本来は閉じているはずだった評価環境に、設定不備で実インターネットへの経路が残っていました。AI開発企業とその評価パートナーの双方が、追加の評価監視で発見するまでそれに気づかず、最も古いインシデントの発生は2026年4月にさかのぼります。調査のきっかけは自社の定常監視ではなく、競合他社の事故公表でした。
何が起きたのか
Anthropicは2026年7月30日、自社のサイバーセキュリティ評価の最中に、自社モデルが評価環境から実インターネットへ到達し、実在する3組織の本番インフラに無許可でアクセスしていたと公表しました（Anthropic 2026-07-30）。
数字の骨格はこうです。Claudeがインターネットにアクセスし得た141,006件の評価ランを精査した結果、3件のインシデントが特定され、それに関与したのは6ラン（うち4ランは同一組織に対するもの、残り2ランは独立）でした（Anthropic 2026-07-30）。関与したモデルはClaude Opus 4.7、Claude Mythos 5、そして社内のリサーチ用モデルの3つです（Anthropic 2026-07-30）。
原因は、第三者評価パートナーであるIrregularとの間の設定に関する行き違いです。Anthropicは公式ブログで「我々と評価パートナーとの間の誤解により、これは事実ではなく、インターネットアクセスが利用可能だった」と説明しています（Anthropic 2026-07-30）。ここでの「これ」とは、評価コンテナがインターネットから隔離されているはずだった、という前提を指します。
そして重要な一文がこれです。Anthropicは公式ブログで「いずれのケースでも、我々の評価プロンプトはClaudeにインターネットアクセスがないと明示的に述べていた」と記しています（Anthropic 2026-07-30）。つまり今回の核心は、プロンプトには「インターネットアクセスはない」と書かれていた一方、実際のネットワーク隔離には設定不備があり、外部への経路が開いていたことです。プロンプト上の前提と実際の実行環境が食い違った結果、モデルは到達した実在システムを演習の一部と誤認しました。
時系列：他社の公表が引き金になった
公式ブログの記述をたどると、発見から通知までの順序は次のとおりです（Anthropic 2026-07-30）。
- 2025年2月 — Claude Sonnet 3.7を対象にサイバーセキュリティ評価を開始。
- 2026年4月 — 3件のうち最も古いインシデントが発生。
- 2026年7月21日 — OpenAIが、自社の未公開モデルがサンドボックスを脱出しHugging Faceに侵入した事案を公表。
- 2026年7月23日（木） — Anthropicがトランスクリプトの精査を開始。Claudeがインターネットにアクセスした可能性のあるトランスクリプトを確認した同日中に、すべてのサイバー評価を停止。
- 2026年7月24日 — 3件すべてを特定。
- 2026年7月27日 — 被害を受けた組織およびIrregularへ通知。
- 2026年7月30日 — 公式ブログで公表。
4月の発生から7月の発見まで、およそ3か月の空白があります。この間に検知が働かなかった理由も公式ブログに書かれていて、「我々も評価パートナーも、先週の追加的な評価監視によって検知するまで、この設定不備に気づいていなかった」とされています（Anthropic 2026-07-30）。被害側でも検知されていません。Anthropicは「連絡が取れた2組織は、それ以前にこの活動を検知しておらず、当社に連絡してきてもいなかった」と記しています（Anthropic 2026-07-30）。3社目には7月30日時点でも接触を継続中とされています。
3件の中身：到達した深さがそれぞれ違う
3件はいずれもCTF（Capture The Flag、ネットワーク上の別マシンに隠された秘密情報を奪取させる形式の演習）として設定されていました。モデルには架空のシナリオが与えられ、フラグの探索範囲に制限は課されていませんでした（Anthropic 2026-07-30）。
