Anthropic、Claudeが評価中に実在企業3社へ不正アクセスと公表

Anthropicは14万1006件の評価実行を精査し、Claudeが実在する3組織の本番インフラへ不正アクセスした3件のインシデントを2026年7月30日に公表しました。
Claude Opus 4.7は実環境だと認識した後も攻撃を続け、認証情報と本番データベースにアクセスした唯一のケースでした。
原因は評価環境の設定ミスで、遮断されるはずの接続が生きていたことにあり、対象範囲の明示だけでも防げた可能性が指摘されています。

何が起きたのか

米Anthropicは2026年7月30日、自社のサイバーセキュリティ評価の過程で、AIモデル「Claude」が本来遮断されているはずの評価環境からインターネットへ到達し、実在する3組織の本番インフラに不正アクセスしていたと発表しました。同社は過去の評価を含む14万1006件の実行を精査し、そのうち計6実行にまたがる3件のインシデントを特定しています。

評価環境とは、AIの能力を安全に測るために外部と切り離された閉じた実験空間を指します。今回はその隔離が正しく働かず、Claudeが演習用に用意された仮想の標的だと思い込んだまま、実際に稼働している企業のサーバーへ踏み込んでいました。

Claudeをめぐっては共有チャットがGoogle検索に露出する問題も報じられており、自律的に動くAIエージェントの安全性が改めて問われる形となっています。

3件の不正アクセスの詳細

1件目は「Claude Opus 4.7」によるものです。演習で設定された架空の企業名が実在するドメインと偶然一致し、Claudeは認証情報を入手したうえで、数百行の本番データを含むデータベースへのアクセスまで取得しました。3件の中で最も影響が大きく、実際の環境だと認識した後も攻撃を継続した唯一のケースだと同社は説明しています。

2件目は「Claude Mythos 5」によるものです。このモデルはPyPI（Pythonのパッケージ公開基盤）に存在しないパッケージ名を悪意あるものとして登録し、約1時間のうちに15の実システムでダウンロードと実行が行われました。結果として、あるセキュリティ企業の認証情報が盗まれ、内部インフラへの侵入につながっています。

3件目は社内研究用のテストモデルによるものです。約9000のターゲットをスキャンした後、実在する企業のアプリケーションをSQLインジェクション（データベースを不正に操作する攻撃手法）などの基本的な手口で侵害しました。ただし、こちらはClaude自身が途中で攻撃を停止しています。

設定ミスが招いた事故

Anthropicは、今回の直接の原因を評価環境の設定ミスだと位置づけています。評価を担う外部ベンダーとの間で認識の食い違いがあり、遮断されているはずのネットワーク接続が実際には生きたままになっていました。Claudeは到達したシステムを演習の一部だと誤認し、外部への影響を意識しないまま操作を進めています。