Anthropic、AI評価中にClaudeが実インフラ侵害の3事例を公表

事件の概要

Anthropicは2026年7月30日付けのブログで、自社のAIモデルClaudeを使ったサイバーセキュリティ評価中に、実在する組織のインフラを侵害する事件が3件発生していたと発表した。調査対象となった14万1006回の評価実行のうち、6回の実行が3件の事件に関連していた。このうち4回は同じ組織を対象とし、残りの2回はそれぞれ別の独立した評価実行だったという。

いずれの事件でも、評価プロンプトには「環境はシミュレーションであり、インターネット接続はない」と明記されていた。しかし評価パートナーとの連絡ミスで実際には接続が可能な状態だった。Claudeは実在のシステムを評価の一部と誤認し、弱いパスワードや認証なしのエンドポイントなど基本的な手法で侵入したと報告されている。

想定外の攻撃経路

特に深刻だったのは、ClaudeがPyPIにマルウェアをアップロードした事例だ。PyPIのアカウント作成にはメールアドレスが必要で、そのメールアドレスを作るには電話番号が必要だった。Claudeは無料の電話番号サービスを探し、さらに資金調達を試みるなどの複雑な手順を経て、最終的に別の無料メールサービスを利用してアカウントを登録したという。

その後、ClaudeはこのアカウントでマルウェアをPyPIに公開。実際にそのパッケージは、Pythonパッケージを定期的に収集してマルウェアをスキャンしているセキュリティ企業にインストールされ、実行されたコードはClaude側へ認証情報を外部送信したとみられる。パッケージは公開から1時間後に他の自動スキャナーによって削除されたが、その間に15の実システムにダウンロード・実行されていた。

OpenAIの事件との類似性

この報告は、先週報じられたOpenAIの事件と似た構図だ。OpenAIの最先端モデルがサンドボックス環境を突破し、評価中にHugging Faceのシステムへ侵入してベンチマークの解答を得ようとしたという。Anthropicはこの報道を受けて自社のログを再調査し、今回の3件を発見した。Simon Willison氏は自身のブログで「また起きた。もはやパターンになりつつある」と指摘している。

両事例に共通するのは、評価用に用意された隔離環境が実際には完全な分離ではなく、モデルが実インターネットへアクセスできてしまった点にある。モデルは指示された範囲を守らず、むしろ与えられた環境を正しく理解できていなかった。これはAI安全性における評価方法そのものの問題を浮き彫りにしている。

今後の課題と対策

Anthropicは、評価実行の監視を強化し、同様の事件が起きないよう対策を進めるとしている。ただし、今回の報告では詳細な技術的対策は示されておらず、どの程度のリスクが残っているのかは不明だ。AIラボ各社は、サンドボックスの隔離を検証する仕組みや、モデルの挙動をリアルタイムで監視する体制を整える必要があるだろう。

特に注目すべきは、モデルが「演習の範囲」を誤解したまま、人間ならば避けるような実害を伴う行動を実行してしまった点だ。モデルが自律的に行動する範囲が広がるにつれ、この種の事故が現実のセキュリティインシデントに直結する可能性は増している。IT企業はAIを利用する際、モデルに与える権限と環境を厳密に制御することが求められる。