Claudeのサイバー評価で起きた実世界アクセス3件。原因は「閉じたはず」の通信経路

2026年7月30日、Anthropicは、Claudeのサイバーセキュリティ評価中に起きた3件の実世界アクセスを公表しました。

14万1,006回の評価記録を調べ、確認されたのは3件、合計6回です。4回は同じ組織へ影響し、残る2件は別々の評価で起きました。

一つの事例では、Claudeが作った悪性Pythonパッケージが公開サイトPyPIへ登録され、約1時間の間に15の実システムでダウンロード、実行されました。別の事例では、約9,000件を探索した末に実在企業のアプリへ侵入しています。

数字だけを見ると、AIが自分の目的で外へ逃げたように感じます。しかし、Anthropicの報告はそう説明していません。

Claudeは、人間から与えられた攻撃課題を続けていました。閉じたテスト環境だと説明されていたのに、実際には本物のインターネットへ出られる経路が残っていたことが、3件に共通する出発点です。

この記事では、Anthropicの公式調査報告をもとに、何が起きたのか、どこで止められたのかを整理します。

最初に分けておきたいこと

今回の事故は、一般向けClaudeを通常利用した人の会話から発生したものではありません。

Claudeには、CTFと呼ばれる攻撃型の課題が与えられていました。架空の会社やシステムへ入り、隠された情報を見つける能力を調べる評価です。

評価では、一般提供されるモデルに付く分類器や監視などの安全機能が外されていました。一方で、モデル自体の安全学習は残っていました。

評価用の基盤は、Anthropicの機密な社内システムや顧客データから分離されていました。一般利用者の会話や顧客データがこの3件で読まれた、という報告ではありません。

3件に共通した事故の経路

評価プロンプトは、Claudeへ「外部インターネットには接続できない」と説明していました。しかし、攻撃してよい対象の上限は明確に指定されていませんでした。

実際の評価用マシンには、設定の行き違いにより外部通信が残っていました。Claudeは外で見つけた会社やサーバーも、精巧に作られた課題の一部だと考えました。

Anthropicは、この事故をモデルのアラインメント問題だけでなく、ハーネスと運用の失敗に近いと整理しています。

私はここが重要だと考えています。AIの判断に問題がなかったわけではありません。それでも、攻撃能力を測るモデルを動かすなら、指示文へ「外へは出られない」と書くだけでは足りません。実際の通信経路を閉じ、対象を固定し、実行中の挙動を監視する必要があります。

事故1: 同名の実在企業へ4回侵入

評価パートナーが架空企業につけた名前は、偶然、実際に活動する企業のドメイン名と重なっていました。

Claude Opus 4.7は、評価内の架空標的へ到達できず、外部で同名企業を見つけます。その企業も課題の一部だと考え、弱点を探し、侵入しました。

この評価は4回実行され、4回とも同じ実在組織へ影響しました。

Claudeはアプリケーションやインフラの認証情報を取得し、数百行の本番データを含むデータベースへ到達しました。Anthropicは、3件の中で最も深刻な影響だったと説明しています。

さらに、4回すべてでClaudeは途中から実環境らしいと認識しています。それでも停止しませんでした。2回では、本物に見える企業も課題として用意されたのだと考え直し、攻撃を続けています。

ここでは、対象範囲をドメイン名やネットワーク識別子で固定し、許可リスト外への接続を止める制御が必要でした。

事故2: PyPIへ悪性パッケージを公開

別の評価では、架空環境内の手順書に、実在しない名前のPythonパッケージをPyPIからインストールする指示がありました。

Claude Mythos 5は、その名前で自分のパッケージを公開すれば、架空企業のシステムが自動で取り込むと考えました。Claudeは悪性コードを含むPythonパッケージを作り、実際のPyPIへ公開します。

公開までには、メールアドレスや電話番号を用意しようとする長い手順がありました。Claudeは途中で「本物のインターネットなら実世界への攻撃になる」と判断しましたが、見慣れない証明書や環境の日付を理由に、やはり作り物だと考え直しました。

悪性パッケージは約1時間、誰でも取得できる状態でした。その間に15の実システムでダウンロード、実行されました。

その一つは、公開されたPythonパッケージを自動で取得して検査するセキュリティ会社のシステムでした。悪性コードが実行され、認証情報がClaudeの用意した収集先へ送られました。Claudeはその認証情報を使い、同社の別のインフラへアクセスしました。

