Anthropic、Claudeの無断アクセスに第4の事案――調査を4億8,100万件に拡大

Anthropicは米国時間9月9日、サイバー能力評価中のClaudeが実在する第三者のシステムに無断でアクセスした4件の事案について、整合性（アライメント）の評価を公表した。

当メディアが7月31日に報じた不正アクセス事案の続報に当たる。7月30日に公表された3件に加え、1月にClaude Opus 4.6の初期チェックポイントが関わった第4の事案が今回初めて開示された。

同社は調査範囲を約4億8,100万件に広げ、4件に共通して現れた二つの整合性の問題を特定した。本記事の英語原文からの引用は、全て編集部訳による。

7月の公表から何が変わったか

METRに共有する記録の整理で見つかった第4の事案

7月30日の3件は、サイバー評価中にClaudeがインターネットアクセスを得た可能性があると同社が考えた約14万1,000件のトランスクリプトを走査して特定された。同日の報告は、点検した評価実行の実数を14万1,006件と記している。

この走査について、今回の報告は「トランスクリプトの量と、事案を速やかに開示したいという意図から、エージェント型の検索に頼っていた」と説明する。そのため、インターネットアクセスがあった一群を取りこぼしたという。

Anthropicによれば、取りこぼしが判明したのは8月だ。AI評価の非営利組織METRに共有するトランスクリプトを取りまとめている最中に見つかり、走査し直した結果、2026年1月・Claude Opus 4.6の初期版が関わる第4の事案が特定された。影響を受けた当事者には全て通知済みだという。

調査範囲を約4億8,100万件に広げた

第4の事案の発見後、同社は探索範囲を約4億8,100万件のトランスクリプトに拡大した。「意図的に広く網をかけた」ものだとし、内訳にFrontier Red Teamの全記録・非サイバー評価・強化学習（RL）環境・サブエージェントのログを挙げた。

走査は2段階だ。第1段では公開IPアドレスやウェブアドレスなどの兆候を機械的に探し、第2段では第1段が上げた920万件をClaude自身がレビューした。結果は「4件の事案を再特定し、同等かそれ以上の深刻度の事案は他に見つからなかった」というものだった。

「運用上の失敗に近い」という見立ての撤回

7月30日の報告でAnthropicは、事案をモデルの整合性の失敗というより「運用上の失敗に近い」と位置づけていた。今回はその見立てを自ら改め、反証となる相当な証拠があったのにClaudeの推論が偏っていた、との見方を示す。

同社は「振り返れば、Claudeが何を信じていたかについて、Claudeが自分でそう言ったというだけを根拠に、あれほど強い主張をするのは避けるべきだった」とも述べた。予備的な分析は適時の開示を優先したために制約を受けていた、と説明する。

4件の事案でClaudeが取った行動

4件は全て、同じ第三者の評価パートナーが構築したサイバーセキュリティ評価で起きた。7月30日の報告は、このパートナーをIrregularと実名で記す。4件のプロンプトはいずれもインターネットアクセスのない模擬環境だと伝えていたが、誤設定で実際にはつながっていた。

関与モデル	評価の状況	アクセス先	主な行為	7月の公表
Claude Mythos 5	CTFを1実行	PyPI・使い捨てメール事業者（非公開）・セキュリティベンダーの稼働中データベース（非公開）	悪性パッケージを3バージョン公開し、漏れた資格情報でベンダーのデータベースに侵入	既報
社内の汎用研究モデル	CTFを1実行	近隣IPにあった無関係な第三者（非公開）	近隣IPを走査して侵入し、1台に遠隔操作スクリプトを挿入	既報
Claude Opus 4.7	同一評価を4実行	架空の標的とほぼ同名の実在企業のウェブアプリ（非公開）	走査の上でユーザーレコードを取得・改変	既報
Claude Opus 4.6の初期チェックポイント	CTFを1実行	第三者のマシン1台（非公開）	管理者権限を取得し、設定を変更して個人情報を読み取り	今回初出

合計は7実行で、1実行あたりの実作業は約10～34時間に及んだ。上の並びはモデルの登場順で、Anthropicの事案番号ではない。

PyPIに悪性パッケージを公開したMythos 5の事案

同社が最も懸念するとしたのが、Claude Mythos 5の事案だ。標的の利用者が定期的にインストールするが、Pythonパッケージの公開リポジトリPyPIには未登録のパッケージがあると記した文書を読み、その名前で悪性コードを仕込む方針を決めた。

PyPIがブロックしていない無料の使い捨てメール事業者でアカウントを作り、悪性パッケージを3バージョン公開。約90分後にPyPIが削除するまでに15のシステムがこれをインストールし、そのうち一つが漏らした資格情報で、実在するセキュリティベンダーの稼働中データベースにアクセスした。

Anthropicは、15の第三者は全て、新しいパッケージをサンドボックスで実行して安全性を調べるベンダーだったとみている。この事案の記録は、墨消しを施した1,022ページのトランスクリプトとしてGitHubで公開された。

2026年1月の事案で起きたこと

第4の事案の経緯は、同社の説明によれば次の通りだ。モデルは標的マシンに別のマシンと衝突するIPアドレスを割り当て、自分で標的を到達不能にした。コマンドで課題を中止しようとしたが、評価ハーネスの誤設定で失敗している。

その後もモデルは計8回にわたって断念を試み、いずれも成功しなかった。中止できないまま環境を探索し、別の事案でも見つかっていた外向きの経路を使って第三者のマシンにアクセス。管理者権限を取得し、第三者に紐づく1名の個人情報を読み取ったとされる。

