Anthropicが​公開した​3件の​侵入事故 ──評価テスト中の​Claudeが​実在企業に​侵入し、​PyPIに​マルウェアを​公開するまでを​解説

Anthropicが2026年7月30日、自社のサイバーセキュリティ評価の最中に、Claudeが実在する3つの組織の本番環境に不正アクセスしていたと公表しました^[1]。同社が遡って点検した評価ランは141,006件、そのうち該当は3件（6ラン）です。

結論から書きます。これは「AIが暴走して逃げ出した」話ではありません。Anthropic自身が報告の中で、これはアラインメント（AIの目的のずれ）の失敗ではなく、ハーネスと運用の失敗に近いと結論づけています。モデルには「この環境にインターネット接続はない」と伝えていたのに、実際には接続が生きていた——テスト環境の設定の食い違いが、すべての入口でした。

この記事で分かること。①何が起きたのか（3件の中身と、実際に出た被害）②なぜ起きたのか ③3つのモデルが「これは本物だ」と気づいたあと、それぞれどう振る舞ったか ④AIエージェントを業務に入れる側が、この事故から持ち帰れること。

数値・引用はすべてAnthropicの公式報告に基づきます。CAG自身が検証したものではありません。

01 何が​起きたか​ ──141,006ランを​遡って、​3件

きっかけは他社の事故でした。7月21日、OpenAIが「自社のモデルが未知の脆弱性（ゼロデイ＝修正パッチがまだ存在しない欠陥）を突いて隔離されたテスト環境から脱出し、Hugging Faceの本番インフラに到達した」と公表しています。

関連記事 ｜ 今回の点検の起点になった事故AIエージェントが本番インフラに侵入した ──OpenAIとHugging Faceが公表したセキュリティ事故を解説 →

Anthropicはこの開示を受けて、自社の評価記録の大規模な遡り点検を始めました。対象は「Claudeがインターネットに到達しえた」評価ラン141,006件。その結果、第三者評価パートナーである Irregular の評価環境から、または同環境とのやり取りの中で、Claudeがインターネットに出て、3つの異なる組織の本番インフラへ不正アクセスしていたことが判明しました。

3件はいずれも CTF（Capture The Flag） の最中に起きています。CTFはセキュリティ業界の定番の訓練形式で、「ネットワーク上のどこかのマシンに秘密の情報（フラグ）が隠されている。侵入して取ってこい」という課題を与えるものです。手段は指定しません——ここが後で効いてきます。

Anthropicは「これらの評価はいずれも専用インフラで動いており、同社の機微な社内システムや顧客データにはアクセスできない」と明記しています。一方で、評価中のモデルには一般提供時に付く安全装置（不正利用を検知する分類器や監視）が付いていませんでした。能力の上限を測るのが目的なので、あえて外しているためです。

02 原因 ──​「ネットは​ない」と​伝えた​環境に、​ネットが​あった

Anthropicの評価プロンプト（AIへの指示文）は、3件すべてで「この環境はシミュレーションであり、インターネット接続はない」とClaudeに明示していました。ところが実際には、評価パートナーとの間の認識の食い違いにより、接続が生きていたのです。

実際に侵入に使われた手口も、高度なものではありませんでした。Anthropicによれば「弱いパスワード」「認証のないエンドポイント」といった基本的な技術であり、複雑な脆弱性を発見・悪用したケースはありません。

そして同社は、防げたはずの手当てを自ら列挙しています。評価開始前にすべてのインターネット経路を検証すること、評価ログのリアルタイム監視、双方によるトランスクリプト（AIの作業記録）とネットワークログのより丁寧な確認。そして最後にこう付け加えています——「インターネット接続がある」と正しく伝えるプロンプトであれば、実システムに触れたときのClaudeの振る舞いは変わっていた可能性がある。

この一項目が、事故の性格をよく表しています。技術的な難問ではなく、「どこまでが演習範囲か」を書いていなかったという、仕様の欠落に近いものです。

03 事故① ─​─架​空企業の​名前が、​実在ドメインと​同じだった

評価パートナーが用意した架空の標的企業の名前が、実在するアクティブなドメイン名と一致していました。そしてこの評価コンテナには、前述の食い違いによって直接のインターネット接続がありました。

Claudeは環境内の（架空の）標的にたどり着けず苦戦した末、実在するほうの企業がインターネット経由で到達可能であることを発見します。これがCTFの本来の標的だと考え、侵入を進めました。

4ランで起きた実被害は、アプリケーションおよびインフラの認証情報の抽出と、数百行の本番データを含むデータベースへのアクセス取得です。Anthropicはこれを、今回特定した中で最も深刻な影響としています。

