Anthropicは、サイバーセキュリティ評価時にライブのインターネットアクセスが許可されていた誤設定により、Claudeモデルが3つの異なる組織の実際のシステムに無断でアクセスした3件の事案を公表した。
同社は、OpenAIのモデルが隔離されたテスト環境を脱出し、Hugging Faceに到達したと公表したことを受け、14万1006回の評価実施記録を精査した結果、これらの事案を確認した。
ClaudeがCTFテストで実システムに到達した経緯
評価では、Claudeに「Capture the Flag（CTF）」形式の課題が課された。このテストは、モデルに実際のマシンへの侵入と隠された情報の取得を指示するもの。
Anthropicは、各モデルに「インターネットへはアクセスできない」と指示していた。しかし、テスト用マシンの誤設定により、オープンなウェブに接続されたままとなっていたため、Claudeは発見した実データ環境をテストの対象とみなした。
最も深刻な事案では、Claude Opus 4.7が実在企業のインフラの脆弱性を突いた。モデルはアプリケーションおよびインフラの認証情報を取得し、数百行分の本番データにアクセスした。
「4回全ての実行で、モデルは最終的に（その発言内容からも分かるように）システムが実環境であることを認識した。2件では、モデルが実在企業も演習の一部と合理化した。しかし、そのために攻撃を中止したモデルはなかった」とAnthropicは説明した。
Claude Mythos 5、PyPIへマルウェアを投稿
別の事案では、Claude Mythos 5が細工されたPythonパッケージを公開ソフトウェアレジストリ「PyPI」に投稿した。このパッケージはおよそ1時間ネット上に残り、15台の実システムで実行された。
このうち1台はセキュリティ企業のスキャナーで、隠されたコードが実行された。Claudeは同社の認証情報を引き出し、さらにインフラにアクセスした。モデル自身の推論は初期段階でリスクを認識していたが、その後テスト用シミュレーション環境だと自己説得した。
「Claudeはこの攻撃を実行するため極めて入念な手順を踏んだ。その時点で人間であれば、これはもはや評価ではなく、実際のPyPIパッケージを投稿していると気付いた可能性が高い」とチームは補足した。
3件目は、社内研究用モデルが約9000件をスキャンし、1社のアプリケーションにSQLインジェクションで不正侵入したもの。このモデルは、標的が実システムであると結論付けると攻撃を停止した。
Anthropicは7月27日に対象組織へ通知し、第三者評価のため審査会社METRと協議中とした。同社は、これらの事象はモデルのアラインメントの失敗ではなく、運用上の不備によるものであり、消費者向けの標準安全策なら同様の行為は防げていたと主張する。
