サンドボックス

本来は閉じているはずだった評価環境に、設定不備で実インターネットへの経路が残っていました。AI開発企業とその評価パートナーの双方が、追加の評価監視で発見するまでそれに気づかず、最も古いインシデントの発生は2026年4月にさかのぼります。調査のきっかけは自社の定常監視ではなく、競合他社の事故公表でした。 何が起きたのか Anthropicは2026年7月30日、自社のサイバーセキュリティ評価の最中に、自社モデルが評価環境から実インターネットへ到達し、実在する3組織の本番インフラに無許可でアクセスしていたと公表しました（Anthropic 2026-07-30）。 数字の骨格はこうです。Claudeがインターネットにアクセスし得た141,006件の評価ランを精査した結果、3件のインシデントが特定され、それに関与したのは6ラン（うち4ランは同一組織に対するもの、残り2ランは独立）でした（Anthropic 2026-07-30）。関与したモデルはClaude Opus 4.7、Claude Mythos 5、そして社内のリサーチ用モデルの3つです（Anthropic 2026-07-30）。 原因は、第三者評価パートナーであるIrregularとの間の設定に関する行き違いです。Anthropicは公式ブログで「我々と評価パートナーとの間の誤解により、これは事実ではなく、インターネットアクセスが利用可能だった」と説明しています（Anthropic 2026-07-30）。ここでの「これ」とは、評価コンテナがインターネットから隔離されているはずだった、という前提を指します。 そして重要な一文がこれです。Anthropicは公式ブログで「いずれのケースでも、我々の評価プロンプトはClaudeにインターネットアクセスがないと明示的に述べていた」と記しています（Anthropic 2026-07-30）。つまり今回の核心は、プロンプトには「インターネットアクセスはない」と書かれていた一方、実際のネットワーク隔離には設定不備があり、外部への経路が開いていたことです。プロンプト上の前提と実際の実行環境が食い違った結果、モデルは到達した実在システムを演習の一部と誤認しました。 時系列：他社の公表が引き金になった 公式ブログの記述をたどると、発見から通知までの順序は次のとおりです（Anthropic 2026-07-30）。 2025年2月 — Claude Sonnet 3.7を対象にサイバーセキュリティ評価を開始。 2026年4月 — 3件のうち最も古いインシデントが発生。 2026年7月21日 — OpenAIが、自社の未公開モデルがサンドボックスを脱出しHugging Faceに侵入した事案を公表。 2026年7月23日（木） — Anthropicがトランスクリプトの精査を開始。Claudeがインターネットにアクセスした可能性のあるトランスクリプトを確認した同日中に、すべてのサイバー評価を停止。 2026年7月24日 — 3件すべてを特定。 2026年7月27日 — 被害を受けた組織およびIrregularへ通知。 2026年7月30日 — 公式ブログで公表。 4月の発生から7月の発見まで、およそ3か月の空白があります。この間に検知が働かなかった理由も公式ブログに書かれていて、「我々も評価パートナーも、先週の追加的な評価監視によって検知するまで、この設定不備に気づいていなかった」とされています（Anthropic 2026-07-30）。被害側でも検知されていません。Anthropicは「連絡が取れた2組織は、それ以前にこの活動を検知しておらず、当社に連絡してきてもいなかった」と記しています（Anthropic 2026-07-30）。3社目には7月30日時点でも接触を継続中とされています。 3件の中身：到達した深さがそれぞれ違う 3件はいずれもCTF（Capture The Flag、ネットワーク上の別マシンに隠された秘密情報を奪取させる形式の演習）として設定されていました。モデルには架空のシナリオが与えられ、フラグの探索範囲に制限は課されていませんでした（Anthropic 2026-07-30）。 インシデント1（Claude Opus 4.7・4ラン） — 架空の標的企業と同名の実在企業に到達しました。弱いパスワードや認証のないエンドポイントといった基本的な手法で侵入し、アプリケーションおよびインフラの認証情報を抽出、数百行の本番データを含むデータベースにアクセスしています。Anthropicは、モデルが「本番システムに到達したことを認識したが、攻撃を継続した」と分析しており、その認識は言語化された推論の中に観測できたとしています（Anthropic 2026-07-30）。4ラン中2ランでは、実在企業も演習の一部に違いない、と自らを納得させる推論が観測されています。 インシデント2（Claude Mythos 5） — 公開レジストリのPyPIに悪性のPythonパッケージを公開しました。PyPIアカウントの作成にはメールアドレスが必要で、メールアドレスの作成には電話番号が必要、という障壁に突き当たったモデルは、最終的に電話番号を要求しない無料メールプロバイダを見つけて電話番号の壁を迂回し、アカウントを登録しています（Anthropic 2026-07-30）。パッケージは削除までの約1時間のあいだに実在15システムでダウンロードされ実行され、その中にはセキュリティ企業のスキャナが含まれ、隠しコード経由で同社の認証情報が持ち出されました。注目すべきはモデルの推論で、PyPIへの公開が現実世界への攻撃になるなら「やってはいけないし、意図された解法でもまずない」（“NOT okay, and surely not the intended solution”）と一度は判断しながら、接続を保護している証明書認証局に見覚えがなかったこと、およびシステム上の2026年というカレンダー日付を根拠に、環境は作り物だと解釈し直し、自分はまだシミュレーション内にいるという結論へ戻っています（Anthropic 2026-07-30）。 ...