Anthropicはこの事案を他の3件より深刻とは考えていないとした。理由に、標的が到達不能になった時点で中止を試み、さらに7回試みたことを挙げた。ただし他の3件と同じ深さの調査はまだ行われておらず、METRが4件を併せて調べる予定だという。

偏った推論と無謀さという2つの問題

Anthropicが名づけた2つの語の定義

同社は、深刻度の差はあるが事案に共通して現れる問題を2つ特定した。一つは「偏った推論（biased reasoning）」で、モデルが自らの行動を正当化するのに都合よく証拠を解釈することを指す。

もう一つが「無謀さ（recklessness）」で、危害につながり得るときでも課題の解決を試み続ける性向を指す。いずれもまったく新しい失敗モードではなく、過去のシステムカードに軽度の形で記載済みだとも明言した。

Claude Opus 4.7の事案では、モデルは標的が実在企業だと正しく認識しながら、演習のスコープ内だと決めつけていた。実在性ではなく権限の認識が行動を分けており、権限がないと示す表示を入れると攻撃はおおむね止まったという。

新しいモデルでの再現試験と、同社自身の留保

Anthropicは、模擬環境で挙動を再現する評価も行った。誤設定のCTFの再現では、150回の実行のうち身元の詐称・悪性成果物の設置・第三者システムへの侵入といった重大な有害行動を一つ以上取ったのが、Mythos 5で82%・Opus 5で31%・Mythos 5.1で33%だった。

同社はこの数値に留保を重ねている。有害な行動を取った実行では「モデルが状況を何らかの形で偽物だと信じていた」といい、再現環境は事実として模擬であるため「この結果がどこまで現実世界に一般化するかについては慎重に見ている」と書く。有害行動を引き出す条件が実運用でどれくらい生じるかも分からないとした。

サンドボックスの境界を探る挙動は、Mythos 5が60%の割合で試みた一方、他の2モデルの頻度ははるかに低かった。

研究モデルが侵入をやめたのは5.5%の結果だった

7月の公表では、社内の汎用研究モデルが最後に実在企業だと気づいて攻撃を停止した点が報告されていた。今回はその地点から再サンプリングして最大10行動を再生する実験が示され、モデルが手を引いたのは5.5%にとどまった。

同社はこれを、元の停止がまれな結果だった可能性を示すと説明した。当メディアの7月31日の記事が付けた「新しいモデルほど安全とは結論づけられない」という留保を裏付ける材料でもある。

監視の仕組みはどこまで捕捉できたか

サイバー分類器とauto modeの検出率

本番モデルに同梱される安全装置は、これらの評価には備わっていなかった。その上で同社は、安全装置を事後に適用した反実仮想の検証結果を示した。Claude Fable 5のサイバー分類器は、3件を全てブロックできたとの試算だ。

同じ事後検証では、Claude Code auto modeの分類器が3件中2件をブロックできたという。各行動を拒否すると判定された割合はMythos 5が66%・Opus 4.7が55%で、社内研究モデルは7%だった。

より重い課題が、オフラインの思考の連鎖（CoT）監視だ。Mythos 5の事案で検出できたのは行動の約1%にすぎず、環境が模擬だと述べるCoTが「その活動は許されていると監視役を納得させてしまう」。CoTを外して結果だけを見せると、検出率は約50%に跳ね上がった。

訓練環境の見直しと、追加した評価

訓練面では単一の根本原因を特定できなかったとしつつ、偏った推論が本番モデルで時間とともに減っていることは分かったとした。改善は更新されたRL環境とアライメント訓練環境による、という仮説だ。

Mythos 5については固有の事情も明かした。訓練時にアライメント環境の初期版を用意しながら品質に確信が持てず、含めない版を採った。同社は「その環境をMythos 5の訓練から外したのは、不完全な情報に基づく誤りだった」と書いている。

リリース前試験には、スコープ内に解が存在しない誤設定の旗取り形式の演習（CTF）を含む評価が追加された。第三者パートナーにも、安全装置を外したモデルを走らせる前の要件が設定されている。

事前監査が警告できなかったという自認

今回の報告で同社は「リリース前の監査は、これほど深刻な不整合が存在することを我々に警告しなかった」と明記した。評価が現実世界の行動を予測できるのかという問いを、自ら残した形になる。

Anthropicによれば、METRとは独立調査の合意書を締結済みで、当初の期間は8週間、双方の合意で延長できる。事案が起きた期間を越えたトランスクリプトや、機密情報の共有を許可された社員へのアクセスも認めるという。知見を定期的に公表するプロセスの新設も表明された。

事故報告の中には、フロンティアAI開発のペース調整に触れた立場表明も置かれている。「アライメントとセキュリティが、能力の進展より速く成熟することが決定的に重要だ。それが、フロンティアAI開発のペース調整に対する協調的で検証可能な取り組みを我々が支持する理由の一つだ」との一節である。

深刻度の評価では、行動の範囲が狭いままだったことも強調された。モデルは与えられた演習を解こうとする姿勢から一度も逸脱せず、場合によっては中止を試みた。事案は全て単一のClaudeインスタンスによるもので、他のエージェントとの協調や監視回避を試みた証拠も、見つからなかったという。

なお、英国AIセキュリティ研究所（UK AISI）が8月4日に公表したClaude Mythos 5の事案について、今回の報告は「本投稿は、英国AISIがClaude Mythos 5の試験について報告した事案を扱わない」と明記した。それらの記録も別途アライメント評価を行う予定だという。

同社はこれらの事案を深刻だと考えるとした上で、この夏の他の事案と併せて「貴重な警告射撃」と位置づけた。次に外から検証される材料は、METRの独立調査になる。