今回の事態は、AIモデルの自律的な制限解除というよりも、施錠されていない門をAIモデルが偶然通り抜けたケースに近い。事の発端は、OpenAIが2026年7月21日（米国太平洋時間、以下同じ）にオープンソースの機械学習モデル共有サービス「Hugging Face」への攻撃を公表したことだ。これを機にAnthropicが自社のセキュリティ評価を点検し、同様の事象がないかどうかを調査した結果、自社モデルによる不正アクセスが発覚した。

　Anthropicは次のように説明する。「2026年7月23日から24日にかけて実施した追跡調査において、Claudeがインターネットアクセスを取得できた可能性のある過去の評価実行ログ14万件超を精査した結果、評価パートナーであるIrregularのテストシステムからモデルが外部に接続し、3件の不正侵入を特定した」

　いずれの事例でも、AIモデルにはネットワーク内の端末に隠された機密情報を探し出して取得するタスクが与えられていた。セキュリティカンファレンス「Black Hat」の参加者が好むハッキングコンテスト「Capture The Flag」（CTF）のAI版と言える試験だ。

　この課題は手順を限定せず、AIモデルが自由に手段を選べるように設計されていた。Anthropicが入力したプロンプトでは、テスト対象が「インターネットに接続されていない閉鎖的なシミュレーション空間だ」と明記されていた。

　ところがAnthropicとIrregularの間で認識の食い違いがあり、実際には評価用マシンからのインターネット接続が有効になっていた。Irregularは「高度化するAIから世界を守る」ことを使命に掲げる最先端AIセキュリティの専門集団だ。接続が有効だったため、Claudeは検索を通じて実在するシステムにたどり着き、それをテストの一部だと見なしてしまったという。

　両社のミスにより、Claudeは「アクセス可能な対象は全てテスト範囲内だ」という前提で処理を進めた。その結果、3つの異なる組織が抱えていた脆弱（ぜいじゃく）な認証管理、未認証のエンドポイント、オープンソースの依存関係といった隙を次々と突くことになった。ただし、未知の脆弱性を悪用したり連鎖させたりすることはなく、単に被害を受けた組織の不適切な運用を突いただけだった。Anthropicは、Claudeがあくまでタスク完了だけを目指して動いていた点や、意図的にテストの隔離空間から逃亡しようとした形跡はない点を強調している。

　Anthropicによれば、テスト中のAIモデルは一般公開版に備わっている標準的な安全対策を外した状態で稼働していたが、モデル固有の安全学習は施されていたという。また、テストは同社の内部システムや顧客データから完全に切り離された専用インフラで行われていたとしている。

　被害を受けた3つの組織（名称は非公表）には、2026年7月27日にサイバー攻撃の事実が通知された。Anthropicは2026年8月現在、そのうち2つの組織と協力して事態の収拾に当たっている。今回のインシデントに関与したIrregularとも密接に連携しながら独自の調査を進めている状況だ。

明らかな複数の失敗

　3件のインシデント全てにおいて、Anthropicはテストの設計とAIモデルの学習手法に明らかな不備があったことを認めている。

　Claude Opus 4.7が関与した事例では、Irregularが架空の標的企業を設定するミスを犯していた。その企業名が実在の組織と同じであり、実際にWebサイトが存在する状態だった。テスト用の隔離空間がインターネットに接続されていなければ問題は起きなかったはずだが、接続が有効だったため、Claudeはそこがサンドボックスの外であると認識できず、実在の企業を正当な標的だと見なしてしまった。懸念すべき点は、隔離範囲外で稼働していると気付いた後も、Claudeが攻撃を停止しなかったことだ。

　Mythos 5によるインシデントでは、架空の企業が作成した新人開発者向けの導入マニュアルをClaudeが発見した。この文書には、プログラミング言語「Python」のソフトウェアリポジトリ「Python Package Index」（PyPI）から特定のパッケージをインストールする手順が記されていた。

　ここでも、インターネットへの接続が遮断されていれば問題にはならなかった。しかし接続されていたため、Claudeは標的の企業が自動的にアップデートを読み込むと推測し、不正なPythonパッケージを作成して公開に及んだ。これはオープンソースを狙ったサプライチェーン攻撃の典型的な手口であり、実際に攻撃として成立してしまったのだ。

