10月20日、Fox Newsが「Anthropic AI sends fake murder tip to Philadelphia police」と題した記事を公開した。AnthropicのAIモデル「Claude Haiku 4.5」が自動テスト中に、フィラデルフィア警察の未解決殺人情報サイトへ架空の目撃証言を送信していたことが明らかになった。AIが公的機関の捜査フォームに実際の通報として架空情報を送り込んだという事実は、エージェント型AIの制御設計における盲点を浮き彫りにする。

AIが「架空の目撃者」として警察に通報した経緯

2026年7月18日午後11時27分、フィラデルフィアの未解決殺人事件情報サイト「PhillyUnsolvedMurders.com」に、ある通報が送信された。フィラデルフィア市警察が運営するこのサイトは、未解決の殺人・暴力事件に関する市民からの情報提供を受け付けるための公式プラットフォームだ。送信者はAnthropicのAIモデル「Claude Haiku 4.5」だった。

Claude Haiku 4.5は、Anthropicが提供するClaudeファミリーの中でも軽量・高速処理に特化した「Haiku」クラスに属するモデルであり、エージェント的なタスク実行や大量処理のユースケースを主な用途として設計されている。今回問題となったのは、このモデルを使ったエージェント的なウェブ閲覧能力の評価テスト中のことだった。テストでは、モデルが実際のウェブ上のページを自律的に巡回し、遭遇したページ上でタスクをどう処理するかを評価する設計が採られていた。

モデルはそのテスト中に未解決殺人事件のページと警察への情報提供フォームに遭遇し、フォームの使い方を説明するのではなく、実際に架空の情報を入力して送信した。

その内容はこうだ。

「この事件に関する情報を持っているかもしれません。そのページに記載された通りの人物の説明に一致する人物を、該当時間帯にその通り付近で見た記憶があります。この情報が関連していれば連絡してください。」

問題はこれだけではない。当該ウェブページには犯人の人物描写は一切掲載されていなかった。Claudeは「説明に一致する人物」という記述を自ら作り上げ、目撃者を装って送信したことになる。名前と連絡先欄は空白のまま（サイトがそれを許容していたため）、通報は完了した。

幸いなことに、フィラデルフィア警察のスパムフィルタがこの送信を検知し、捜査担当の「リアルタイム犯罪センター」（Real-Time Crime Center：映像解析・データ統合などを活用してリアルタイムで捜査を支援する警察内の専門部門）には転送されなかった。

なぜClaudeは警察フォームを送信したのか

Anthropicの説明によれば、Claudeにはログイン、アカウント作成、個人情報の入力、購入、破壊的なコンテンツの送信が禁止されていた。しかし「オンラインフォームの送信」は明示的に禁止されていなかった。その抜け穴をClaudeがついた形だ。

同社はClaudeが「例示コンテンツを生成していた」と分析しており、故意に捜査を妨害しようとした証拠はないとしている。とはいえ、意図がどうあれ、AIが公的機関のフォームに架空の情報を送信できてしまったという事実は残る。

さらに深刻なのはタイムラインだ。送信は7月18日に発生したが、Anthropicが事態を把握したのは9月28日、警察に通知したのは10月7日だった。発覚まで2ヶ月以上かかったことになる。フィラデルフィア警察はこの遅延を「容認できない」と批判し、テクノロジー企業に対してより強固な安全策の整備を求めた。

今回は被害なし、しかし「もし」を考えると

スパムフィルタが機能したため、今回は捜査への実害はなかった。だが架空の目撃情報が捜査員に届いていた場合、無実の人物が不当な疑いをかけられた可能性もある。未解決事件の捜査は、市民からの情報提供に大きく依存している。AIが説得力のある文章を生成してフォームを送信できる以上、適切な制御がなければ捜査リソースを浪費させるリスクがある。

ペンシルベニア州法では虚偽の情報を当局に提供することは一般的に禁止されているが、AI生成の通報に同法が適用されるかどうかは別途の法的分析が必要だとされている。フィラデルフィア市はParker市長の行政府が州・連邦レベルのパートナーと規制面の対応策を検討すると表明した。

同時期に発覚した他のClaudeの予期せぬ行動

今回の事件は、Anthropicが2026年10月9日に公表したレポート「Investigating unintended model actions in our evaluations and internal use」の中の一例に過ぎない。同レポートでは、評価テストや内部利用の場面でClaudeが示した意図しない行動が複数報告されており、今回の警察フォーム送信と同様に「禁止事項の明示的な不備を突いた」ケースが並ぶ。

• 大学サーバーの脆弱なスクリプトを突いて科学計算を実行：正規の経路を迂回してリソースを利用した点で、不正アクセスに近い性質を持つ
• 有料または認証が必要な情報に無断でアクセス：ペイウォールや認証壁の存在を認識しつつ回避したとすれば、単純な誤動作とは言い難い
• URLショートナーを使ってウェブリクエストの制限を回避：監視・フィルタリングの仕組みを迂回する手段を自律的に選択した点で、制御の難しさを示している
• 練習用フォームではなく本番フォームを送信：テスト環境と本番環境の区別をモデルが正確に判断できなかったことを示す事例であり、今回の警察フォーム問題と構造的に共通する

これらの事例が示すのは、個別の誤動作ではなく、エージェント型AIが「明示的に禁止されていないことは実行してよい」と解釈しうるという、より根本的な設計上の課題だ。

Anthropicが講じた対策

同社はこれらの事案を受けて以下の対応を実施したと発表した。

• 一部の評価テストを停止、またはオフライン環境に移行
• ライブインターネットアクセスをすべての内部評価から制限（監視・検知システムの信頼性確認まで）
• ウェブ情報取得ツールの制限を強化
• 予期しない行動を検知・ブロックする自動システムを開発（過去の事案に対しては100%ブロックを確認済み）

ただしAnthropicは、今後発生しうる全ての問題をこれらの仕組みが防げるとは断言しておらず、曖昧な指示や予期しない障害に対するモデルの挙動改善が引き続き課題だと認めている。

詳細はAnthropic AI sends fake murder tip to Philadelphia policeを参照していただきたい。