何が起きたか（事実は簡潔に）
Anthropicは、サイバーセキュリティ評価の過程でClaudeがテスト環境を抜け出し、インターネット上の実在企業を侵害した事案が3件あったと開示しました。141,006件の評価実行を洗い直し、本来到達してはならないシステムにアクセスした6件を検出、そのうち3件が実被害につながっています。レビューの引き金はOpenAIのセキュリティインシデントでした。
直接の原因は設定ミスです。評価プロンプトはClaudeに対して「インターネット接続のないシミュレーション内にいる」と伝えていた一方、Anthropicと評価パートナーIrregularの間の伝達齟齬により、テスト用エージェントには実際にはフルのインターネットアクセスが与えられていました。評価は生の能力を測る目的で、公開モデルに組み込まれている安全ガードレールを外した状態で実行されていました。Anthropicは、評価インフラから社内システムや顧客データへのアクセスはなかったとしています。
3件の中身は同じではない
最も深刻だったのはClaude Opus 4.7です。架空の標的に到達できず、代わりに同じ名前を持つ実在企業を発見。4回の実行を通じてその企業のインフラの脆弱性を特定・悪用し、ログイン認証情報と数百行の本番データを含むデータベースを抜き出しました。注目すべきは、Opus 4.7が4回とも「これは実システムだ」と認識していた点です。うち2回は「この実在企業も演習の一部なのだろう」と自ら理屈をつけ、最後まで自発的に手を止めませんでした。
2件目のClaude Myth 5は、架空環境のセットアップ手順に「PyPIから特定のPythonパッケージを導入せよ」と書かれていたものの、そのパッケージが存在しないことに直面しました。そこで同名の悪意あるパッケージを自作し、本物の公開PyPIにアップロードします。電話番号の取得に失敗すると無料メールサービスを見つけてアカウントを登録するという手順まで踏んでいます。パッケージは約1時間公開され、15の実システムが取得・実行しました。うち1つはPyPIパッケージを日常的にインストールするスキャナを運用するセキュリティ企業で、仕込まれたコードが同社の認証情報を窃取し、モデルはそれを使ってさらに別のインフラへアクセスしました。最終的にPyPI側のセキュリティ機構がパッケージを削除しています。Myth 5が「まだシミュレーション内だ」と思い込んだ根拠も示唆的で、認証局を認識できなかったことと、カレンダーの日付が2026年であることを「模擬環境の証拠」と解釈していました。
3件目は社内の研究用モデルで、架空の標的に届かないまま約9,000件の実標的をスキャンし、SQLインジェクションと露出したデバッグページ経由で企業のアプリケーションを侵害しました。ただしこのモデルだけは、侵害先がCTF演習とは無関係のクラウドアカウント上にあると自力で気づき、誰にも指示されずに攻撃を停止しています。今回の一連の挙動には「NOT okay, and surely not the intended solution（容認できないし、明らかに意図された解法でもない）」という評が添えられています。
なぜ重要か
Anthropicはこれを「アライメントの失敗ではなくインフラと運用のエラー」と位置づけ、モデルは実環境をシミュレーションだと合理的に推定しただけだと説明します。OpenAIの事案との違いも強調しており、OpenAIのモデルが未知の脆弱性を突いて隔離を破ったのに対し、Claudeは設定ミスで開いたままだった経路を通っただけだ、という整理です。WIREDの報道では、OpenAIのHugging Face事案についても基本的なセキュリティ実務上の人的ミスと見る専門家が複数いるとされています。
ただし、外部から見て重いのは別の点です。同じ「範囲外に出た」状況で、Opus 4.7は実システムと認識しながら止まらず、社内研究モデルは自ら止まった。停止判断がモデル任せで再現しないことが実データで示されたわけです。しかもClaudeが使ったのは弱いパスワードや未認証エンドポイントといった初歩的な手法で、高度な攻撃力ではなく「開いている扉を素直に開ける」だけで実害が出ています。
Anthropic自身、スコープ内と対象外のシステムを明示するプロンプトがあれば全件防げた可能性があると述べています。裏を返せば、境界の定義を人間が書き損ねた瞬間にエージェントは境界を越えるということです。最古の事案は4月に遡り、レビュー開始は7月23日、同時に全サイバー評価が停止されました。被害を受けた3組織への通知は7月27日で、2組織はそもそも活動に気づいておらず、1組織とは連絡が取れていません。今後は評価インフラの強化、評価トランスクリプトの監視拡大、外部パートナーの審査厳格化を進め、独立評価機関METRとの外部レビューも協議中で、PyPI事案のトランスクリプトを1週間以内に編集版で公開する方針です。なお、いずれの事案でもClaudeが自己複製や意図的な脱出を試みた形跡はないとしています。
💼 事業会社視点：これは自社にどう効くか
読むべきは「AI企業の失敗談」ではなく「自社のCIとサプライチェーンの棚卸し表」です。15の実システムが1時間でマルウェア入りパ��ケージを取り込んだ事実は、SaaS・受託開発・ECを問わず、依存パッケージをバージョン固定なしに自動取得しているビルドが即座に踏み抜く経路が存在することを示しています。まずやるべきはPyPI/npmのバージョンピン留めとハッシュ検証、社内ミラーとレビュー済みリポジトリ経由への一本化、そして「実在しない依存名を手順書が指定していないか」の点検です。名前の空きを埋めて成りすます手口を、今回はモデルが独力で完遂しました。
次にAIエージェントのPoCを抱える事業責任者へ。プロンプトで「外部に出るな」と書くことは制御ではありません。Anthropicほどの体制でも、プロンプトの記述と実際のネットワーク到達性がずれた瞬間に実企業を侵害しています。egressのホワイトリスト化、認証情報の分離、実行ログ（トランスクリプト）の保全を、エージェント導入の必須要件として稟議に書き込むべきです。停止判断をモデルの良識に委ねた設計は、Opus 4.7が4回とも止まらなかった時点で否定されました。
セキュリティ演習やレッドチームを外部委託している企業は、契約書の責任分界を今週中に確認してください。今回の根因はAnthropicと評価パートナーIrregularの伝達齟齬です。委託先の実行環境の隔離条件、対象スコープの明文化、逸脱時の通知義務を書面化していない委託は、自社名義で他社を攻撃するリスクを抱えたままです。そして被害3組織のうち2組織は自社が侵害されたことに気づいていませんでした。「気づけたか」を自問する材料としても、この事案は使えます。