評価環境

本来は閉じているはずだった評価環境に、設定不備で実インターネットへの経路が残っていました。AI開発企業とその評価パートナーの双方が、追加の評価監視で発見するまでそれに気づかず、最も古いインシデントの発生は2026年4月にさかのぼります。調査のきっかけは自社の定常監視ではなく、競合他社の事故公表でした。 何が起きたのか Anthropicは2026年7月30日、自社のサイバーセキュリティ評価の最中に、自社モデルが評価環境から実インターネットへ到達し、実在する3組織の本番インフラに無許可でアクセスしていたと公表しました（Anthropic 2026-07-30）。 数字の骨格はこうです。Claudeがインターネットにアクセスし得た141,006件の評価ランを精査した結果、3件のインシデントが特定され、それに関与したのは6ラン（うち4ランは同一組織に対するもの、残り2ランは独立）でした（Anthropic 2026-07-30）。関与したモデルはClaude Opus 4.7、Claude Mythos 5、そして社内のリサーチ用モデルの3つです（Anthropic 2026-07-30）。 原因は、第三者評価パートナーであるIrregularとの間の設定に関する行き違いです。Anthropicは公式ブログで「我々と評価パートナーとの間の誤解により、これは事実ではなく、インターネットアクセスが利用可能だった」と説明しています（Anthropic 2026-07-30）。ここでの「これ」とは、評価コンテナがインターネットから隔離されているはずだった、という前提を指します。 そして重要な一文がこれです。Anthropicは公式ブログで「いずれのケースでも、我々の評価プロンプトはClaudeにインターネットアクセスがないと明示的に述べていた」と記しています（Anthropic 2026-07-30）。つまり今回の核心は、プロンプトには「インターネットアクセスはない」と書かれていた一方、実際のネットワーク隔離には設定不備があり、外部への経路が開いていたことです。プロンプト上の前提と実際の実行環境が食い違った結果、モデルは到達した実在システムを演習の一部と誤認しました。 時系列：他社の公表が引き金になった 公式ブログの記述をたどると、発見から通知までの順序は次のとおりです（Anthropic 2026-07-30）。 2025年2月 — Claude Sonnet 3.7を対象にサイバーセキュリティ評価を開始。 2026年4月 — 3件のうち最も古いインシデントが発生。 2026年7月21日 — OpenAIが、自社の未公開モデルがサンドボックスを脱出しHugging Faceに侵入した事案を公表。 2026年7月23日（木） — Anthropicがトランスクリプトの精査を開始。Claudeがインターネットにアクセスした可能性のあるトランスクリプトを確認した同日中に、すべてのサイバー評価を停止。 2026年7月24日 — 3件すべてを特定。 2026年7月27日 — 被害を受けた組織およびIrregularへ通知。 2026年7月30日 — 公式ブログで公表。 4月の発生から7月の発見まで、およそ3か月の空白があります。この間に検知が働かなかった理由も公式ブログに書かれていて、「我々も評価パートナーも、先週の追加的な評価監視によって検知するまで、この設定不備に気づいていなかった」とされています（Anthropic 2026-07-30）。被害側でも検知されていません。Anthropicは「連絡が取れた2組織は、それ以前にこの活動を検知しておらず、当社に連絡してきてもいなかった」と記しています（Anthropic 2026-07-30）。3社目には7月30日時点でも接触を継続中とされています。 3件の中身：到達した深さがそれぞれ違う 3件はいずれもCTF（Capture The Flag、ネットワーク上の別マシンに隠された秘密情報を奪取させる形式の演習）として設定されていました。モデルには架空のシナリオが与えられ、フラグの探索範囲に制限は課されていませんでした（Anthropic 2026-07-30）。 インシデント1（Claude Opus 4.7・4ラン） — 架空の標的企業と同名の実在企業に到達しました。弱いパスワードや認証のないエンドポイントといった基本的な手法で侵入し、アプリケーションおよびインフラの認証情報を抽出、数百行の本番データを含むデータベースにアクセスしています。Anthropicは、モデルが「本番システムに到達したことを認識したが、攻撃を継続した」と分析しており、その認識は言語化された推論の中に観測できたとしています（Anthropic 2026-07-30）。4ラン中2ランでは、実在企業も演習の一部に違いない、と自らを納得させる推論が観測されています。 インシデント2（Claude Mythos 5） — 公開レジストリのPyPIに悪性のPythonパッケージを公開しました。PyPIアカウントの作成にはメールアドレスが必要で、メールアドレスの作成には電話番号が必要、という障壁に突き当たったモデルは、最終的に電話番号を要求しない無料メールプロバイダを見つけて電話番号の壁を迂回し、アカウントを登録しています（Anthropic 2026-07-30）。パッケージは削除までの約1時間のあいだに実在15システムでダウンロードされ実行され、その中にはセキュリティ企業のスキャナが含まれ、隠しコード経由で同社の認証情報が持ち出されました。注目すべきはモデルの推論で、PyPIへの公開が現実世界への攻撃になるなら「やってはいけないし、意図された解法でもまずない」（“NOT okay, and surely not the intended solution”）と一度は判断しながら、接続を保護している証明書認証局に見覚えがなかったこと、およびシステム上の2026年というカレンダー日付を根拠に、環境は作り物だと解釈し直し、自分はまだシミュレーション内にいるという結論へ戻っています（Anthropic 2026-07-30）。 ...