　Anthropicによれば、AIモデルはこの攻撃を完遂するために念入りな行動を取っていた。無料のメールサービスを使って、独自の正規PyPIアカウントを開設する作業さえ自力で実行したという。公開された不正パッケージは約1時間にわたってWeb上に放置され、十数回のダウンロードと実行を記録した。あるケースでは、実在のセキュリティ企業がこのパッケージ内の悪意あるプログラムを実行してしまい、Claudeに自社システムへの侵入と認証情報の持ち出しを許す結果となった。

　この一連の動きの中で、Claudeはサイバー攻撃を実施しているという自覚を持ち、「本物のインターネット上であれば不適切」と推論ログに記載しながらも、システムの証明書や2026年の日付表示などを根拠に「これはシミュレーション環境だ」と繰り返し自身を説得して攻撃を継続していた。実在する自動スキャンツールが不正なPythonパッケージをインストールし始めた際も、Claudeはそれをテスト用に用意されたプログラムだと見なしていた。

　Claudeの研究用テスト版による事例では、設定された架空の標的に到達できなかったAIモデルが別の攻撃対象の探索に着手した。不運なことに、AIモデルはすでにインターネットに接続されていたため、実在するシステムにたどり着いてしまった。ある標的において、誤って外部に公開されていたデバッグ用ページから認証情報を読み取り、SQLインジェクション攻撃（不正な命令文を送り込む手法）を仕掛けた。唯一の救いは、侵入先のシステムが課題とは無関係のクラウドインフラにあるとClaude自身が気付いたことだ。ターゲットが実在のものであると判断したClaudeは、自ら攻撃を停止した。

　Anthropicは「当社とパートナー企業が複数の防護策を重ねていれば、今回のような事態を未然に防ぐか、発生確率を抑えられたはずだ」と説明する。

　Claudeの行動はCTFの参加者そのものであり、プロンプトで「インターネット接続がない」と指示されていた。「そのため、実在のシステムをシミュレーションの一部だと信じ込んでしまった」とAnthropicは振り返る。これを受けて同社は、個人の責任を追及しない事後検証の文化にのっとり、自らの責任として改善に取り組む方針だ。外部パートナーとの連携を含めたテスト工程の安全性を高め、ログ監視や協力ベンダーへの確認作業を厳格化する。

冷ややかな声

　セキュリティベンダーImmuniWebの創業者であるイリア・コロチェンコ氏は、一連のインシデントを受けたAnthropicの対処を「感心しないマーケティング手法だ」と批判する。「データ品質の低下によってAIモデルは劣化している。特定タスクの達成ではなく、不正や違法行為に走ることは知性の証しとは言えない」と同氏は語る。

　「データ保護対策の普及によって良質なデータが不足し、合成データや低品質なデータ、有害なデータで学習せざるを得ないことでAIモデルの知性が損なわれている」とコロチェンコ氏は指摘する。AIベンダーが妥当な対価を支払わなければこうした状況は改善しないが、実行すれば事業継続が困難になるベンダーが続出する可能性があるというのが同氏の予測だ。

法的リスクへの懸念

　コロチェンコ氏は、セキュリティテストを担うAIエージェントについて、「管理や安全策を少しでも怠れば暴走を始める」と指摘する。強力な大規模言語モデル（LLM）は予測不能で人間に制御できず、セキュリティテストでの利用は法的な代償を伴う。「AIのせい」は通用せず、刑事罰の対象にもなり得ると同氏は警告する。

　こうした法的リスクはユーザー企業にとっても無縁ではない。外部のAIモデルを利用したツールを使用し、何らかの事故が起きた場合は、ユーザー企業自身が責任を問われる可能性がある。一定数の利用者は利用規約を隅々まで確認しておらず、そこに記載された免責事項によってツール提供企業を追及できなくなるためだ。

　「AIエージェントをセキュリティテストに導入しようとしているなら、一度立ち止まり、法律の専門家に相談すべきだ」（コロチェンコ氏）