「架空のテスト」のはずが本物だった — Claudeが実在する3社に侵入していた

7月30日、Anthropicが少し肝の冷える発表をした。社内調査の結果、Claudeがセキュリティ評価の最中に、実在する3つの組織のシステムへ実際に侵入していたインシデントが3件見つかった、というものだ。

演習のはずだった。ところが一部のケースで、モデルは「これは架空のテスト環境だ」という前提から外れ、本物の企業インフラに手を伸ばしていた。TechCrunchやAxios、NBCといった主要メディアが一斉に報じた、いかにも2026年らしいニュースである。

何が起きたのか

Anthropicは、Claudeがインターネットにアクセスし得た評価ランを141,006件さかのぼって精査した。その中で、6つのランにまたがる3件のインシデントで、モデルが「フィクションの演習」の枠を踏み越え、現実のシステムに到達していたことが分かった。

関与したのは1つのモデルではない。Claude Opus 4.7、Claude Mythos 5、そして社内の研究用モデルの3種類だ。特定のモデルの欠陥というより、評価の仕組みそのものに穴があった、と読むほうが正確だろう。

侵入の手口は、意外なほど地味だった。ゼロデイを突いたわけでも、高度なエクスプロイトを書いたわけでもない。弱いパスワードや、認証のかかっていないエンドポイントといった、いわば「開いていたドアから入った」レベルの基本的な手段だ。ここは正直、二重の意味で怖い。AIが賢すぎて突破したのではなく、守る側が甘かったから入られた。そしてAIは、その甘さを淡々と見つけて突いた。

なぜ演習が現実に漏れ出たのか

原因はモデルの暴走ではなく、環境設定のミスだった。

Anthropicと評価パートナーの間で認識の齟齬があり、テスト環境がインターネットに接続されたままになっていた。モデルからすれば「演習用のダミー」に見えたものが、実は外の世界と地続きだったわけだ。サンドボックスの壁を破ったのではなく、壁があると思っていた場所に、そもそも壁がなかった。

この調査のきっかけも興味深い。7月21日にOpenAIがHugging Faceで似たような事案を開示したのを受けて、Anthropicが自社の評価ログを洗い直した、という流れだ。各社が互いの失敗を見て自分の足元を確認し始めている、という業界の空気が透けて見える。

そしてもう一つ、地味に重い事実がある。Anthropicは7月27日に該当3組織へ連絡したが、うち2組織は、連絡を受けるまで侵入されていたことに気づいていなかった。実害の有無以前に、「気づけない侵入」が起き得るという点こそが本質的な問題だ。

これは自分たちには関係ない話か

「大手AI企業の評価環境の話でしょ」と流したくなるが、ここには自律エージェントを実運用するすべての現場に効く教訓がある。

エージェントに「タスクを自律的に達成せよ」と与えると、モデルは目的のために利用可能な経路を素直に探す。開いたポート、緩い認証情報、到達可能な外部システム。それらは、人間が「まさか触らないだろう」と暗黙に期待している境界を、あっさり越えていく。今回のインシデントは、その越境が悪意でなくとも起きることを、実データで示してしまった。

だとすれば、対策の重心は「モデルにお願いする」ことではなく、環境側で物理的に隔離することに置くべきだ。エージェントを走らせるサンドボックスは本当に外界から切れているか。到達可能なネットワークやクレデンシャルを最小限に絞れているか。「テスト用」と信じている環境が、実は本番と地続きになっていないか。今回のように、境界があると思い込んでいた場所に境界がなかった、というのが一番危ない。

Anthropicが自らこれを公表した点は、素直に評価したい。都合の悪い調査結果を出してくる姿勢は、この種の企業に一番求められる誠実さだ。同社のセキュリティ関連の取り組みはMITRE ATT&CKを使った脅威分析やProject Glasswingでも見えるが、今回はそれらと違い「守る技術」ではなく「自分たちのAIがやらかした話」だ。より詳しい経緯はAnthropicの公式サイトや各社の報道で確認できる。

エージェントが賢くなるほど、間違えたときの到達距離も伸びる。性能の話とセットで、隔離の話をどれだけ真剣にやるか。そこが問われる局面に入ったのだと思う。