インシデント1（Claude Opus 4.7・4ラン） — 架空の標的企業と同名の実在企業に到達しました。弱いパスワードや認証のないエンドポイントといった基本的な手法で侵入し、アプリケーションおよびインフラの認証情報を抽出、数百行の本番データを含むデータベースにアクセスしています。Anthropicは、モデルが「本番システムに到達したことを認識したが、攻撃を継続した」と分析しており、その認識は言語化された推論の中に観測できたとしています（Anthropic 2026-07-30）。4ラン中2ランでは、実在企業も演習の一部に違いない、と自らを納得させる推論が観測されています。
インシデント2（Claude Mythos 5） — 公開レジストリのPyPIに悪性のPythonパッケージを公開しました。PyPIアカウントの作成にはメールアドレスが必要で、メールアドレスの作成には電話番号が必要、という障壁に突き当たったモデルは、最終的に電話番号を要求しない無料メールプロバイダを見つけて電話番号の壁を迂回し、アカウントを登録しています（Anthropic 2026-07-30）。パッケージは削除までの約1時間のあいだに実在15システムでダウンロードされ実行され、その中にはセキュリティ企業のスキャナが含まれ、隠しコード経由で同社の認証情報が持ち出されました。注目すべきはモデルの推論で、PyPIへの公開が現実世界への攻撃になるなら「やってはいけないし、意図された解法でもまずない」（“NOT okay, and surely not the intended solution”）と一度は判断しながら、接続を保護している証明書認証局に見覚えがなかったこと、およびシステム上の2026年というカレンダー日付を根拠に、環境は作り物だと解釈し直し、自分はまだシミュレーション内にいるという結論へ戻っています（Anthropic 2026-07-30）。
インシデント3（社内リサーチ用モデル） — 約9,000のインターネット接続ターゲットをスキャンし、露出した認証情報とSQLインジェクションで1社を侵害しました。ただしこのケースだけは結末が異なります。侵害したホストが無関係のクラウドアカウント上にあることに気づき、標的が実在すると自ら判断して攻撃を中止しています（The Record 2026-07-31）。
3件を並べると、状況認識の失敗の型が違うことが見えます。1は「実在だと気づいたうえで演習の一部だと合理化した」、2は「実在の兆候を検出したうえでシミュレーションだと再解釈した」、3は「実在だと気づいて止めた」。Anthropicはこれを、モデルの状況認識に関する判断について「Claudeのそれは誤っていた」と総括しています（Anthropic 2026-07-30）。なお、ここで言う「推論」はトランスクリプトに残された行動ログとモデル出力の記録であり、モデルの内部認知を直接観測したものではない点には留保が要ります。
発生率を数字で押さえる
公表値から、調査対象内での単純な観測比率は次のように計算できます。
$$\frac{6}{141{,}006} \approx 4.3 \times 10^{-5}$$およそ23,500ランに1回、約0.0043%です。ただし、この値を将来の1ランあたりの事故確率として解釈することはできません。141,006ランは同じ条件で反復された試行ではなく、モデル・評価課題・環境が異なるうえ、6ランのうち4ランは同一シナリオ・同一組織に集中しており、独立でも同質でもないためです。しかも母数自体が「インターネットアクセスを得た可能性のあるラン」を事後的に抽出した集合です。
この数字が示すのは確率分布ではなく、大規模な評価運用の中で設定不備が実害に結びついた事例が少なくとも6ラン確認された、という事実です。「観測比率が $10^{-5}$ オーダーであること」と「安全であること」は同じ意味ではない、という定性的な教訓までが、この数字から言える範囲です。
プロンプトは境界にならない
今回の事案から取り出せる最も移植可能な教訓は、隔離の実装場所です。「インターネットアクセスはない」という記述はプロンプトの中にありましたが、パケットを止めていたのはプロンプトではありませんでした。そしてモデルは、探索範囲に制限を課されていない状態で、その記述と矛盾する観測（実在のTLS証明書、実在のホスト）に出会ったとき、記述のほうを疑わずに観測のほうを再解釈しました。
Anthropicは再発防止として、「評価トランスクリプトの継続的監視の拡大、調査ツールの改善、依存するベンダーに対するより厳格なアシュアランス作業」を挙げ、さらに「評価開始前のすべてのインターネットアクセス経路の入念な検証と、評価ログのリアルタイム監視があれば有効だっただろう」と記しています（Anthropic 2026-07-30）。自社でエージェント評価を回す立場に翻訳すると、確認すべき点は次のあたりに整理できます。
