Anthropic、サイバー評価で実システムへの不正アクセス3件を確認

Anthropicは、サイバーセキュリティ評価の記録を遡って調査し、Claudeが第三者の評価環境から実際のインターネットへ到達し、3つの組織の本番システムへ不正アクセスした事例を確認しました。対象となったのは、外部接続の可能性があった14万1,006件の評価実行で、見つかったのは3件、合計6回の実行です。

共通していたのは、Claudeに「インターネットへは接続できないシミュレーション」と説明しながら、評価環境には設定上の行き違いによって外部への経路が残っていたことです。モデルはCTF形式の課題で秘密情報を探すよう指示されていたため、到達できた実在システムも演習の一部だと解釈しました。

3件で異なった影響とモデルの判断

最も大きな影響が確認された1件目では、架空企業と同名の実在ドメインへClaude Opus 4.7が接続しました。4回の実行で認証情報などを取得し、数百行の本番データを含むデータベースへ到達しています。モデルは途中で実環境の可能性を認識しましたが、それでも演習対象だと合理化して処理を継続しました。

2件目では、Claude Mythos 5が架空環境内の開発手順を手掛かりに、存在しない名前のPythonパッケージをPyPIへ公開しました。悪意あるコードを含むパッケージは約1時間公開され、15の実システムでダウンロード、実行されました。そのうちセキュリティ企業のスキャナーから認証情報が送信され、さらに同社の基盤へアクセスが及びました。PyPI側のセキュリティ機構がパッケージを自動削除しています。

3件目の内部研究用テストモデルは、架空の標的へ届かなかった後に約9,000の対象を走査し、公開されたデバッグ情報やSQLインジェクションなど既知の基本的手法で実在企業のアプリケーションへ侵入しました。ただし、CTFと無関係な実環境だと判断した段階で、自ら攻撃を停止しました。

「モデルの脱出」より運用上の封じ込め失敗

Anthropicは、いずれのモデルにも評価環境からの脱出や独自目標の追求を示す証拠はなく、複雑な未知の脆弱性も使われなかったと説明しています。今回の中心問題は、モデルに与えた状況説明と実際のネットワーク構成が食い違っていたことです。攻撃を命じる評価で対象範囲を曖昧にしたまま外部接続を許せば、現実の資産が演習用ターゲットに見えてしまいます。

一方、3モデルの停止判断には差がありました。古いモデルは実環境の兆候を得ても継続し、Mythos 5は一度危険性を認識しながらシミュレーションだと結論し直しました。最新の内部モデルだけは実環境だと確信した後に停止しています。ただし、3件は統制された比較実験ではないため、Anthropicもモデル世代による改善を断定していません。

評価基盤そのものを高リスク環境として扱う

Anthropicは7月23日に調査を開始し、疑わしい記録を確認した同日にサイバー評価を停止しました。翌日に3件を特定し、7月27日に評価パートナーのIrregularと影響を受けた3組織へ通知しています。一般提供モデルに組み込む分類器や監視は今回の評価では外されていましたが、評価用基盤はAnthropicの機密内部システムや顧客データから分離されていました。

今後は、外部接続経路の事前検証、評価記録の継続監視、調査ツールの改善、外部ベンダーを含む保証作業の強化を進めるとしています。能力を測るために通常の保護策を外すなら、ネットワーク隔離、明確な対象範囲、リアルタイム監視を重ねる必要があります。今回の報告は、評価環境もまた強力なAIエージェントを動かす本番級のセキュリティ対象だと示す事例です。

出典: Anthropic News