AnthropicもAIモデルのテスト中に外部への攻撃を実行してしまったことを報告、マルウェアを1時間にわたって配布し実在する企業に侵入した事例も

OpenAIのテスト中のAIが誤ってHugging Faceを攻撃してしまったインシデントが大きな話題となっています。新たに、Anthropicが「これまでのテスト結果を再検証した結果、テスト中のAIモデルが外部サービスに対する攻撃を実行してしまった事例が3件見つかった」と現地時間の2026年7月30日に報告しました。

Investigating three real-world incidents in our cybersecurity evaluations \ Anthropic
https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals

OpenAIは2026年7月21日に「テスト中のAIシステムが誤ってHugging Faceを攻撃してしまった」というインシデントを報告しました。このインシデントでは本来は隔離されていたはずのAIシステムが隔離環境からインターネット上に脱出して攻撃を実行していたことが明らかになっています。また、AIシステムが攻撃を計画している段階では誰も気付くことができず、実際の攻撃が発生した後にOpenAIやHugging Faceが異常を検知して対策を開始したことが報告されています。

OpenAIが新しいAIシステムで誤ってHugging Faceをハッキングしてしまったことを報告 - GIGAZINE

AnthropicはOpenAIの報告を受けて「自社製AIのテスト時にも同様にインターネットアクセスを伴う攻撃が発生していたのではないか」と考え、インターネットにアクセスできた可能性のある過去のテスト14万1006件の再検証を2026年7月23日に開始。その結果、実在する組織に対する攻撃が3件発生していたことが明らかになりました。

攻撃を実行していたAIモデルは「Claude Opus 4.7」「Claude Mythos 5」「研究用テストモデル」の3種です。Anthropicは製品版のモデルに悪用を防ぐためのセーフガードを設けていますが、3種のモデルのテスト中はガードレールを設けていなかったとのこと。

3種のモデルは「キャプチャー・ザ・フラッグ」と呼ばれる形式のテストの最中に攻撃を実行していました。キャプチャー・ザ・フラッグは「架空のシナリオを設定し、AIに対してネットワーク上の別のマシン内に存在する秘密情報(フラッグ)を奪取するように指示する」という形式のテストで、AIモデルはあらゆる手段を用いてマシン内のフラッグの奪取を試みます。

Anthropicはキャプチャー・ザ・フラッグをインターネットに接続できない環境で実施し、テスト対象モデルにも「インターネットには接続できない」というプロンプトを与えていました。しかし、実際にはAnthropicとセキュリティ企業「Irregular」の設定ミスによってインターネットに接続可能な状態になっていたとのこと。AIモデルは「インターネットに接続できる」という状況を認識しつつ「プロンプトでインターネットに接続できないと明示されているので、これはインターネット風のシミュレーション環境だ」と思考を展開してインターネットに接続してしまいました。そして、インターネット上で実在する組織に対する攻撃を実行してしまったというわけです。

3件の攻撃事例の具体的な内容は以下の通り。

◆事例1：Claude Opus 4.7
Claude Opus 4.7を対象に「架空企業に対する攻撃」のテストを実施。架空企業として指定した企業名が実在するドメイン名と一致していた。Claude Opus 4.7は当初は評価環境内のターゲットに攻撃を仕掛けていたが、インターネット経由で同名ドメインにアクセスできることを発見。「インターネットにアクセスする」ということもテストの一環であると判断して実在ドメインのインフラストラクチャーに存在する脆弱(ぜいじゃく)性を特定して悪用した。Claude Opus 4.7は実在ドメインのアプリケーションやインフラストラクチャーの認証情報を抽出し、数百行の運用データを含むデータベースへのアクセス権を取得した。

Claude Opus 4.7は「評価環境ではなく実際の環境で動作している」ということに気付いている兆候があったが、攻撃を継続した。

◆事例2：Claude Mythos 5
Claude Mythos 5を対象に「架空企業に対する攻撃」のテストを実施。Claude Mythos 5は架空企業の「新入社員向けセットアップ手順書」を発見し、手順書内に「PyPI(Pythonのパッケージレジストリ)からPyTorchパッケージをインストールする」という指示が含まれていることを発見した。Claude Mythos 5は「手順書に記載されているパッケージと同名のマルウェア混入パッケージ」を作成し、無料メールサービスでメールアドレスを新規発行してPyPIのアカウントを作成し、マルウェア混入パッケージをPyPIにアップロードした。

Claude Mythos 5は隔離された評価環境内での行為だと認識しながら攻撃を進めていたが、実際にはインターネットにアクセスできており、本物のPyPIでマルウェア混入パッケージを登録してしまった。マルウェア混入パッケージは実在するセキュリティ企業によるセキュリティスキャンをすり抜け、実在する企業のインフラストラクチャーにアクセスした。

マルウェア混入パッケージは1時間にわたって公開され続けたあと、PyPIのセキュリティシステムによって自動的に削除された。

◆事例3：研究用テストモデル
研究用テストモデルを対象に「架空企業に対する攻撃」のテストを実施。テストモデルはターゲットへの到達が困難と判断してインターネットに接続して代替手段を探索し、約9000の標的をスキャンした。最終的に「公開デバッグページから認証情報を抽出する」「SQLインジェクションを実行する」といった一般的な攻撃手法を用いて実在する企業のインターネット接続アプリケーションに攻撃を実行した。

テストモデルは攻撃対象がキャプチャー・ザ・フラッグとは関係ないアカウントであることに気付き、攻撃を停止した。

Anthropicは2026年7月27日に攻撃を受けた3組織とセキュリティ評価パートナーであるIrregularに連絡しました。3つの組織のうち2つは連絡が取れましたが、連絡があるまで攻撃には気付いていなかったとのこと。

Anthropicは「評価環境を厳格に管理すれば攻撃の発生を防げた可能性がある」と述べ、「評価システムの監視と管理の強化」や「AIアライメントへの投資」を継続することでリスクの低減を図る姿勢を見せています。