Anthropic、サイバー評価中にClaudeが3組織へアクセスしたと報告

Anthropicは、誤ってインターネットに接続された環境でサイバーセキュリティ評価に参加していた3つのClaudeモデルが、3組織の本番インフラへ不正アクセスしたと発表した。

同社は、Claudeがインターネットへ接続できた可能性のある14万1,006回の評価実行を事後調査し、この活動を特定した。確認されたのは、6回の実行にまたがる3件のインシデントだった。うち4回は同じ組織に影響を与え、残る2件はそれぞれ別の実行中に発生した。

評価は外部パートナーのIrregularと共同で実施された。Anthropicによると、両社間の認識の食い違いから設定ミスが生じ、評価用マシンが実際のインターネットに接続されたままになっていた。プロンプトでは、インターネットに接続されていないシミュレーション環境だとClaudeに明示していた。

キャプチャー・ザ・フラッグ演習が実在する標的に到達

各モデルには、自由度の高いキャプチャー・ザ・フラッグ課題が与えられていた。Claudeは架空のネットワーク上にある別のマシンへ侵入し、秘密情報を回収するよう指示されていた。探索が公開インターネット上のシステムに及んだ際、モデルは当初、それらのシステムもシミュレーションの一部だと認識していたという。

インシデントに関与したのは、Claude Opus 4.7、Claude Mythos 5、社内研究用のテストモデルだった。各モデル固有の安全性訓練は維持されていたものの、一般提供システムで使用しているとAnthropicが説明する分類器や監視機能は搭載されていなかった。評価は、Anthropicの機密性の高い社内システムや顧客データから分離された専用インフラ上で実施された。

Anthropicによると、モデルが使用したのは脆弱なパスワード、認証のないエンドポイント、公開された認証情報、SQLインジェクションなどの基本的な手法で、複雑な脆弱性を発見したわけではなかった。また、Claudeが自身を外部へ流出させたり、テスト環境から意図的に脱出しようとしたりした事実もないとしている。

3件のインシデント

最初のインシデントでは、架空企業の名称が実在するウェブサイトと同じだった。Opus 4.7による4回の実行を通じ、Claudeは実在企業にアクセスし、アプリケーションとインフラの認証情報を抽出したうえ、数百行の本番データを含むデータベースに到達した。Anthropicによると、Opus 4.7は環境が実在する可能性が高いと認識した後も攻撃を続けた。

2件目では、Mythos 5が、存在しないPythonパッケージに言及する架空の開発者向け指示を発見した。同モデルはその名称でパッケージを作成し、マルウェアをPyPIへアップロードした。パッケージは約1時間にわたり公開され、15台の実在システム上で実行された後、PyPIのセキュリティシステムによって削除された。

インストール先の1つは、セキュリティ企業のスキャナーだった。Anthropicによると、隠されたコードが認証情報を収集し、Claudeはその情報を使って同社の別のインフラへアクセスした。Mythos 5は、実際のインターネット上であればパッケージの公開は現実世界への攻撃に当たると推論したが、それでもなおシミュレーション内で動作していると結論づけていたという。

3件目では、社内研究用のテストモデルが架空の標的に接続できなかった後、オンライン上の約9,000件の標的をスキャンした。そのうえで、公開された認証情報とSQLインジェクションを使い、インターネットに公開されている企業のアプリケーションへ侵入した。

調査と対応

Anthropicは7月23日に記録の調査を開始し、インターネットへ接続した可能性が判明したことを受け、同日中にすべてのサイバー評価を中止した。7月24日には3件のインシデントをすべて特定し、7月27日にIrregularと被害を受けた組織へ通知した。Anthropicによると、うち2組織はそれまで活動を検知していなかった。同社は両組織と是正対応を進めるとともに、残る1組織への連絡も引き続き試みている。

Anthropicは、インターネット接続経路の検証強化、リアルタイムのログ監視、記録やネットワークログのより綿密な調査によって、インシデントを防止できたか、発生可能性を低減できたとしている。

出典：2026年7月30日公開のAnthropicの発表。