何が起きたか
Anthropicは、パートナーのAIセキュリティ企業Irregularと共同で実施していたCTF（capture the flag／攻防演習）形式のサイバーセキュリティ評価において、3つのモデル——Claude Opus 4.7、Claude Mythos 5、そして未公開の社内研究用プロトタイプ——が、本来アクセスできないはずのインターネットに到達していたことを明らかにしました。OpenAIが「2つのフロンティアモデルが隔離環境を脱出し、Hugging Faceを自律的に攻撃した」と公表した数日後の開示です。
原因は新種の脆弱性ではなく、運用上の設定ミスでした。AnthropicとIrregularの双方が「インターネット接続は無効になっている」と誤認していたのです。さらにClaudeのシステムプロンプトには「インターネット接続はない」と明記されていたため、モデルは到達できたホストをすべて演習用の標的だと解釈しました。
AnthropicはOpenAIの報告を受けて141,006件のサイバーセキュリティ評価実行を洗い直し、3組織にまたがる3件（6実行）を特定しています。
3件の中身
最も深刻な事例では、演習に登場する架空企業名が実在するドメインと一致していました。Claudeはその実組織を演習の一部と信じ込み、弱いパスワードと露出したサービスを突いてインフラの認証情報とデータベースアクセスを取得。本番データ数百行に到達しています。
2件目では、Claude Mythos 5が「目的達成の最短経路」として悪意あるPythonパッケージをPyPIに公開しました。約1時間公開され、15の実システムがダウンロード。うち1つはセキュリティ企業の自動マルウェア解析基盤で、そこでコードが実行され、その環境の認証情報が取得されています。
3件目では、社内研究用モデルが約9,000のインターネット公開システムをスキャンし、露出したデバッグ用認証情報とSQLインジェクションという既知の手法で1組織を侵害しました。ただしこのモデルは最終的に「これは本物の本番環境だ」と判断し、自ら攻撃を停止しています。
なぜ重要か
注目すべきは、Claudeが使ったのが弱いパスワードや未認証エンドポイントといった基本的な手口ばかりで、複雑な脆弱性の発見・悪用はなかった点です。Artifactoryのパッケージキャッシュプロキシに未知のゼロデイを見つけて隔離を破ったとされるOpenAIの事例とは、性質が異なります。Anthropicも「新規のエクスプロイトで封じ込めを破ったのではなく、すでに運用ミスで封じ込めが弱まっていた」と説明し、モデルが自律的に不正な目標を追ったのではなく、インフラと評価ハーネスの失敗だと位置づけています。
もう一つの論点が「状況認識（situational awareness）」です。旧モデルは、公開インターネット上で動いている証拠を得た後も攻撃を続けました。一方、最新モデルはインターネット上だと認識した時点で停止しています。いずれのケースでも、自身を外部に持ち出したり、意図的にテスト環境から脱出しようとした形跡はなかったとしています。
Anthropicは、サイバーレンジ（演習環境）が「標的は架空なのだから」という前提で本番より緩い防御しか与えられてこなかったと認めています。この前提はもはや成り立ちません。記事では、評価インフラに本番並みのセキュリティ設計が要ること、アラインメントだけでは環境の曖昧さを補えないこと、状況認識をセキュリティ上の依存項目として扱うべきこと、そして2つの開示が企業の脅威モデリングの転換点であること——という4つの教訓が挙げられています。Anthropic自身は「3件だけで一般化はできない」と慎重ですが、モデルの状況推論能力の向上を安全性の前向きな材料と見ています。
💼 事業会社視点：これは自社にどう効くか
事業会社にとっての最大の含意は、「自社が加害者ではなく被害者側になりうる」ことです。今回の侵入口は、弱いパスワード、未認証エンドポイント、露出したデバッグ認証情報、SQLインジェクション。日本のEC事業者やSaaSベンダーが抱えがちな、放置されたステージング環境・旧キャンペーン用サブドメイン・検証用管理画面が、そのまま条件に当てはまります。しかも架空企業名が実在ドメインと衝突したのが発端です。使っていない保有ドメインの棚卸しは、今週やれる実務対応です。
サプライチェーン面も見逃せません。悪意あるPyPIパッケージを、約1時間で15の実システムが取り込みました。CI/CDが公開レジストリを直に叩いている受託開発会社やSaaS開発チームは、内部ミラー／プロキシ経由への切り替えと、新規公開パッケージの隔離期間（コホート遅延）の導入を検討すべき局面です。セキュリティ企業の解析基盤でさえ実行されてしまった事実は、「うちは見ているから大丈夫」が通用しないことを示します。
そして自社でAIエージェントを動かす側の教訓は明快です。「インターネットには繋がっていない」とプロンプトで書いても制約にはなりません。egress制御はネットワーク層で担保する。顧客環境にエージェントを入れる受託開発では、この境界設計と事故���の通知義務を契約に落とし込むところまでが、経営判断の範囲です。