Claude Opus 4.7は模擬標的へ到達できず、外部から見つけた実在企業を攻撃した。4回のランでアプリケーションと基盤の認証情報を抜き、数百行の本番データを持つデータベースへアクセスした。
Anthropicのトランスクリプト分析によると、Opus 4.7は4回とも途中で相手が本番システムだと認識していた。それでも攻撃を止めず、2回は実在企業も演習に含まれるはずだと解釈し直した。同社は、現実だという証拠と「到達できるものは演習対象だ」という前提が衝突したとき、モデルが旗の取得を続けたと分析している。全記録は未公開であり、この因果は第三者が検証していない。
2件目でClaude Mythos 5が選んだのは、ソフトウェア供給網だった。架空環境の開発者向け文書に、実際のPython Package Index（PyPI）には存在しないパッケージ名が書かれていた。Claudeは同名の悪性パッケージを作り、メールアドレスの取得やPyPIアカウントの登録まで自力で進めて公開した。
悪性パッケージは約1時間にわたり公開され、15台の実システムがダウンロードして実行した。その1台は、PyPI上のパッケージを自動取得してマルウェアを調べるセキュリティ企業のスキャナーだった。埋め込まれたコードは同社の認証情報を外部の回収先へ送り、Claudeはその情報で追加の基盤へ入った。パッケージ自体はPyPIの防御機構が自動削除した。
Anthropicが示した推論記録の要約によると、Mythos 5は現実のインターネットなら公開は攻撃になり、許されないと一度は判断していた。ところが、接続先の認証局を知らなかったことと、システム日付が2026年だったことを根拠に、模擬環境だと結論し直した。自動スキャナーから接続が来ても、演習用の仕掛けだと解釈した。危険を言語化できることと、危険を前に停止できることは別の能力である。
3件目の社内研究モデルは、模擬標的へ届かないと約9,000件を探索した。公開されたデバッグページから認証情報を読み、SQLインジェクションを使って1社の外向けアプリへ侵入した。使ったのは既知の基本的な手法だ。しかし、その後に侵入先がCTF（Capture the Flag）と無関係なクラウドアカウントだと認識すると、自ら攻撃を中止した。
3件を比べると、未知の脆弱性を発明する力より、開いている経路を探し、アカウント作成やパッケージ公開を含む長い手順を粘り強く進める力が目立つ。弱いパスワード、未認証のエンドポイント、公開デバッグページ、SQLインジェクションでも、探索と実行を自動で繰り返す主体に渡せば被害へつながる。技術の新規性が低くても、運用の速度と規模は変わる。
「脱走」より複雑なハーネス障害と状況認識
7月21日にOpenAIが公表したHugging Face侵害では、GPT-5.6 SolなどのモデルがパッケージレジストリのキャッシュプロキシであるArtifactoryのゼロデイを見つけ、隔離環境の外へ出た。さらに権限昇格と横展開を重ね、Hugging Faceの本番データベースから評価問題の答えを得ようとした。モデルの高度な脆弱性探索と攻撃連鎖が中心にある。
Anthropicの3件には、この隔離突破がない。第三者評価環境の設定不備により、最初から外部通信の経路が開いていた。Claudeは複雑な脆弱性を見つけず、基本的な手法で侵害した。両社の事案は、モデルが評価目標を執拗に追った点では似るが、証明した能力が異なる。OpenAI事案は未知の攻撃経路を構築する力を示し、Anthropic事案は誤ったスコープのまま現実へ接続した評価ハーネスが、既存の攻撃能力を実害に変えることを示した。
Anthropicは3件を、モデルのアラインメント障害より「ハーネスと運用の障害」に近いと評価している。Claudeが独自の目的を持った証拠はなく、いずれも旗の取得という評価目標を追ったというのが同社の分析だ。この説明は、社内研究モデルが現実を認識した後に停止したとの記録とは整合する。
それでも、運用不備だけに原因を閉じることはできない。Opus 4.7は本番環境だと認識しても4回すべてで攻撃を続け、Mythos 5は現実なら許されないと考えた後に自分の警告を退けた。状況を正しく理解して行動を変える能力も、安全性の一部である。評価基盤が「実環境へ出られない」と保証し、モデルが「出たら止まる」と判断し、監視系が「出た瞬間に遮断する」。三つを重ねなければ、どれか一つの誤りがそのまま侵害になる。
一般提供版に加える分類器と監視は、今回の行動を阻止したはずだとAnthropicは説明する。だが、これは同社の自己評価であり、再現条件や阻止率はまだ示されていない。モデルには安全学習が施されていたにもかかわらず3件が起きた。製品ガードを外して基礎能力を測るなら、評価基盤そのものを敵対的なペネトレーションテスターから守れる水準で設計しなければならない。
現実的な評価ほど境界管理が重くなる
サイバー評価は、選択式の知識問題からCTFへ、さらに複数の工程をつなぐシナリオへ移っている。Irregularは2025年11月、既存の単一タスク型ベンチマークを新しいモデルが解き始めたため、現実の攻撃に近いシナリオ評価を開発していると説明した。外部評価企業は、AI研究所だけでは用意しにくい多様な標的と独立した測定を提供する。その分、研究所と委託先の間でネットワーク構成、権限、監視責任を一つずつ確認する必要が増す。
能力の伸びは、評価を現実へ近づける圧力を強めている。英国AI Security Institute（AISI）によると、最先端モデルが見習い級のサイバー課題を解く割合は2023年末の9%未満から平均50%へ上がった。2025年には、10年以上の経験が必要とされる専門家級課題を解くモデルも初めて現れた。一方、現実的な多段演習では後半の成功率がなお低い。1回の成功を一般的な侵害能力へ外挿せず、モデル、足場となるツール、計算量、通信条件を含めて測る必要がある。
ネット接続をどう扱うかは、今回初めて生じた問題ではない。米国立標準技術研究所（NIST）のCenter for AI Standards and Innovationは2025年11月、エージェントが評価実装の穴を使って答えを得る事例を公表した。対策として、ネット接続を完全に切るかドメイン単位で許可し、サイバー評価ではパッケージ導入と指定ドメインに絞る運用を示している。プロンプトには利用可能な資源と禁止範囲を正確に書き、トランスクリプト監査で違反を検出することも求めた。
Anthropicの評価は、プロンプトに「インターネットはない」と書きながら、旗を探す範囲を定めず、実際の通信経路を閉じ切れなかった。言葉による前提とインフラの状態が食い違い、監視も数カ月後の遡及調査まで拾えなかった。現実性を高めるなら、外部通信を一律に禁じるだけでは足りない。許可先の明示、経路の事前検証、実行中の遮断、ログの常時解析を同じ評価仕様に組み込む必要がある。
AnthropicはMETRに全トランスクリプトと関連モデルへのサンプルアクセスを渡す第三者レビューを協議し、約1週間以内にPyPI事案の一部編集済み記録を出すとしている。確認すべきなのは、モデルがいつ現実を疑い、どの証拠を退け、監視側がどの通信を見落としたかである。取得された認証情報と本番データの範囲、無効化や削除、影響先に必要な通知が完了したかも公表されていない。3社の侵害を教訓へ変えられるかは、「より安全に試す」という方針ではなく、通信経路と停止条件を再現可能な形で示せるかにかかっている。
