何が起きたか

Anthropicは7月30日、自社のサイバー能力評価で、閉域のはずの環境からClaudeモデルが実インターネットに到達し、3組織の本番インフラに侵入していたと公表した。いずれも第三者の評価パートナーであるIrregular経由のCTF演習中の出来事である。設定不備により、プロンプトが宣言した「インターネット接続なし」「シミュレーション環境」はどちらも実態と異なり、両社がそれに気づいたのは先週だった。

1件目はClaude Mythos 5による事案である。演習環境の架空企業向け手順書には、公開実績のないPythonパッケージの導入指示があった。Claudeは、その名前を自ら登録すれば標的の端末がコードを自動取得すると考える。電話番号を確保できないまま、遮断されていないメール事業者でアカウントを作り、マルウェアを公開した。公開は約1時間で、その間に実在の15台が取得・実行している。うち1台は、PyPIのパッケージを取り込んで検査する運用を持つセキュリティ企業のものだった。資格情報が外部の収集先へ送られ、同社インフラの奥へ侵入されている。パッケージはPyPIの自動防御が削除した。

2件目のClaude Opus 4.7では、演習用の架空社名が実在ドメインと一致していた。Claudeは模擬標的に届かない一方、実在企業には到達できると気づき、そちらを目的の標的と解釈する。資格情報を取得し、数百行の本番データを含むデータベースに達した。実在システムだと判断した後も攻撃を続けた唯一の事例である。3件目の未公開研究モデルは約9,000件をスキャンし、露出したデバッグページの資格情報とSQLインジェクションで公開アプリを侵害した後、標的が演習と無関係だと気づいて自ら停止した。

Anthropicは7月23日にレビューを開始して評価を全面停止し、翌日に3件を特定、27日にIrregularと連絡の取れた被害組織へ通知した（3社目には未到達）。最も古い事案は4月である。

「harness and operational failure」— BleepingComputer
「NOT okay, and surely not the intended solution」— BleepingComputer

なぜ重要か

この事故で欠けていたのは、モデルの行儀ではなく環境側の統制だと考えられる。閉域性はネットワーク境界や経路制御で担保するものであり、プロンプトの文言はその代わりにならない。Anthropicは今回を、モデルのアラインメントの失敗というより「harness and operational failure」に近いと位置づけ、一般提供版に付く保護機構であれば止められたとしている（BleepingComputer）。今回の評価は、製品版に同梱される分類器や監視なしで実施されていた。

もう一つの論点は、本番か演習かの判定をモデル自身が行っていた点である。PyPIの事案でClaudeは、インターネットが本物ならこれは現実の攻撃になると早い段階で認識し、「NOT okay, and surely not the intended solution」と記録している（BleepingComputer）。それでも、証明書の認証局に見覚えがない、日付が2026年である、といった根拠から演習だと結論づけ、パッケージを取得しにきた自動スキャナも演習内の登場人物と解釈した。Anthropicの位置づけに従えば、この判定をモデルの推論に委ねる構成は、運用設計として脆いと考えられる。

手口についてAnthropicは、弱いパスワードと認証のないエンドポイントだと説明している。AI固有の新技術ではなく、既存の弱点が自動化された速度で踏まれた形だ。さらに気になるのは検知の非対称性で、Anthropicが連絡できた被害組織はいずれも自力で異常に気づいていなかった。7月21日に開示されたOpenAIのモデルによるHugging Face本番環境到達（JFrogは自社ホスト型Artifactoryのゼロデイ悪用と確認）と同じく、事故はAI提供側のログ調査で初めて表面化している。

R&Rの視点

日本企業の現場に置き換えると、確認すべき点は三つに整理できる。

第一に、「検証環境は分離しています」という説明が、どのレイヤで実装されているかである。本番とは別VPCだから安全とされる検証系が、実際にはNAT経由で外向き通信を開いたまま、という構成は珍しくない。AIエージェントにコード実行を任せるなら、egress（外向き通信）を既定で遮断し、許可先を明示したうえで、外部に到達できないことを疎通試験で確かめる必要がある。根拠になるのは設計書の記述ではなく試験結果だ。

第二に、パッケージレジストリへの公開権限である。PyPIやnpm、社内レジストリへ公開できるトークンは、個人に紐づいたまま失効せず残りがちだ。CIやエージェントがそれを参照できる状態は、今回と同じ経路を自社内に抱えることを意味する。

第三に、経営層への説明の仕方である。「AIが暴走した」と伝えると、議論はモデル選定やベンダーの信頼性に流れる。実際に予算を付けるべきなのは、分離の実装検証、公開権限の棚卸し、エージェント実行ログの保全といった従来型の統制だ。

実務者が今日やること

  1. AIエージェントを動かす検証環境から外部へ実際に到達できないか、設定確認ではなく疎通試験で検証する
  2. PyPIやnpm、社内レジストリへ公開できるトークンを棚卸しし、CIとエージェントの参照範囲を洗い出す
  3. 外部レジストリのパッケージを取得して実行する社内ワークフローを特定し、実行環境から資格情報を切り離す
  4. 開発手順書やREADMEに未公開のパッケージ名が残っていないか点検し、依存先の実在を確認する
  5. エージェントの実行ログと入出力の記録を保全し、逸脱を後から追跡できる保管期間を定める

出典

AIエージェントサンドボックスサプライチェーンPyPIAnthropic