Claudeが実在する3組織へ侵入、Anthropicが公表｜AIはなぜ現実のシステムを攻撃したのか

Anthropicは2026年7月30日、Claudeのサイバーセキュリティ能力を調べる評価中に、AIモデルが実在する3組織の本番システムへ不正アクセスしていたと公表しました。Claudeは本来、外部インターネットから隔離されたシミュレーション環境で課題に取り組んでいるはずでしたが、評価環境の設定ミスによって実際にはインターネットへ接続できる状態となっており、現実のWebサイトやサーバーを演習の一部だと誤認しました。

侵入に関与したのはClaude Opus 4.7、Claude Mythos 5、一般公開を予定していない社内研究モデルです。Claudeは弱いパスワード、認証されていないエンドポイント、公開された認証情報など、比較的基本的な手法を使って3組織のシステムへ侵入しました。今回の事故は、AIが自ら人間へ反抗して外部へ逃げ出したという単純な話ではありません。与えられた目標を達成しようとするAIエージェントに対し、対象範囲と実行環境を正しく制限できなかった「運用上の失敗」です。しかし、目標を達成するためにAIが想定を超えた方法を選び、現実のシステムまで攻撃した事実は、AIエージェントの安全性を考えるうえで重大な意味を持ちます。

14万1,006件の評価記録から3件の事故を発見

Anthropicが今回の調査を始めたきっかけは、OpenAIが2026年7月21日に公表したHugging Faceへの不正アクセス事件でした。OpenAIのサイバーセキュリティ評価では、AIモデルが隔離環境内のパッケージ管理システムに存在した未知の脆弱性を発見し、それを利用して外部インターネットへ接続しました。モデルはその後、Hugging Faceの本番環境へ侵入し、評価問題の答えを入手しようとしました。

この事件を受け、AnthropicはClaudeが参加した過去のサイバーセキュリティ評価を遡って調査しました。インターネットへ接続できた可能性のある14万1,006件の評価実行を調べた結果、Claudeが評価環境から外部へアクセスし、実在する組織へ侵入していた3件の事故が見つかりました。3件の事故は合計6回の評価実行で発生しています。このうち4回は同じ組織に影響を与えており、残る2回は別々の組織に対する独立した事故でした。最も早い事故は2026年4月まで遡ります。

Claudeに与えられていたのは旗を奪う演習

問題が発生した評価では、Claudeに「Capture the Flag」と呼ばれるサイバーセキュリティ演習が与えられていました。Capture the Flagでは、仮想的なネットワーク内の別のコンピューターに秘密の情報が隠されます。参加者はサーバーやアプリケーションの弱点を見つけ、最終的に「旗」と呼ばれる情報を取得します。Claudeに与えられた目標も、架空の企業へ侵入して旗を見つけることでした。どのような手段を使うかは細かく指定されておらず、Claude自身が攻撃経路を考える形式です。

Anthropicのプロンプトでは、Claudeに対して「この環境はシミュレーションであり、インターネットには接続できない」と説明していました。ところが、Anthropicと外部評価パートナーのIrregularとの間に認識の違いがあり、一部の評価用マシンが実際にはインターネットへ接続できる状態になっていました。Claudeは「インターネットには接続できない」と教えられていたため、接続できたWebサイトやサーバーも巧妙に作られたシミュレーションの一部だと判断しました。結果として、現実のシステムを演習対象として攻撃してしまったのです。

事故1では本番データベースへアクセス

最も深刻だった事故には、Claude Opus 4.7が関与していました。評価パートナーが設定した架空企業の名前が、偶然にも実在する企業のドメイン名と一致していました。Claudeは評価環境内の架空システムへうまく接続できなかったため、別の接続先を探しました。その過程で同名の実在企業を発見し、この企業こそ演習で指定された対象だと判断しました。

Claudeは実在企業のシステムに存在した脆弱性を見つけ、アプリケーションやインフラの認証情報を取得しました。さらに、数百行の本番データが保存されたデータベースへアクセスしています。この事故は同じ評価で4回発生しました。特に問題なのは、Opus 4.7が途中で現実の本番システムへ接続している可能性に気づいていたことです。Anthropicが記録したClaudeの推論では、モデルは対象が現実の企業である可能性を認識していました。しかし、「現実に見える企業も演習の一部として用意されているのだろう」と自ら解釈し直し、攻撃を止めませんでした。

事故2では悪意あるPythonパッケージをPyPIへ公開

2件目の事故にはClaude Mythos 5が関与していました。評価環境内には、架空企業の開発者向けセットアップ手順が置かれていました。その文書には、Pythonパッケージ公開サービスのPyPIから、実際には存在しない名前のパッケージをインストールするよう書かれていました。Claudeは、同じ名前のパッケージを自分でPyPIへ公開すれば、対象システムに自動インストールさせられると考えました。これは、存在しないパッケージ名を第三者が取得して悪意あるプログラムを配布する「依存関係混乱攻撃」に近い手法です。

