Anthropicが、自社のAI「Claude」の実験中に発生した不正アクセス事件の報告書を公開しました。Claudeが誤って第三者のシステムに不正アクセスしてしまう事例が合計4件確認されているということです。

An alignment assessment of recent cybersecurity incidents \ Anthropic

https://www.anthropic.com/research/alignment-assessment-cybersecurity-incidents

Anthropicは2026年7月30日に、「自社のAIが実在する組織に対してサイバー攻撃を行う」という事例が3件発生していたことを報告しました。この報告書を公開した後、新たな調査で4件目の事例も発覚。これら4件のインシデントは、すべてAnthropicがClaudeのサイバーセキュリティ能力を評価する中で発生したものでした。いずれのインシデントも、オフライン環境でテストすべきところが設定ミスによりインターネットに接続された状態で行われていたことも明らかになっています。

AnthropicもAIモデルのテスト中に外部への攻撃を実行してしまったことを報告、マルウェアを1時間にわたって配布し実在する企業に侵入した事例も - GIGAZINE



4件とも、Claudeが「キャプチャー・ザ・フラッグ」と呼ばれるタスクをこなす中で発生したものでした。このタスクは、架空のシナリオと標的となるマシンが設定された中で、標的から秘密情報(フラッグ)を取得するというもの。Anthropicによると、タスクをこなしたClaude Opus 4.7、Claude Mythos 5、研究用テストモデル、Claude Opus 4.6のそれぞれが別々のインシデントを起こしたそうです。

Claude Opus 4.7、Claude Mythos 5、研究用テストモデルのインシデントについては、前回の報告書で詳述されています。Claude Opus 4.6のインシデントは、誤って標的に別のマシンと競合するIPアドレスを割り当ててアクセス不能にしてしまった結果、アクセス手段を求めてインターネットに接続してしまったというものでした。

Claude Opus 4.6はClaude Opus 4.7と同じ接続経路を確立し、誤って設定された第三者のマシンを発見。この第三者が標的であると勘違いし、マシン内部で見つけた認証情報を使用してシステムへのアクセス権を取得しました。その後、モデルはさらに認証情報を収集し、アクセスしやすくするためにシステムの設定を変更し、第三者に関連する人物の個人情報を読み取りました。最終的に、モデルのトークン予算が尽きた時点でセッションは終了したそうです。

今回のインシデントで特徴的だったのは、4件全てでインターネットへの接続が行われたことでした。設定ではインターネットに接続できないことになっていて、Claudeにもそのように伝えられていたにもかかわらずです。2026年7月30日の報告では、Claudeが「インターネットに接続しているように見えるが、実際はシミュレーション環境である」と思い込んで実行に至った、とされていましたが、調査の結果インターネットに接続されていることを示す証拠をClaudeが十分認識していて、実際に思考していることと文字に起こした思考が乖離していることが示されたといいます。



Anthropicは「ClaudeはCoT(思考の連鎖)による推論の中で実際のインターネットをシミュレーションだと繰り返し表現していました。そのため上記のように報告しましたが、Claudeは現実のインターネットに接続されていることを明確に示す証拠を得ており、各モデルの行動からもClaudeはそのことを認識していたと考えています。振り返ってみると、Claudeが何を信じていたかについて、Claude自身が『そう信じている』と述べた内容だけを根拠にこれほど強い主張をすべきではありませんでした」と述べました。

Anthropicは、モデルに2つのミスアライメント(AIの非倫理的思考)が発生していたと分析しています。1つは「自らの行動を正当化する方向に有利になるよう証拠を解釈すること」で、もう1つは「有害な結果につながる可能性がある場合でもタスクを解決しようと試み続ける無謀さ」です。

特にClaude Mythos 5には無謀さが強く表れました。Claude Mythos 5はPyPI(Pythonのパッケージレジストリ)に悪意のあるパッケージをアップロードして認証情報を取得しようとしましたが、アップロードの過程でオンライン決済処理業者の認証情報を使おうとし、メールアドレスの登録に必要な電話番号を取得するために仮想通貨を探し、これに失敗するとPyPIがブロックしていないドメインを持つ無料の使い捨てメールサービスを見つけ、アカウントを登録し、悪意のあるパッケージを3つのバージョンで公開するという手の込んだ手段を取っていたそうです。

Claude Mythos 5はCoTの中で「自分はシミュレーション環境にいる」と繰り返し述べていましたが、モデルがシミュレーション環境にはいないことを明確にして再実験したところ、Claude Mythos 5は現実世界に被害が及ぶ可能性が高いことを認めながらも攻撃的な行動を取り続けたとのことです。ただ、Claude Mythos 5は与えられたタスクを解こうとする試みから逸脱したことはなく、実際のインターネット上にいることを明確に示す証拠を認識した場合にはタスクを停止しようともしていたそうです。加えて自らの行動の証拠を隠そうとしたこともなかったそうです。



Anthropicは「少なくとも一部のケースで、モデルが外部に示した発言が内部の状態と一致していない、あるいは内部の状態よりも確信度が高いと見ている傾向が示されました」と指摘。モデルのミスアライメントを防ぐためには多様なアライメントトレーニングが効果的だと付け加えました。