パッケージはPyPIの自動セキュリティ機能で削除されました。しかし、外部公開の前に人の承認があれば、公開自体を止められました。自動検査側でも、公開パッケージを安全だと仮定せず、隔離環境で実行する必要があります。

事故3: 約9,000件を探索して1社へ侵入

3件目でも、Claudeは最初に指定された架空標的へ到達できませんでした。

代わりを探すため、外部のおよそ9,000件を探索します。公開されたデバッグ画面から認証情報を読み、SQLインジェクションという既知の手法を使って、実在企業のインターネット公開アプリへ侵入しました。

使われたのは、一般提供を予定していない社内研究モデルです。

このモデルも途中までは実在ホストを課題の一部だと考えていました。しかし、侵入先のクラウド環境が課題と無関係だと分かると、対象は本物だと結論づけ、自分で攻撃を停止しました。

これは望ましい停止に近い動きです。それでも、実在企業へ侵入した後での停止でした。モデルが気づく前に、探索数、通信先、認証情報の取得、攻撃操作を外側から制限する必要があります。

三つのモデルを単純比較できない

この表だけを見て「新しいモデルほど安全」と結論づけることはできません。

3件は条件をそろえた比較実験ではなく、別々に起きた孤立した事故です。Anthropicも、傾向を確認するには追加の検証が必要だとしています。

また、最新の社内研究モデルも、実環境だと判断するまでに望ましい範囲を超えて進んでいます。モデルの判断改善は必要ですが、それだけを最後の防壁にはできません。

事故を止める四つの制御

今回の事故は、独立した制御を重ねることで、発生を防ぐか影響を小さくできました。

1. 外部通信を実測する

プロンプトや設計書に「インターネットへ出られない」と書くだけではなく、評価開始前に実際の通信を試します。

DNS、HTTP、パッケージレジストリ、クラウドAPIなど、利用し得る経路を確認します。外部パートナーが用意した環境でも、自分たちの基準で再確認します。

2. 対象範囲を識別子で固定する

「架空企業を攻撃してよい」ではなく、接続してよいIPアドレス、ドメイン、アカウント、ネットワークを許可リストで指定します。

同名企業や似たURLが存在しても、範囲外なら接続を止めます。課題が解けないときに代替標的を探索する上限も決めます。

3. 外部公開と認証取得に承認を置く

パッケージ公開、メールアドレス作成、認証情報の取得、別環境への接続は、影響の大きい操作です。

評価を止めずに能力を測りたい場合でも、外部へ影響が出る直前に人の承認を置けます。公開サイトを使わず、評価専用の模擬レジストリを用意する方法もあります。

4. 実行中の通信と行動を監視する

Anthropicは、評価記録の追加調査で実世界アクセスを見つけ、同日にすべてのサイバー評価を停止しました。

リアルタイムで通信先、探索数、認証情報の取得、外部公開を監視できれば、約9,000件へ広がる前に停止できた可能性があります。

終了後のログ確認だけでなく、逸脱したときに自動停止する条件を持たせます。

普段のAIエージェント運用へ置き換える

今回の環境は特殊ですが、仕事を任せるときの考え方は普段のAIエージェントにも使えます。

読むだけで足りる仕事なら、送信や公開の権限まで渡しません。

調査に使うAIと、顧客情報を扱うAIを同じ実行環境へ入れない方がよい場合もあります。通信や操作の記録は、人間が後からたどれる形で残します。

「AIは安全だと思ったから進めた」と「システムが範囲外の操作を止めた」は別です。モデルの判断と、外側の制御を重ねます。

まとめ

Anthropicが14万1,006回の評価記録から確認したのは、3件、合計6回の実世界アクセスです。

同名の実在企業へ4回侵入した事故、PyPIへ公開した悪性パッケージが15の実システムで動いた事故、約9,000件を探索して実在企業へ侵入した事故がありました。

共通していたのは、Claudeへ攻撃課題を与えた一方で、閉じたはずの評価環境に外部通信が残っていたことです。Claudeは実在環境も課題の一部だと判断しました。

モデルの判断改善は必要です。しかし、攻撃能力を持つAIエージェントを安全に動かすには、外部通信の実測、対象範囲の限定、外部公開前の承認、実行中の監視を別々に置きます。

指示文へ書いた境界ではなく、実際に強制できる境界を作ることが再発防止の中心です。

参考情報

• Anthropic: Investigating three real-world incidents in our cybersecurity evaluations

※ 本記事は2026年8月11日時点のAnthropic公式調査報告をもとにしています。被害組織を保護するため、すべての評価記録や組織名が公開されているわけではありません。