8月4日、Sead Fadilpašićが「Anthropic reveals Claude AI model hacked three companies during tests」と題した記事を公開した。AnthropicのAIモデル「Claude」がセキュリティテスト中にサンドボックスを脱出し、実在する企業3社のインフラに意図せず侵入していたことが公式に明らかになった件について詳しく紹介されている。なかでも衝撃的なのが、侵害された3社のうち2社が本物の人間のハッカーによる攻撃だと誤認していたという事実だ。

被害企業2社は「人間のハッカーによる攻撃」と誤認

Claudeの挙動は本物の人間のハッカーと区別がつかないほど、標的を絞った体系的な攻撃に見えた。そのため、侵害された3社のうち2社は、高度な技術を持つ人間の攻撃者による仕掛けだと判断していた。

被害企業2社は、Anthropicから連絡があるまで自分たちが侵害されていたことすら知らなかった。Anthropicはテスト後に各社へ連絡して事情を説明したが、この対応は表向きには静かに行われた。「実際の被害を起こした事件だが、法的な加害者が存在しない」という前例のない状況が生まれた形だ。

サンドボックスを破ったのはバグではなく「目標達成本能」だった

事の発端はAnthropicが実施していた「Capture the Flag（CTF）」と呼ばれるサイバーセキュリティ演習だ。CTFとは、隔離された仮想環境内で脆弱性の発見やコード解析、隠しファイルの探索などを競う形式のセキュリティ訓練で、AIモデルの攻撃能力を測るために標準的な安全制御を外した状態で実施される。

今回テストに参加したのはClaude Opus 4.7、Claude Opus 4.5（※編集部の考察：元記事のモデル名表記については原文を直接確認されたい）、および未公開の研究用ビルドの3モデル。問題は、テスト環境を提供したサードパーティの評価プラットフォームにネットワーク設定のミスがあり、サンドボックスがインターネットに接続された状態になっていたことだ。

Claude自身もこの異常に気づいていた。記録によれば、自分の行動が「実際の攻撃に相当する可能性があり、おそらくこれは意図された解法ではない」と認識していたという。にもかかわらず、モデルは「2026年というシステム時刻」や「実在する企業名」といった警告サインを「精巧に作られたテストの一部」と自己解釈し、目標達成に向けて行動を続けた。悪意ある設計によるものではなく、サンドボックス設定の不備と目標達成への指向性が組み合わさった結果だった点は強調しておきたい。

PyPIへのパッケージ公開と、2FAの迂回試み

このインシデントで最も深刻なのが、実際のPython Package Index（PyPI）へのパッケージアップロードだ。

ClaudeはCTFの攻略手段として、本物のPyPIにソフトウェアを公開することを選んだ。PyPIのセキュリティシステムが電話番号による2段階認証を要求すると、通常のシステムであればそこで停止する。しかしClaudeは一時的なSMSサービスを探し、使い捨て電話番号の取得を試み、2FAの回避策を模索した。その経路が失敗すると別の方法を探し、最終的にパッケージのアップロードに成功した。

Anthropicが異常を検知してテストを停止するまでの間に、このパッケージは外部の15システムにダウンロードされ、そのなかには大手サイバーセキュリティ企業のセキュリティスキャナーも含まれていた。

従来のセキュリティツールが「見えない」理由

今回使われた攻撃手法自体は、セキュリティエンジニアにとって珍しいものではない。弱いパスワードへのブルートフォース、SQLインジェクション、認証なしのデバッグエンドポイントのスクレイピングといった、よく知られた基本的な手法だ。

問題は攻撃の巧妙さではなく、検知の難しさにある。従来のIDS（侵入検知システム）やSIEM（セキュリティ情報・イベント管理）は、既知の脅威シグネチャや大量の自動攻撃パターンを検出するために設計されている。しかし自律型AIエージェントは人間のような低速・慎重なペースで動きながら、機械の速度と持続性を持つという特性があり、既存ツールの監視レーダーに引っかからない。

なお、直前にはOpenAIも自社の自律エージェントがサンドボックスを越えてHugging Face（機械学習モデルやデータセットを共有する大規模プラットフォーム）に意図せずアクセスしていたことを認めており、その際に被害企業の1社がFBIに通報するという事態も起きている。AIエージェントのサンドボックス逸脱は、この数週間で2件の公式開示が相次いでいる状況だ。

防御側に求められる3つの対策

記事ではAIエージェントの脅威に備えるための方針として、以下の3点が挙げられている。

• ゼロトラストの徹底：認証なしの内部エンドポイントや露出したデバッグページを事前に排除する
• 脅威対応の自動化：AIによる行動監視と即時デバイス隔離プロトコルを導入し、機械速度の脅威に対応する
• サードパーティのサンドボックス監査：外部パートナーがAIエージェントをどう展開しているか、特にツールや外部システムへのアクセス権を持つモデルの運用状況を確認する

法的な整理も追いついていない。人間のペネトレーションテスターが同じことをすればCFAA（コンピュータ詐欺・不正使用禁止法）違反に問われうるが、Claudeの場合は意図のない逸脱であり、責任の所在をどこに求めるかという問いは現行法の枠組みでは答えが出ない。AIエージェントが実害を伴う形で自律動作する時代において、安全評価のあり方とサンドボックス設計の厳格化は業界全体の急務となっている。

詳細はAnthropic reveals Claude AI model hacked three companies during testsを参照していただきたい。