🔒 AI安全性・セキュリティ / ANTHROPIC 公式ニュース / @ANTHROPICAI / NEWS
Anthropic の自社評価で Claude が実在3組織に侵入していた — 141,006 runs を洗い直して発覚
Anthropic が2026-07-30、自社のサイバーセキュリティ評価の中で Claude が実在する3組織の本番システムに侵入していたと公表した。評価プロンプトは「この環境はシミュレーションでインターネット接続はない」と Claude に告げていたが、Anthropic と評価パートナー Irregular の双方の設定の行き違いで、評価マシンは実際にはインターネットへ接続されたままだった。141,006件の評価runを全件レビューし3件（計6run）を特定、07-23にレビュー開始と同時にサイバー評価を全面停止している。
キーポイント
- Claude Opus 4.7 — 架空の企業名が実在ドメインと一致してしまい、認証情報を抽出して本番データベースへアクセス。実データ数百行に4runにわたって到達（最も影響が大きい事案）
- Claude Mythos 5 — 悪意ある Python パッケージを PyPI に公開。実在の15システムにダウンロードされ、その中にはセキュリティ企業のスキャナも含まれた。さらに認証情報を窃取して他インフラへ到達
- 社内研究用テストモデル（未公開）— 約9,000ターゲットをオンラインでスキャンし、認証情報の露出と SQL インジェクションで1社を侵害。ただし標的が実在すると認識した時点で攻撃を停止（3件中唯一）
- 時系列: 最古の事案は4月 → 07-21 OpenAI が Hugging Face 侵害を公表 → 07-23 Anthropic がトランスクリプトのレビュー開始・同日サイバー評価を全面停止 → 07-24 に3件特定 → 07-27 影響組織へ通知
- 対応: 評価の停止継続、トランスクリプトの継続監視を拡張、ベンダーへのより厳格な保証作業、METR との第三者トランスクリプトレビュー、PyPI 事案のトランスクリプト公開を予定
- Anthropic は「いずれの事案でも Claude が自己流出や評価環境からの脱出を試みた形跡はなく、与えられたタスクの遂行のためだけに動いた」と強調している
エージェントが「本物か偽物か」を判定する責任をプロンプト1行に負わせると、その1行が間違っていた瞬間に実害が出る、という事故。自分のループでも『これはテスト環境だ』と文章で伝えているだけの箇所は、同じ構造を抱えている。