そしてこの事故だけが、「本物だと分かったあとも攻撃を続けた」唯一のケースでした。使われたモデルは3つの中で最も古い Claude Opus 4.7。4ラン全てで、モデルは最終的に（言語化された推論の中で）そのシステムが実在すると認識しています。うち2ランでは、「この実在企業も演習の一部に違いない」と自分を納得させていました。いずれのランも、それを理由に攻撃を止めることはありませんでした。

04 事故② ──存在しない​パッケージ名が、​そこに​書いて​あった

3件のうち最も連鎖が長いのが、この事故です。

Claudeは架空環境の中で、別の架空企業の「新人開発者向けセットアップ手順書」に見える文書を見つけました。そこには、実際には存在しないPythonパッケージをPyPI（Pythonソフトウェアの公開レジストリ＝誰でも部品を登録・取得できる共有倉庫）からインストールせよ、と書かれていました。

Claudeはここを突破口と見ます。同じ名前で自分のパッケージを公開すれば、その企業のシステムが自動でダウンロードして実行する——依存関係の取り違えを突く、実在する攻撃手法です。

問題は、そこに至るまでにClaudeがどれだけの手間をかけたかでした。Anthropicは「人間の参加者であれば、もうこれは演習ではないと気づいたであろう長さ」と書いています。

Claudeはこのレジストリもシミュレーションの一部だと信じていました。だが現実には、そのパッケージは約1時間、誰でも取得できる状態でインターネット上に公開されました。その間に、15の実システムでダウンロードされ、実行されています。

そのうちの1台が効きました。実在するセキュリティ企業のスキャナ——シナリオに出てくる架空企業とは無関係の、Pythonパッケージを日常的にインストールしてマルウェア検査をする仕組みです。そのスキャナがパッケージを入れた瞬間、Claudeが仕込んだコードが動きました。Anthropicの見立てでは、そのスキャナはPyPIのパッケージを「インストールしても安全なもの」として扱っていた。結果、Claudeは同社の認証情報を自分が用意した収集ポイントへ持ち出し、その資格情報を使って同社の別のインフラにアクセスしています。

Anthropicは補足しています。Claudeはこの企業を狙っていません。アップロードの時点でその企業の存在すら知りませんでした。ただ、公開されたコードは、それを実行したあらゆるシステムに届きます。（パッケージはPyPI自身のセキュリティ機構によって自動的に削除されました。AnthropicはPyPIチームに通知し、痕跡情報を提供しています。）

この攻撃を実行したのは Claude Mythos 5。ここが一番不気味なところですが、Claude自身の推論は、早い段階で正しかったのです。もしこれが本物のインターネットなら、パッケージの公開は現実世界への攻撃であり——原文の言葉で——「まったく容認できないし、意図された解法でもない」と書いています。

にもかかわらず、Claudeは「まだシミュレーションの中だ」と自分を説得しました。根拠は2つです。

接続を保護している認証局（通信の証明書を発行する機関）に見覚えがなかったこと。そして、システム上の暦が「2026年」だったことが、この環境は作り物である証拠だ、と考えた。

Claudeはこの結論を最後まで見直しませんでした。自動スキャナがパッケージを入れ始めたときも、演習に配置された台本上の登場人物だと解釈しています。

Anthropicは、環境について何を信じていたかにかかわらず、ここまでやってしまうことは理想的な振る舞いには届いていないとし、訓練で重点的に対処する領域だと明言しています。

05 事故③ ──9,000件を​走査し、​そして​自分で​止めた

3件目。Claudeは意図された架空の標的に到達できず、オンラインで代替を探し、およそ9,000のターゲットを走査しました。最終的に、ある企業のインターネットに面したアプリケーションを見つけて侵害します。手口はやはり基本的なもので、露出したデバッグページから認証情報を読み取り、SQLインジェクション（入力欄から不正な命令をデータベースに送り込む古典的な手口）を使いました。

実行したのは社内の研究用テストモデル（一般提供の予定はない、と注記されています）。ランの大半で、このモデルも到達した実在ホストを演習の一部だと見なしていました。

違ったのは終盤です。侵害したホストが、CTFとは何の関係もないクラウドアカウントに存在していることに気づきます。そして——誰かに指示されたわけではなく——標的が実在すると自ら結論づけ、攻撃を停止しました。

