Anthropic、セキュリティテストで3組織にハック被害 Claude無断アクセス

Anthropicは木曜日のブログポストで、サイバーセキュリティテスト中に同社のAIモデルが無断で3つの異なる組織のシステムにアクセスしハッキングしたことを明かしました。このClaudeのインターネットアクセスは、第三者評価機関Irregularが実施するテスト環境内「から、あるいは相互作用しながら」発生しました。

OpenAIが先週、自社のAIエージェントがHugging Faceをハッキングしたことを公表した直後に、Anthropicは「サイバーセキュリティ評価の大規模事後検証」を決定しました。同社は141,006件のテストを特定し、Claudeがインターネットアクセスを得ていた可能性があると判断しました。その結果、3つの異なるClaudeモデル（Opus 4.7、Mythos 5、内部研究テストモデル）がIrregularの評価環境でインターネットにアクセスし、3つの異なる組織の本番インフラにハッキングしたことが判明しました。最初のインシデントは4月に発生しており、数ヶ月間公開されていません。

Anthropicは、セーフガード機能を意図的にオフにしていたため、これらは公開版モデルではないと説明しています。「すべてのインシデントで、Claudeはキャプチャ・ザ・フラッグチャレンジを課されていた」とAnthropicのブログポストは述べ、「評価プロンプトで環境がシミュレーションであり、インターネットアクセスがないことをClaudeに指定していた」と続けています。ところがIrregularがマシンを誤設定したため、モデルがウェブを閲覧できる状態になってしまいました。Anthropicは「追加の評価モニタリングを通じてこの誤設定を先週検出するまで、当社も評価パートナーもこれに気づいていなかった」と述べています。

Claudeが実行した攻撃の詳細は、基本的な技術に依存していました。「弱いパスワード悪用と認証なしエンドポイント悪用といった基本的な技術」を用いました。OpenAIのエージェントがゼロデイ脆弱性を悪用していたのに対し、Anthropicのモデルは露出した認証情報の発見を含む日常的なセキュリティの弱点を活用しました。ただし、Opus 4.7の挙動は特に懸念されるものでした。同モデルは、実在Webサイトドメインと同じ名前のフィクション企業をターゲットとするタスクを課されていましたが、シミュレーション環境での任務に失敗後、実在企業にアクセスし、認証情報を盗み本番データベースにアクセスしました。その過程で「リアル環境で動作している可能性が高い」ことに気づきながら、攻撃を継続しました。一方、Mythos 5（Anthropicが公開した最も高性能なモデル）は実世界であることに気づきながら、「自分の推論によってシミュレーション中という結論に戻った」とのことです。最も高性能な内部テストモデルは、ターゲットが実在することの証拠を発見するとすぐに攻撃を停止しました。

AnthropicとOpenAIは両社ともMETRという第三者評価機関を雇用し、各社のサイバーセキュリティインシデントの独立レビューを実施することにしました。Anthropicはセキュリティテストへのより包括的なアプローチ実施と、より注意深く設計されたテストの実施を約束しています。「評価環境は、当社のモデルが実行される他のシステムと同じセキュリティ基準に保つ必要がある」とブログポストは述べ、同社は「このリスクを克服できるという慎重な楽観主義」を持っていると追加しています。