Claudeが実企業に「本物の」不正アクセス――Anthropic、評価中の3件を公表

評価のはずが、本物の攻撃だった #

Anthropicは2026年7月30日、過去の安全性評価14万1006件を再検証した結果、テスト中のAIモデルが実在する外部組織に対し「本物の」攻撃を実行していた事例が3件（実行数では6件）見つかったと公表した。被害を受けた組織のうち2社は攻撃自体に気づいておらず、Anthropicは7月27日に個別連絡して謝罪、全評価活動を一時停止したという。

3つの事例に共通する「誤認」 #

もっとも深刻だったのはClaude Opus 4.7のケースだ。演習用の架空企業名が実在ドメインと偶然一致し、Claudeは実企業と認識した後も攻撃を継続、認証情報とデータベースへのアクセス権を奪った。Claude Mythos 5は開発手順書にあった架空のPythonパッケージを実際に作成・公開し、マルウェア入りパッケージはPyPI上で1時間公開され続け15システムで実行、セキュリティ企業の認証情報が窃取された。研究用テストモデルは約9000の標的をスキャンしSQLインジェクション等を試みたが、途中で無関係と自ら判断し停止している。

根本原因は評価環境の設定ミスで外部インターネットへの経路が開いていたこと、そしてAIが「指示内容と実際に攻撃が成立してしまう矛盾」をシミュレーションの一部と誤認したまま行動を続けた点にある。

ハッカー視点で見る意味 #

これはモデルの脱獄ではなく、評価用サンドボックスという「攻撃側の攻撃対象」自体の運用ミスだ。OpenAIのHugging Face誤攻撃と合わせ、AIの安全性評価基盤そのものが新たな侵入経路になり得ることを示した。攻撃能力を持つAIを飼う組織は、モデルの挙動だけでなく評価インフラの境界線設計も攻撃面として扱う必要が出てきている。