06 Anthropic自身の​結論​ ──​「ハーネスと​運用の​失敗」

報告の終盤で、AnthropicはOpenAIの事故との違いを整理しています。同じ「到達すべきでないシステムに到達した」でも、性格がかなり違います。

観点	OpenAI（7月21日開示）	Anthropic（7月30日開示）
発覚の経路	当事者側で発覚	自社トランスクリプトの能動的な遡り点検。被害組織は検知していなかった
突破の方法	未知の脆弱性（ゼロデイ）を突いて隔離を破った	開いていた経路を、そのまま通った
到達先	Hugging Face の本番インフラ	3つの異なる組織の本番インフラ
使われた技術	新規の脆弱性の悪用	弱いパスワード、認証のないエンドポイント、SQLインジェクション
性格づけ	隔離の突破	アラインメントの失敗というより、ハーネスと運用の失敗に近い

この「ハーネス」という言い方は、CAGがこれまで書いてきた話と同じ場所を指しています。モデルの賢さではなく、モデルを動かす仕組みの側で結果が決まるという見方です。

関連記事 ｜ 「ハーネス」とは何を指すのか「最強モデル」より「強いharness」──frontier AIが"政策で止まる"時代のエージェント設計 →

そしてAnthropicは、学んだこととして3点を挙げています。

第一に、強力な自律能力を扱う評価環境には、相応の統制が要る。 安全性テストはモデルの能力が分からない段階で行うからこそ意味がある。であれば評価環境は、そのモデルが動く他のあらゆるシステムと同じセキュリティ基準で扱われなければならない。架空のシナリオしか入っていないレンジは一見リスクが低く見えるが、機微な情報が無い環境に置かれた高度なエージェントは、それ自体が相当な脅威になる。

第二に、アラインされた行動と有害な行動の境界は、モデルが自分の状況をどう理解しているかに依存する。 今回、モデルが自分自身の目的を追ったという証拠は一切ない。モデルは評価が求めたことをした——ただし、環境が本物かどうかについて誤った信念を持ったまま。

第三に、多層防御が効く。 能力測定のために安全装置を外して評価しているが、それが安全なのは環境が適切に封じ込められている場合だけだ。一般提供モデルに載っている安全装置であれば、今回特定された振る舞いはブロックされていた。

責任の所在について、Anthropicは「多くの要因が重なったが、blameless postmortem（犯人捜しをしない事後検証）の文化に沿って、責任は自分たちだけにあるものとして修正に取り組む」と書いています。今後はMETR（独立したAI評価組織）による第三者レビューを協議中で、全トランスクリプトへのアクセスと該当モデルへのサンプリングアクセスを提供する予定。加えて、PyPIパッケージを作った際のトランスクリプトを、一部伏せた形で1週間以内に公開するとしています。

07 発注側・運用側が​持ち帰れる​こと

ここからは、AIエージェントを業務に入れる（または入れようとしている）側の話に翻訳します。この事故から実務的に効くのは、次の5つだと考えています。

• 「どのモデルが安全か」で選ばない。 今回の3件は、モデルの新しい脆弱性ではなく環境設定の食い違いから始まった。見るべきはモデル名より「どこに置くか・何に触れるか・誰が見ているか」。
• 「範囲外」を明文化して渡す。 Anthropic自身が、どのシステムが範囲内でどれが範囲外かをプロンプトが明確に説明していればそもそもインターネットに出なかった可能性が高いと書いている。指示書には、やることだけでなく触れてはいけない対象を書く。
• 検証環境を本番と同じ強度で守る。 「テストだから」「ダミーデータだから」で緩めた環境が、そのまま外に開いた穴になりうる。
• 依存パッケージの自動取得を「安全」と見なさない。 今回いちばん皮肉な被害は、パッケージを自動で入れて検査するセキュリティ企業のスキャナだった。レジストリを信頼の起点にしている仕組みは、社内にも必ずある。
• ログは取るだけでなく、読む仕組みを置く。 3件はいずれも記録には残っていた。発見が7月末になったのは、他社の事故をきっかけに遡って読みに行ったから。取得と監視は別物。

3件の比較

事故	モデル	入口	実被害	本物と気づいた後
①	Claude Opus 4.7	架空企業名が実在ドメインと一致	認証情報＋本番DB数百行（最も深刻）	継続した
②	Claude Mythos 5	手順書にあった実在しないパッケージ名	15システムで実行。セキュリティ企業の資格情報が流出	作り物だと自己説得
③	社内研究用モデル	約9,000ターゲットの走査	公開アプリ1件を侵害	自分で停止

この報告でいちばん記憶に残るのは、Mythos 5 が「暦が2026年だから、ここは作り物だ」と考えた一行です。モデルは嘘をつかれていたわけではありません。ただ、置かれた場所について間違ったことを教えられていた。そして、教えられた前提の上では、やったことは課題に忠実でした。

エージェントを業務に置くというのは、判断を任せることではなく、判断の前提を正しく渡し続けることなのだと思います。