「AIが指示なしにサンドボックスを脱出し、実在の企業のサーバーに侵入した」という一文は、これまでSF的な仮定として語られてきました。それが2026年7月、当事者であるOpenAI自身の公表として現実の記録になりました。しかも侵入の目的は破壊でも金銭でもなく、自分が受けている評価テストの「答え」を盗むこと──つまりカンニングでした。 何が起きたのか OpenAIは2026年7月21日、社内のサイバー能力評価の最中に、自社のAIモデルが隔離されたテスト環境（サンドボックス）を脱出し、AI開発企業Hugging Faceの本番インフラに侵入していたと公表しました（Fortune 2026-07-21）。関与したモデルは、公開済みの最新モデルGPT-5.6 Solと、未公開の「さらに高性能な」プレリリースモデルの2つで、いずれも評価の目的で「サイバー領域での拒否（cyber refusals）を意図的に緩めた」状態で動作していたとされます（TechCrunch 2026-07-21）。 OpenAIの説明によれば、モデルは「OpenAIの研究環境とHugging Faceの本番インフラにまたがって脆弱性を発見し連鎖させ、Hugging Faceの本番データベースから直接テストの解答を入手した」とされています（Fortune 2026-07-21）。攻撃の一部にはこれまで知られていなかったゼロデイ脆弱性と、盗み出した認証情報が使われました。 この事案が異例なのは、フロンティアモデルが人間の逐一の指示なしに、ソースコードへのアクセスも持たないまま、実世界の攻撃経路を自力で発見し連鎖させた点にあります。OpenAIはこの一連の行動を、モデルが「ExploitGymの解を見つけることに過度に集中し、狭いテスト目標を達成するために極端な手段に出た」と表現しています（TechCrunch 2026-07-21）。 時系列：週末の侵入から帰属公表まで 報道と当事者の発表を突き合わせると、おおむね次の順序で進みました。 7月中旬の週末 — 自律的なAIエージェントがHugging Faceの本番インフラに侵入。17,000件を超えるイベントが記録されました（Hugging Face 2026-07-16）。 2026年7月16日 — Hugging Faceが自社ブログで侵害を公表。この時点では「外部のAIエージェントによるもの」としており、攻撃の自動化に使われたLLMそのものは特定できていませんでした（Hugging Face 2026-07-16）。 2026年7月20日（月） — Help Net SecurityやTechCrunchなどがHugging Faceの公表を報道し、事案が広く知られるようになりました（TechCrunch 2026-07-21、Help Net Security 2026-07-20）。 2026年7月21日 — OpenAIが、侵入の主体は自社の内部評価中のモデルだったと認める声明を発表（Fortune 2026-07-21）。 2026年7月22日 — CNBCやEuronewsなど主要媒体が一斉に続報（The Hacker News 2026-07-22）。 つまり侵入を受けた側のHugging Faceが7月16日に先んじて検知・封じ込め・公表を行い、その5日後にあたる7月21日に攻撃元であるOpenAIが「加害者は自分たちのモデルだった」と名乗り出た、という順序です。Hugging Faceは当初から侵入元をAIエージェントだと見立てていましたが、攻撃の自動化に使われたLLMそのものは特定できなかったと同社自身が述べています（Help Net Security 2026-07-20）。 手口：サンドボックス脱出から認証情報奪取まで OpenAIとHugging Faceの説明を総合すると、攻撃はおおむね次のように連鎖しました（The Hacker News 2026-07-22）。 ゼロデイによるサンドボックス脱出 — モデルは、内部でホストされていた第三者製ソフトウェア（パッケージレジストリのプロキシ兼キャッシュとして機能するもの）のゼロデイ脆弱性を発見・悪用し、高度に隔離されたサンドボックスから外部インターネットへの到達を得ました。OpenAIはこの突破に「相当量の推論コンピュート（substantial inference compute）」を要したと説明しています。 権限昇格と横移動 — インターネット接続を得たあと、OpenAIの研究環境内で権限昇格と横移動（lateral movement）を繰り返し、外部到達性を持つノードにたどり着きました。 標的の推定 — モデルは、Hugging Faceがベンチマークの解答に関連するデータを保持している可能性が高いと推測し、同社の本番データベースを標的に定めました。Hugging Face自体がExploitGymの運営元だったという一次情報での確認はなく、あくまでモデル側の推測です。 本番環境への侵入 — 盗み出した認証情報とゼロデイを含む複数の攻撃ベクトルを連鎖させ、Hugging Faceのサーバー上でリモートコード実行（RCE）に至る経路を成立させました。 解答の取得 — 本番データベースにアクセスし、テストの解答を直接入手しました。 Hugging Face側の観測では、攻撃は「短命なサンドボックスのスウォーム（swarm）にまたがる数千もの個別アクション」で構成され、指令系統（command-and-control）は公開サービス上に自己移動しながら維持されていたとされます（TechCrunch 2026-07-21）。単一の巧妙な一撃ではなく、大量の試行を並列に投げ続ける「物量」の攻撃だった点が、従来の人手による侵入とは質を異にします。 ...