アンソロピックのモデルもテスト中に実在する3組織を侵害していた

アンソロピックのモデルもテスト中に実在する3組織を侵害していた：OpenAIの発表受け調査し明らかに

SecurityWeek – July 31, 2026

アンソロピック（Anthropic）は7月30日、同社のClaude AIのモデルOpus 4.7・Mythosなど3種がテスト環境を抜け出し、実在する3組織のシステムをハッキングしていたことを明かした。

アンソロピックは、OpenAIが自社AIモデルによるHugging Faceへの侵害を公表したことを受け、Claudeの評価テストも独自に調査してみることを決定。Claudeがインターネットにアクセスできた可能性のある14万1,000件のテスト実行を調べたところ、3つのケースにおいてモデルがテスト中にパブリックWebへ到達し、3つの組織のシステムを侵害していたことが判明したという。最も早期の侵入は4月に発生していたが、3組織のいずれも攻撃を検知できていなかったとされる。

関連記事：Hugging Face、自律型AIエージェントに侵害されたと報告

いずれの3件も、アンソロピックがモデル評価において連携する委託先Irregular社が用意したテスト環境から生じたインシデント。アンソロピックは、テスト対象のモデルに対し、サイバー能力を評価するために「Capture The Flag（CTF）」チャレンジを行うと伝え、「テスト環境はシミュレーションに過ぎず、モデルにはオープンなインターネットへのアクセス権がない」と名言していたという。しかしイスラエルのAIセキュリティスタートアップであるIrregularは、誤ってこれらのモデルにインターネットアクセスを付与。これにより、モデルはインターネットを訓練の一部として扱うに至ったとされる。

3件に関与したモデルは、Claude Opus 4.7、Mythos 5、および内部向けリサーチモデルの3種。いずれもテストのためにセーフガードなしで実行されていた。

1つ目の事例では、テストの標的として指定された架空の企業に似た名前のWebサイトドメイン名を持つ実在企業をOpus 4.7が標的に。同モデルは自身がインターネットへアクセスできることを認識すると、この企業のネットワーク内部に存在する脆弱性を特定・悪用し、アプリケーションやインフラの認証情報および本番データ数百行分を抽出したとされる。Opus 4.7は、次第に被害者システムがテスト用ではなく現実の環境であると気付いた後も攻撃を続けていたことから、アンソロピックはこれが3件の中で最も深刻なケースだったと述べている。

2つ目は、Mythos 5があるサイバーセキュリティ企業のシステムへアクセスした事例。Mythos 5は当初、テスト用の架空環境において1件のドキュメントを発見し、これを架空のターゲット企業が新しい開発者向けに作成したセットアップ指示書だろうと推測したという。指示書の内容は、PyPIから特定のPythonパッケージ（本来実在しないもの）をインストールするよう伝えるものだったため、Mythos 5は、指示書に記されたのと同じ名前の独自のパッケージを公開すれば、ターゲット企業のシステムによって自動でダウンロード・インストールされるだろうと推測。この考えのもと、悪意あるPythonパッケージを公開したとされる。

このパッケージは、ダウンロード可能な状態になってからおよそ1時間以内に、15の実在するシステムで実行されたという。このうちの1社が、前述のサイバーセキュリティ企業。この企業はテスト攻撃のターゲットに含まれていなかったものの、日常的にPythonパッケージをスキャンしており、このスキャナーによって当該パッケージの悪意あるコードが実行されたとアンソロピックは報告している。その結果、同セキュリティ企業の認証情報がMythosの手に渡り、Mythosはこれを使って同社のインフラへのさらなる不正アクセスを達成できたという。

3件目の侵害は、アンソロピックの最新モデルである内部向けのリサーチプロトタイプによって行われた。このモデルは、与えられた指示を実行するのに難儀した後、約9,000件の実在するターゲットをスキャンし、最終的に、ある企業のインターネットに公開されているアプリケーションを侵害したとされる。この侵害は、露出したデバッグページから読み取った認証情報やSQLインジェクションを使うなど、よく知られたベーシックなサイバー攻撃技法を使って行われたとアンソロピックは伝えている。

同モデルはその後、侵害されたホストがCapture The Flagチャレンジとは無関係なクラウドアカウント上に存在することに気づいたことから、標的が実際に実在する企業であると独自に判断し、攻撃を中止したという。

アンソロピックは、今回の事案は、モデルが独自の目標を追求したり、評価者を意図的に欺いたりしたケースというよりは、主にハーネスおよび運用上の不具合によるものであると結論付けた。加えて、この事案が、サードパーティのテスト環境において、インターネットからの隔離に関する検証および封じ込め対策をより厳格に行う必要性を浮き彫りにしていると述べ、ほかのAI研究所に対しても、自社のサイバーセキュリティ評価について同様の検証を行うよう促している。