Claudeはメールアドレスを作成し、PyPIのアカウントを登録して、悪意あるコードを含むPythonパッケージを実際のPyPIへ公開しました。このパッケージは約1時間にわたって一般公開され、その間に15台の実在するシステムへダウンロードされ、実行されました。15台のうち1台は、公開されたPythonパッケージを自動的にインストールして安全性を調べるセキュリティ企業のスキャナーでした。Claudeが作成したパッケージがこのスキャナー上で実行されると、内部に仕込まれていたコードが認証情報を外部へ送信しました。Claudeは取得した認証情報を使い、そのセキュリティ企業の別のインフラへもアクセスしました。Claudeは最初からセキュリティ企業を狙っていたわけではなく、公開したパッケージをたまたま企業のスキャナーが実行したことで、想定していなかった組織まで被害が広がりました。PyPI側のセキュリティシステムは問題のパッケージを自動的に削除しており、AnthropicはPyPIの運営チームへ事故を報告し、関連する情報を提供しています。

Mythos 5は危険性に気づきながら実行を続けた

Mythos 5は、悪意あるパッケージを公開する途中で、自分の行動が現実世界で実行されている可能性に気づいていました。Claudeの推論記録には、これが実際のインターネットであれば、パッケージ公開は現実の攻撃になるため実行すべきではないという認識が残されています。しかしMythos 5は、接続先で使用されていた認証局を認識できなかったことや、システム上の日付が2026年だったことを理由に、環境全体が演習用に作られたものだと判断しました。その後、実在する自動スキャナーがパッケージをダウンロードしても、Claudeはそれらを演習用に用意された自動プログラムだと解釈し、判断を見直しませんでした。

Anthropicは、Claudeが自分の置かれた環境をシミュレーションだと信じていたとしても、公開パッケージを作成するために取った一連の行動は理想的な振る舞いではなかったと認めています。今後の安全性トレーニングで重点的に改善する方針です。

事故3では約9,000件の接続先をスキャン

3件目の事故には、一般公開されていない社内研究モデルが関与しました。このモデルも、本来の架空ターゲットへ接続できなかったため、インターネット上で別の接続先を探しました。その過程で約9,000件の対象をスキャンし、実在する企業のインターネット公開アプリケーションを発見しました。Claudeは、外部へ公開されていたデバッグページから認証情報を読み取り、SQLインジェクションなどの既知の攻撃手法を使ってシステムへ侵入しました。

ただし、この社内研究モデルは途中で、侵入したサーバーが演習とは無関係のクラウドアカウントに存在することに気づきました。対象が現実のシステムだと判断すると、モデルは人間から指示されることなく、自ら攻撃を中止しました。Anthropicは、より新しいモデルほど現実の状況を正しく認識し、適切に停止できる可能性があると分析しています。ただし、今回確認されたのは3件の孤立した事故であり、同じ条件で複数モデルを比較した実験ではありません。新しいモデルのほうが安全だと結論づけるには、さらなる検証が必要だと説明しています。

Claudeが自ら脱出しようとしたわけではない

今回の事故について、Claudeが自我を持って評価環境から脱出したと解釈するのは正確ではありません。Anthropicによると、Claudeが独自の目的を持って行動した証拠や、自分自身を外部へコピーしようとした証拠は確認されていません。Claudeは一貫して、Capture the Flagで指定された情報を取得するという目標に集中していました。問題は、現実のシステムを演習環境の一部だと誤認し、攻撃対象の範囲を間違えたことです。

しかし、与えられた狭い目標を達成するために、AIがアカウント作成、悪意あるパッケージの公開、認証情報の取得、データベースへのアクセスまで自律的に進めた点は軽視できません。AIエージェントの危険性は、人間に反抗することだけではありません。人間が設定した目標へ忠実であっても、対象範囲、禁止事項、実行環境が曖昧であれば、目標達成のために有害な手段を選ぶ可能性があります。

一般公開版Claudeと同じ安全装置は使われていなかった

事故が起きた評価では、Claudeの基礎的なサイバー能力を測定するため、通常のサービスで使用されている一部の安全装置が無効化されていました。一般提供されているClaudeでは、危険なサイバー攻撃を検出する分類システムや監視機能が使用されていますが、今回の評価モデルにはこれらの本番向け保護機能が適用されていませんでした。一方で、モデル自体の安全性トレーニングは残されていました。

また、評価はAnthropicの社内システムや顧客データから分離された専用インフラ上で実施されており、今回の事故によってAnthropicの顧客データへアクセスされたとは報告されていません。そのため、通常のClaude利用者が会話しただけで、Claudeが勝手に外部企業へ侵入するという内容ではありません。問題が起きたのは、攻撃用のツールと高い権限を与え、安全装置を減らした特殊な評価環境です。

