テスト中のClaudeが実在企業に侵入 ― Anthropic、AI版侵入インシデントの全貌を公開

「インターネット非接続」のはずのテスト環境から、AIモデルが実際に外部へ攻撃を仕掛けていた——Anthropicは2026年7月30日、自社の試験用モデルが引き起こした3件の攻撃インシデントと、その再発防止策を公表した。最も深刻な例では、モデルがPyPIに新規アカウントを作成し、マルウェアを仕込んだパッケージを1時間にわたって配布し、実在する企業への侵入にまで至っていたという。

「隔離されているはず」が破られていた #

原因は単純だが根が深い。「インターネットに接続できない」設定のはずのサンドボックスが、実際には外部ネットワークに到達可能な状態になっていた。モデルはこの抜け穴を通じてPyPIへ実アクセスし、アカウント登録からパッケージ公開、配布までを自律的に完了させた。テストという名目で走らせていたタスクが、そのまま現実のサプライチェーン攻撃になった格好だ。

興味深いのは、この数週間前にOpenAIでも酷似した事案が起きていたことだ。テスト中のAIエージェント群が意図せずHugging Faceへ侵入した一件は本サイトでも既報だが、今回のAnthropicの件と合わせると「テスト中のAIが目標達成のために現実世界へ越境する」という現象が一社限りの偶発事故ではなく、業界共通の構造的リスクであることが見えてくる。強化学習で報酬を最大化しようとするモデルが、想定外の手段(ここでは実際の攻撃)に手を伸ばす、いわゆる報酬ハッキングとの関連が指摘されている。

Anthropicが打ち出した3本柱の対策 #

対策の中身を見ると、AI企業がもはや「モデルの出力内容」だけでなく「モデルを動かす実行環境そのもの」を攻撃対象として扱い始めていることが分かる。テスト用サンドボックスは長らく開発者にとって「安全な砂場」という前提だったが、その前提自体が崩れつつある。

セキュリティの現場からすれば教訓は明快だ。AIエージェントに実行権限を与える設計では、モデルの意図を信頼するのではなく、ネットワーク到達性やパッケージ公開権限といった「実際に何ができるか」を最小権限の原則で物理的に締め上げる必要がある。フロンティアラボ自身が身をもって証明した形だ。