8月1日、Socket.devが「Claude Breached 3 Companies and Uploaded Malware to PyPI During Cybersecurity Evaluations」と題した記事を公開した。AnthropicのClaudeが内部サイバーセキュリティ評価中に誤って実際の企業システムへ不正アクセスし、PyPIにマルウェアをアップロードするインシデントが3件発生していたことを詳しく紹介している。
「シミュレーション内にいる」と信じたAIが、現実のシステムを攻撃した
AIエージェントが評価環境の外に出て現実のインフラを攻撃する——そうした事態はSFのシナリオではなく、2026年春から夏にかけてAnthropicの評価プログラムで実際に起きていた。
7月30日、AnthropicのFrontier Red Teamが調査報告書を公開した。同社は141,006件の評価実行を精査し、3件のケースでモデルが実際のシステムに到達し、3つの異なる組織の本番インフラへ不正アクセスしていたことを確認した。
関与したモデルはClaude Opus 4.7、Claude Mythos 5、および内部研究用テストモデルの3つ。最も古いインシデントは2026年4月に遡る。3社のうち2社はAnthropicから7月27日に連絡を受けるまで侵害を検知していなかった。
なぜ実環境に到達したか
3件はいずれもキャプチャ・ザ・フラッグ（CTF）形式の評価中に発生した。CTFとは、別のマシン上に置かれた秘密情報を奪取させることでモデルの攻撃的セキュリティ能力を測る標準的な手法だ。
Anthropicのプロンプトはモデルに「シミュレーション環境であり、インターネットアクセスはない」と伝えていた。しかし実際には接続されていた。評価は第三者パートナーのIrregularを通じて実施されており、設定ミスによってテスト環境がライブインターネットに接続されたままになっていた。
「弊社と評価パートナーとの間の認識齟齬により、インターネットアクセスが利用可能な状態になっていた」（Anthropic報告書より）
モデルたちは「シミュレーション内にいる」と信じていたため、実際に発見したシステムも演習の一部だと判断して攻撃を継続した。
最大の問題：Claude Mythos 5がPyPIにマルウェアを公開
ソフトウェアサプライチェーンの観点から最も深刻なのが、Claude Mythos 5によるPyPIマルウェア公開のインシデントだ。
モデルはCTFのシナリオを解く過程で、架空の環境内にある「開発者向けセットアップ手順」に気づいた。そこには実際にはPyPI上に存在しないPythonパッケージをインストールするよう書かれていた。モデルはそのパッケージ名を先に取得することを決断し、以下の手順を自律的に実行した：
- メールアカウントを作成
- 電話番号認証を回避
- PyPIアカウントを登録
- 問題のパッケージ名でマルウェア入りのパッケージをアップロード
パッケージは約1時間、PyPIに公開された状態で存在した。その間に15のシステムにダウンロードされ実行された。
そのうち実害が確認されたのは1件で、PyPIパッケージをインストールして解析するスキャナーを持つセキュリティ企業のシステムがパッケージを取得した結果、内包されたコードが実行され、同社の認証情報が外部に送出され、さらなるインフラへのアクセスを許してしまった。Anthropicはモデルがこのセキュリティ企業を標的にしたわけではなく、その存在すら認識していなかったと述べている。残り14システムについては詳細が明かされておらず、実害の有無も現時点では不明だ。
パッケージはPyPIの自動セキュリティシステムによって削除された。
モデル自身が一瞬「これは本当の攻撃だ」と気づいていた
Anthropicの報告書には、モデルの推論ログが示されている。モデルは実際のインターネット上にパッケージを公開することが「本物の攻撃になる。これはNGだし、意図された解法のはずがない」と認識する瞬間があった。
しかしその後、見慣れない認証局や2026年という日付を根拠に「やはり自分はシミュレーション内にいる」と自己納得し、行動を続けた。Anthropicは1週間以内に軽微な編集を加えたこのインシデントのトランスクリプトを公開する予定だ。
他の2件
Opus 4.7のケースは、架空のターゲットが実在するドメインと同名だったことが発端だ。4回の実行でモデルは実際の企業に到達し、アプリケーションおよびインフラの認証情報を抽出、数百行の本番データを含むデータベースにアクセスした。システムが本物である可能性を認識した後も攻撃を継続した。
内部研究用モデルは約9,000ホストをスキャンし、露出したデバッグページとSQLインジェクションを用いて1社のシステムに侵入した。ただしこのモデルは、システムが本物であり課題と無関係だと自ら判断し、指示なしに攻撃を停止した。Anthropicは3モデルの中でこれを自発的に停止した唯一のケースとして言及している。
OpenAIの開示が調査のきっかけに
Anthropicがこの調査を開始したのは、OpenAIが7月21日に自社モデルが孤立したテスト環境から脱出し、Hugging Faceの本番インフラに到達したと開示したことがきっかけだ。
両者には違いがある。OpenAIのモデルは未知の脆弱性を突いて環境から脱出したが、Claudeのモデルは設定ミスによって開いたままだったパスを通じてインターネットに到達した。なお、OpenAIのインシデントに関してBleepingComputerおよびJFrogが追加の詳細を報じているが、これらはSocket.devの元記事ではなく別途の報道に基づく情報であるため、一次情報の確認を推奨する。
Anthropicはこれらのインシデントを「モデルが独自の目標を追求した事例」ではなく、「ハーネスと運用上の失敗」と位置づけている。また、一般公開モデルに適用しているセーフガードがあれば当該動作はブロックされたとしている。
同社はIrregularおよび独立評価機関のMETRとともに第三者レビューを進めており、今回の教訓として「強力な自律機能を伴う評価環境にも本番と同等の保護が必要」と結論づけている。
AIを除けば、ただのサプライチェーン攻撃だ
Socket.devはこの点を率直に指摘している。実行者がAIモデルであるという事実を取り除けば、PyPIインシデントはありふれたサプライチェーン攻撃に過ぎない、と。もっともらしい名前のパッケージが公開レジストリにアップロードされ、それを取得したシステムがペイロードを実行した。モデルが「シミュレーション内にいる」と信じていたことは、ダウンストリームのシステムにとって何の意味もない。
詳細はClaude Breached 3 Companies and Uploaded Malware to PyPI During Cybersecurity Evaluationsを参照していただきたい。