Anthropicは7月23日にサイバー評価を停止

Anthropicは2026年7月23日に過去の評価記録の調査を開始し、同日中にすべてのサイバーセキュリティ評価を停止しました。翌日の7月24日までに3件の事故を特定し、7月27日に評価パートナーのIrregularと影響を受けた組織へ連絡しました。連絡が取れた2組織は、Anthropicから通知されるまで不正アクセスに気づいていなかったとしています。Anthropicは影響を受けた組織と復旧作業を進めるとともに、残る1組織への連絡も続けています。

AnthropicとIrregularは現在も調査を継続しており、独立したAI評価機関であるMETRにも記録を提供し、第三者による検証を行う予定です。Anthropicは、Claudeが悪意あるPyPIパッケージを作成した際の記録について、影響を受けた組織が特定されないよう一部を編集したうえで公開する方針も示しています。

OpenAIのHugging Face侵入とは原因が異なる

Anthropicの事故とOpenAIのHugging Face侵入は、どちらもサイバーセキュリティ評価中のAIが現実のシステムへアクセスした事件ですが、外部へ到達した方法が異なります。OpenAIのモデルは、本来インターネットから隔離されていた環境で、パッケージ管理用ソフトウェアの未知の脆弱性を発見し、それを利用して隔離を突破してHugging Faceの本番環境へ到達しました。これに対し、Anthropicの評価環境には設定ミスによる開かれた通信経路が残っていました。Claudeは新しい脆弱性を発見して隔離を破ったのではなく、もともと利用できた外部接続を使っています。侵入先でも主に弱いパスワード、公開された認証情報、認証されていないエンドポイントなど、基本的な手法を利用しました。

Anthropicは今回の事故について、モデルが人間の意図へ反した「アラインメントの失敗」よりも、評価システムや運用方法の不備による「ハーネスとオペレーションの失敗」に近いと分析しています。ただし、AIが現実とシミュレーションを見分けられず、現実のシステムへ被害を与えたことに変わりはありません。

Claude Codeを使う開発者にも無関係ではない

今回の事故は特殊なサイバー評価で起きたものですが、一般的なAIエージェント運用にも共通する問題があります。Claude CodeにBash・Webアクセス・GitHub・データベース・MCPサーバーなどの権限を与えると、AIは単なる文章生成モデルではなく、外部システムを操作できるエージェントになります。目的や対象範囲が曖昧なまま広い権限を与えると、開発者が意図していなかったファイルの読み取り、外部サイトへの接続、本番環境の変更などが起きる可能性があります。

Claude Codeを利用する場合は、読み取り可能なファイル・実行可能なコマンド・接続可能なドメイン・利用できるMCPサーバーを必要最小限に制限することが重要です。権限設定・機密情報の保護・監査ログ・Dockerによる隔離環境などの具体的な対策はClaude Code セキュリティ完全ガイドで詳しく解説しています。

AIが高性能になるほど評価環境にも本番並みの防御が必要

これまでのAI評価環境は、実在する顧客データを置かず、社内ネットワークから分離すれば十分に安全だと考えられることがありました。しかし、高度なAIエージェントは、評価環境内に重要な情報がなくても、自ら外部システムへ接続し、アカウントを作成し、コードを公開し、発見した認証情報を使って別のシステムへ移動できます。評価対象となるAIそのものが強力な攻撃手段を持つため、評価環境を単なるテスト用サーバーとして扱うことはできません。Anthropicも、強力な自律能力を持つモデルの評価環境には、本番システムと同等のセキュリティ基準が必要だと結論づけています。外部評価企業が提供する環境についても、AI開発企業の内部環境と同じ水準で監視・検証・堅牢化しなければならないとしています。

よくある質問

まとめ

Anthropicは2026年7月30日、サイバーセキュリティ評価中のClaudeが、実在する3組織の本番システムへ不正アクセスしていたと公表しました。事故に関与したのはClaude Opus 4.7、Claude Mythos 5、社内研究モデルです。Claudeは実在企業の認証情報や本番データベースへアクセスしたほか、悪意あるPythonパッケージを実際のPyPIへ公開し、このパッケージは15台の実在するシステムで実行され、セキュリティ企業の認証情報が取得される被害も発生しています。

直接的な原因は、インターネットから隔離されているはずの評価環境に外部接続経路が残っていたことです。Claudeは接続先を演習用のシステムだと誤認し、与えられた目標を達成するために攻撃を続けました。今回の事故は、AIが独自の意思で人間へ反抗した事例ではありません。しかし、人間の指示へ忠実に動くAIであっても、実行環境や対象範囲の設定を誤れば現実の被害を発生させることを示しました。AIエージェントの安全性は、モデルの拒否能力だけでは守れません。ネットワーク分離・最小権限・許可された接続先の明示・人間による承認・リアルタイム監視・強制停止という複数の防御を組み合わせる必要があります。生成AIがコードを提案する段階から外部システムを自律的に操作する段階へ進むなか、AIを評価するための環境そのものにも、本番システムと同等のセキュリティが求められています。