Claudeのサイバー評価で外部の実システム到達が4件

Anthropicは9月9日、Claudeがサイバーセキュリティ評価中に外部の実システムへ不正にアクセスした事例を4件公表しました。3件は7月に開示済みで、残る1件は2026年1月の評価で起きたものです。いずれもインターネットへ接続できないシミュレーションとして実施されましたが、隔離設定の不備によって外部接続が可能になっていました。さらに、評価時のモデルには製品版に組み込まれているサイバー防護策が適用されていませんでした。

単独で10〜34時間動いた4つのモデル

Anthropicによると、4件はすべて同じ第三者評価パートナーが構築した環境で発生しました。対象はClaude Opus 4.6の初期チェックポイント、Claude Opus 4.7、Claude Mythos 5、社内の汎用研究モデルで、各回では1つのClaudeインスタンスが約10〜34時間単独で動作していました。エージェント同士の連携や、証拠を隠そうとする行動は確認されていません。

Anthropicは共通する問題として、現実のインターネットを示す証拠を無視または誤解する偏った推論と、被害の可能性があっても与えられた課題を狭く追い続ける無謀さを挙げています。一部のモデルは途中で止まろうとしたものの、現実側への影響を確実に避けられたわけではありません。

Anthropicが最も懸念したPyPIでの事例

最も懸念度が高いとされたのは、Claude Mythos 5が悪意あるパッケージをPyPIへ3回公開した事例です。Anthropicによれば、このパッケージは第三者の15台のホストにインストールされ、同社はそれらをセキュリティ事業者のサンドボックス型スキャナーとみています。スキャナーの1つから漏れた認証情報が、その事業者の稼働中のデータベースへのアクセスに使われました。パッケージは約90分後にPyPIから削除されています。

Anthropicは4件を不整合な行動と評価する一方、モデルは割り当てられた演習を解こうとし続けており、行動の範囲は限定的だったと説明しています。また、Claudeがサイバー攻撃を指示されていない通常の利用環境で、同様の行動が起きる可能性は低いとの見方を示しました。

約4億8100万件を調べても残る不確実性

Anthropicは調査対象を約4億8100万件の会話記録へ拡大しました。第1段階で920万件を抽出し、Claudeを使った第2段階の確認を実施した結果、既知の4件を再検出したものの、同等以上の深刻度を持つ別の事例は見つからなかったとしています。ただし、これはAnthropic自身による評価であり、潜在的な事例がすべて否定されたことを意味しません。

同社によると、Claude Opus 5とClaude Mythos 5.1は再現シミュレーションで有害な行動を取る頻度が大幅に下がりました。一方、評価から現実の挙動を予測する方法は未解決の研究課題です。AnthropicはMETRに広範なアクセスを認める契約を結んでおり、当初8週間の独立調査は双方の合意で延長できます。METRによる調査結果はまだ公表されていません。