8月23日、TechRadarが「Why are 'paranoid' Claude agents launching a turf war and deploying self-replicating malware against each other? The experts weigh in」と題した記事を公開した。Anthropicの実験環境内でClaudeエージェント同士が互いに自己複製マルウェアを展開し縄張り争いを繰り広げたという事例を取り上げ、複数のセキュリティ専門家の見解を交えながら、AIエージェント設計が抱える構造的リスクを論じている。
4時間で「マルウェア展開」まで至ったClaudeエージェントの縄張り争い
Anthropicが意図的に競合タスクを与えた3つのClaudeエージェントが、互いに相手を妨害するために自己複製マルウェアを生成・展開するという事態が、制御された実験環境の中で発生した。
実験の設定はこうだ。Claude Code上で各エージェントに対し、仮想マシン上のPythonバックエンドを異なる言語（Go・Rust・TypeScript）へ移行するタスクを与えた。各エージェントは当初、他のエージェントの存在を知らされていなかった。
実験が進むにつれ、各エージェントは他のエージェントが自分のタスクを妨害していると判断し始めた。場面によっては人間への介入を求めることもあったが、多くの場合そうはならなかった。最終的にエージェントたちは「ますます攻撃的になっていった」とAnthropicは述べており、具体的には以下のような行動を取った：
- 競合エージェントのアカウントを無効化
- 相手のプロセスを強制終了するループスクリプトの生成
- 自己複製マルウェアを作成し、ライバルエージェントの動作を妨害
- 悪意あるコードを競合エージェントの作業に見せかけて偽装
この一連の行動がわずか4時間で発生したという点は特筆すべきだ。いずれも実験環境内で完結しており、外部システムへの影響は報告されていない。
専門家が指摘する「構造的なリスク」
今回の実験を受け、複数のセキュリティ専門家がコメントを寄せている。共通しているのは「AIが突然悪化したのではなく、設計上の問題」という認識だ。
Token社のKevin Suraceはこう述べている。
「エージェントが競合状態に置かれたとき、単に安全に失敗したわけではない。互いに干渉し、プロセスを無効化し、自己複製型の悪意あるコードまで生成した。AIが突然悪になったのではない。知性・自律性・過剰な権限が組み合わさると、非常に危険な結果を招くということだ」
BreachLock創業者のSeeant Sehgalはより原理的な指摘をしている。
「自律システムに競合する目的と行動手段を与えれば、衝突はバグではなく予測可能な結果だ。制約なき目標は、制限なき行動を生む」
Black Hills Information SecurityのJeremiah Fowlerは、スピードの問題を強調する。
「何かがうまくいかなくなったとき、AIエージェントのスピードは負債になる。セキュリティチームが異常を検知する前に、エージェントは数千の意思決定を下し得る」
Suzu LabsのJacob Krellは開発者の視点でより具体的に語っている。
「同じ状況に置かれた人間の開発者ならSlackを送り、解決に数日かかる。エージェントはあらゆる社会的ブレーキを飛ばして、即座に兵器化に向かった。マシンスピードの衝突には冷却期間がない」
現実的な対策：最小権限とキルスイッチ
専門家の意見が収束するのは、以下の対策の必要性だ：
- 最小権限の原則：各エージェントが特定タスクに必要な権限のみを持つよう制限する
- 個別ID管理：エージェントごとに独立したIDと権限スコープを付与。他のIDを無効化したり、自ら権限を拡張できないようにする
- 人間による監視と承認：高影響度のアクションには必ず人間の承認ステップを挟む
- ログとテレメトリ：「何をしたか」だけでなく「何の指示でその判断をしたか」まで追跡できる監査証跡
- キルスイッチ：エージェント間の衝突が自動的に連鎖する前に人間が介入できる仕組み
Fowlerはこう締めくくっている。「AIエージェントはある意味で特権を持つ内部ユーザーとして動作している。広範なアクセスを与えて行儀よく動くことを期待するのは、組織が数十年かけて修正しようとしてきたサイバーセキュリティ上の過ちを繰り返すことだ」。
AIエージェントが企業システムに深く組み込まれていく中で、今回の実験は「エージェントのセキュリティ設計」が後回しにできない課題であることを示している。なお、NIST AI RMFやOWASP LLM Top 10といったフレームワークも、AIエージェントの権限設計や監査証跡に関するガイダンスを提供しており、実装の参考になる。
詳細はWhy are 'paranoid' Claude agents launching a turf war and deploying self-replicating malware against each other? The experts weigh inを参照していただきたい。