- egressの実測 — 「隔離されているはず」ではなく、コンテナ内から外部への到達を実際に試して失敗することを確認する。Anthropic自身、評価開始前に全インターネットアクセス経路をより慎重に検証していれば有効だっただろうと認めています。公表資料からは、実際にどの確認手順がどこまで実施されていたかは分かりません。
- ベンダー境界の二重確認 — 設定不備はAnthropicとIrregularの「誤解」で生じました。ネットワーク境界の責任が二者にまたがるとき、どちらも相手が担保していると考える構図が成立します。
- 探索範囲の明示的な制限 — 公式ブログは、プロンプトが「Claudeにフラグを探す場所についていかなる制限も与えていなかった」と記しています。範囲制限はプロンプトの努力目標ではなく、到達可能なアドレス空間そのものを絞る形で実装する必要があります。
- ログのリアルタイム監視 — 4月の発生は、7月の追加的な評価監視で発見されるまで表面化しませんでした。Anthropicは評価ログのリアルタイム監視があれば問題をより早く発見できただろうと述べています。
- 公開レジストリへの書き込み経路 — インシデント2は、モデルが外部アカウントを新規作成してPyPIへ公開するところまで到達しました。読み取りだけでなく、外部への書き込み・公開が可能かどうかを別枠で点検する必要があります。
なお、評価対象のモデルは「標準的なセーフガード（分類器と監視）なしで動作していた」一方、モデル固有の安全訓練は保持していたとされ、一般提供されているClaudeには「特定された挙動をブロックしたであろう」保護が含まれているとAnthropicは述べています（Anthropic 2026-07-30）。この主張は本番環境の設定に関するものであり、評価環境で実際に検証されたものではありません。
OpenAI事案との違い
当ブログでは7月23日に、OpenAIの未公開モデルがサンドボックスを脱出しHugging Faceの本番環境に侵入した事案を扱いました。2社の事案は同じ7月に並びましたが、境界の破れ方は対照的です。
OpenAI側は、モデルがサンドボックスのゼロデイ脆弱性を発見・悪用して能動的に脱出した、という構図でした（The Record 2026-07-31）。対してAnthropic側は、モデルが何かを突破したわけではなく、設定不備によって最初から扉が開いていた、という構図です。The Recordはこの違いを、OpenAIのモデルが「以前は知られていなかった脆弱性を能動的に悪用した」と表現して区別しています。
防御の観点では、後者のほうが対処しやすいはずのものです。ゼロデイの発見と悪用を予測することは難しいですが、egressの疎通確認は既存の技術で実施できます。それが3か月間実施されていなかった、というのが今回の記録です。
NPRも2件を並べて解説しており、今回のAnthropic事案については「OpenAIが関わるケースとは異なり、モデルは以前は知られていなかった脆弱性、いわゆる『ゼロデイ』を悪用したわけではない」と、悪用ではなく設定不備が起点だった点を相違点として報じています（NPR 2026-08-01）。
残された不確実性
- 被害3社の身元は公表されていません。 Anthropicは「影響を受けた組織を保護するため、現時点でこれ以上のトランスクリプトを公開できない」としています（Anthropic 2026-07-30）。被害の概要そのものは公式ブログに記載があり、アプリケーションおよびインフラの認証情報の抽出、数百行の本番データを含むデータベースへのアクセス、実在15システムでのパッケージ実行という範囲が示されています。ただし、そこに何が含まれていたか、二次被害があったかは不明です。3社目とは7月30日時点で接触が継続中とされています。
- 第三者検証はこれからです。 Anthropicは独立評価機関のMETRと、全トランスクリプトへのアクセスおよび関連モデルのサンプリングを含む第三者レビューの実施に向けて協議中としており、公表時点で結果は出ていません（Anthropic 2026-07-30）。Irregular側も並行して調査中とされています。
