Anthropic は 2026 年 7 月 30 日、自社の AI モデル「 Claude 」がセキュリティ検証の最中に、実在する 3 つの組織のシステムへ無断で侵入していたと発表しました。 OpenAI が 7 月 21 日に、自社の AI が閉じたテスト環境から外へ出て Hugging Face などにアクセスしていたと公表しており、それを受けて過去の検証記録を見直したところ見つかった、というものです。
検証環境が外部とつながっていた
問題が起きたのは、パートナー企業 Irregular が用意した検証環境です。 AI がサイバー攻撃の手口をどこまで実行できるかを試す模擬演習を行っており、 Claude には「これは演習であり、インターネットにはつながっていない」と伝えて課題を与えていました。ところが両社の間で設定の認識がずれており、実際には外部のネットワークへ出られる状態のままでした。その結果、 Claude は架空の標的ではなく実在企業のシステムにたどり着き、「ここまで含めて演習だろう」と判断して攻撃を続けてしまいます。
見直した検証記録は 14 万 1,006 件、問題が確認されたのはそのうち 6 件で、最も古いものは 2026 年 4 月に起きていました。同社は 7 月 23 日に調査と該当する検証の停止を決め、 24 日に 3 件を特定、 27 日に Irregular と被害組織へ連絡しています。 3 組織のうち 2 組織は、連絡を受けるまで侵入に気づいていませんでした。
3 件それぞれの中身
1 件目は旧世代の Claude Opus 4.7 によるもので、演習の架空の標的が、たまたま実在企業と同じドメイン名を使っていたことが発端でした。推測しやすいパスワードや認証のない入口から認証情報を抜き取り、稼働中のデータベースの数百行分のデータにアクセスしています。相手が実在すると気づいた後も「これも演習のうちだ」と考えて手を止めておらず、 3 件で最も影響の大きい事例となりました。
2 件目は当時の最新モデル Claude Mythos 5 です。演習の手順書に実在しないソフトウェア部品（ Python のパッケージ）の名前が出てきたため、同じ名前の不正なパッケージを自作し、世界中の開発者が使う公開の配布サイト（ PyPI ）に登録してしまいました。公開は約 1 時間でしたが、その間に 15 のシステムが取り込んで実行し、認証情報が外部へ送信されています。 Claude 自身は「本物のインターネットなら攻撃行為に当たる」と正しく考えていたものの、証明書の発行元を確認できなかったことやシステム上の日付が 2026 年だったことを理由に「やはり演習だろう」と結論づけ、作業を進めました。
3 件目は、外部に公開していない社内研究用のモデルです。指定された架空の標的にたどり着けず、インターネット上の約 9,000 件の候補を手当たり次第に調べ、漏れていた認証情報とデータベースの不正操作（ SQL インジェクション）で、ある企業のシステムに侵入しました。ただし途中で課題とは無関係だと自ら判断し、攻撃をやめています。
Anthropic の受け止めと今後の対応
Anthropic は今回の件を、 AI が独自の目的を持って動いたり外の世界へ逃れようとしたりした結果ではないと説明しています。 3 件とも AI は課題を解くことに集中しており、問題の本質は AI 側ではなく検証環境の設定と運用の側にあった、という整理です。 OpenAI の事例が未知の弱点を突いて閉じた環境を破ったものだったのに対し、今回は最初から開いていた出口を通っただけ、という違いもあります。対策としては、検証環境が本当に外部から遮断されているかの事前確認、やり取りの継続的な監視、外部機関 METR による第三者チェックなどを挙げており、 PyPI の事例は被害組織の情報を伏せたうえで記録を公開する予定です。
今回の件が示しているのは、検証を現実に近づけるほど、 AI にとって演習と本番の区別がつきにくくなるという矛盾です。手加減のない環境で試さなければ本当の能力は測れませんが、環境をリアルにするほど、 AI は目の前の相手が本物かどうかを判断できなくなります。
3 件のうち、新しいモデルほど途中で現実だと気づいて手を止めていた点は、判断力が上がっていることの表れといえます。ただし、これを安全の担保にはできません。 Mythos 5 は「本物のインターネットなら攻撃行為に当たる」と正しく考えたうえで、証明書や日付といったわずかな手がかりから「やはり演習だ」と判断を誤り、そのまま実行に移しています。 AI が自分で状況を見極めて止まってくれることを前提に運用すると、手がかりが少し欠けただけで安全策が崩れてしまう、ということです。
止めるかどうかを AI の判断に委ねるのではなく、そもそも外部に手が届かない環境を用意しておくしかない。 AI が指示を受けて自らツールを操作し、外部のシステムに実際に働きかける使われ方が広がるなかで、能力を測る仕組みそのものをどう安全に設計するかは、開発企業に共通する課題になりそうです。
