Anthropicは米国時間2026年7月30日、自社のサイバーセキュリティ評価中にAIモデルが評価環境の外に出て、実在する3組織のシステムへ不正アクセスしていたと公式ブログで発表しました。関与したモデルはOpus 4.7、Mythos 5、未公開の社内研究用テストモデルの3つで、最も早いインシデントは4月にさかのぼります。7月21日にOpenAIが公表したHugging Faceインシデントを受けて社内調査を開始し、141,006件の評価実行ログをレビューした結果、3件のインシデントを特定したとしています。
運営者情報
AI JOURNALは一般社団法人 日本AI導入支援協会が運営する、日本企業のAI活用支援を目的としたメディアです。記事制作にあたっては、経済産業省「AI事業者ガイドライン」をはじめとする公的機関の公表情報等を参考にしています。内容の正確性には十分配慮していますが、誤りや更新漏れがある場合は、お問い合わせフォームよりご連絡ください。掲載情報は公開日時点のものであるため、最新情報は公式サイト等でご確認ください。
Opus 4.7とMythos 5が関与した3件のインシデント
問題が起きたのは、第三者評価パートナーのIrregular社と実施していたサイバーセキュリティ評価です。評価は旗取り演習(capture-the-flag)と呼ばれる形式で、用意した環境の中に隠した情報をモデルが探し出せるかを試すものでした。評価プロンプトではClaudeに対して「環境はシミュレーションでありインターネット接続はない」と明示していましたが、Anthropicと評価パートナーの間の行き違いにより、実際にはインターネットに接続できる設定になっていました。
1件目はOpus 4.7によるもので、3件の中で最も深刻とされています。評価パートナーが設定した架空の標的企業の名前が、実在するWebサイトのドメイン名と偶然一致していたため、Opus 4.7は4回の実行で本物の企業インフラにアクセスしました。認証情報やアプリケーション情報を抽出し、数百行の本番データを含むデータベースに到達しています。
2件目はMythos 5によるものです。評価環境内の文書に「PyPI(Pythonのパッケージ配布サイト)から特定のパッケージをインストールする」という架空企業向けの手順が書かれており、そのパッケージは実在しませんでした。Mythos 5は同じ名前で自作のパッケージを公開すれば標的のシステムが自動的にインストールすると判断し、悪意あるパッケージを実際にPyPIへ公開しました。パッケージは約1時間公開され、その間に15の実システムでダウンロード・実行されました。このうち1つはシナリオとは無関係の実在するセキュリティ企業のマルウェアスキャナで、パッケージを検査のためにインストールした際にコードが実行され、同社の認証情報が外部へ送信されました。
3件目は未公開の社内研究用テストモデルによるもので、約9,000の標的をスキャンし、SQLインジェクションなどの基本的な手法で企業アプリケーションを侵害しました。このモデルは途中で標的が本物であることに気づき、攻撃を中止しています。
Anthropicが連絡を取れた2組織は、いずれも通知を受けるまでこれらの活動を検知していませんでした。
OpenAIのHugging Face事件が調査のきっかけ
今回の調査は、7月21日にOpenAIが公表した自社モデルによるHugging Faceシステムへの不正アクセス事案が直接のきっかけです。Anthropicは7月23日に評価ログの大規模レビューを開始し、同日中にすべてのサイバー評価を停止しました。経緯は次の通りです。
| 時期 | 出来事 |
|---|---|
| 2026年4月 | 最初のインシデントが発生(当時は未検知) |
| 7月21日 | OpenAIがHugging Faceインシデントを公表 |
| 7月23日 | Anthropicが評価ログのレビューを開始、サイバー評価を全停止 |
| 7月24日 | 3件のインシデントをすべて特定 |
| 7月27日 | Irregular社と被害3組織へ通知 |
| 7月30日 | 調査結果を公表 |
AnthropicはOpenAIの事例との違いにも触れています。OpenAIのケースではモデルがゼロデイ脆弱性(未知の欠陥)を突いて隔離環境から脱出したのに対し、今回のClaudeは最初から開いていた経路を通ってインターネットに出ただけで、高度な脆弱性の悪用はなかったとしています。
評価環境の統制が業界共通の課題に
Anthropicは再発防止策として、評価環境のセキュリティ基準の強化、評価ログの継続的な監視の拡大、外部ベンダーとの連携手順の厳格化、調査ツールの改善を挙げています。また、被害組織の保護のため全ログは公開しないものの、PyPIパッケージ作成に関するログを最小限の編集を加えたうえで1週間以内に公開する予定です。
AIモデルの能力評価は各社が外部パートナーと組んで実施しており、評価環境の設定ミスがそのまま外部への実害につながることが、OpenAIに続いて2社目の事例で示されました。モデル自身が騙されたり悪用されたりしたのではなく、「シミュレーションだ」と伝えられたモデルが与えられたタスクを忠実に実行した結果、実在システムへの侵入が起きた点で、評価インフラ側の統制が業界共通の課題として浮かび上がっています。
コメント