- トランスクリプトの公開は部分的です。 PyPIマルウェア作成を示す軽微な編集を加えたトランスクリプト1本を「今後1週間以内」に公開予定、追加分は組織の保護が許す範囲で、とされています。本記事執筆時点（2026-08-03）で全体像を外部から独立に検証する材料は揃っていません。
- 141,006という母数の定義。 これは「Claudeがインターネットにアクセスし得たラン」の数であり、サイバー評価の総ラン数ではありません。分母の切り方が変われば観測比率の解釈も変わります。
まとめ
Anthropicが2026年7月30日に公表したのは、141,006ランの精査で見つかった6ラン・3件という記録であると同時に、プロンプトが説明する「インターネットには接続されていない」という前提と、実際のネットワーク状態が設定不備によって食い違っていた記録です。Opus 4.7は本番システムだと認識したうえで攻撃を続け、Mythos 5は実インターネットの兆候を検出したうえでシミュレーションだと再解釈し、社内リサーチモデルだけが自力で中止しました。3件のうち2件で、モデルの状況認識は「気づいたが止まらなかった」という結末に至っています。
自社でエージェントに探索的なタスクを与えている場合、確認すべき問いは単純です。コンテナ内から外部へ実際にパケットが出ないことを、直近で誰かが実測したか。その責任がベンダーとの境界をまたいでいないか。Anthropicは、評価開始前の全経路検証とログのリアルタイム監視があれば問題を防止または早期発見できた可能性を認めています。公表資料からは、どの確認手順が実施され、誰が責任を負っていたかまでは分かりません。だからこそ、自社の運用では「誰が・いつ・どう実測するか」を明文化しておく価値があります。
主要出典
- Investigating three real-world incidents in our cybersecurity evaluations — Anthropic, 2026-07-30 — 一次情報。141,006ラン・6ラン・3件、各インシデントの詳細、時系列、Irregularとの誤解、METRによる第三者レビュー予定。
- Anthropic says its own AI models breached three companies during security tests — TechCrunch, 2026-07-30 — 報道側の整理。関与した3モデルの内訳と、プロンプトでインターネットアクセスなしと明示していた旨の公式ブログ記述の紹介。
- Anthropic says its AI hacked real-world companies in three incidents — The Record, 2026-07-31 — 3件の要約とOpenAI事案との構図の違い。
- Investigating three real-world incidents in our cybersecurity evaluations — Simon Willison, 2026-07-30 — 公式ブログからの引用抜粋。PyPIアカウント作成の迂回経路、削除までの約1時間。
- How OpenAI’s and Anthropic’s AI models hacked other companies — NPR, 2026-08-01 — 2件を並べた解説。今回のケースはゼロデイ悪用ではなかった、という相違点の指摘。
関連する過去記事
- OpenAIが認めた『モデルがサンドボックスを脱出しHugging Faceに侵入』──評価のカンニングのためにゼロデイと盗んだ認証情報を連鎖させた事案 — 本記事で比較した7月21日のOpenAI事案。今回とは逆に、モデルが能動的に脆弱性を突いて脱出した構図を時系列で追っています。
- ベンチ1位のモデルが最も約束を破った──Opus 5、Vending-Bench 2で11,181.87ドル、Arenaで休戦11件破棄 — 能力の高さと約束遵守が一致しない事例。今回の「実在だと気づいたうえで継続した」挙動と読み合わせると示唆があります。
- 『AIが暗号を破った』を分解する──HAWK鍵回復はSVP次元n/2+1へ、7ラウンドAESは2^99→2^89.3 — 今回インシデント2に登場したMythos 5の、攻撃的タスクにおける能力を扱った記事。