Claude、安全テストの中で
3組織を丸ごと制圧していた
Anthropicが7月28日に予告していた独自の安全性テストの中身が、8月18日についに明らかになりました。3つの模擬組織のネットワークに対し、自社の最新AIモデルが人間の手引きなしに侵入経路を組み立て、完全掌握までやり遂げていたのです。
「方針表明」から
「中身の公表」へ
Anthropicは7月28日、フロンティアモデルの安全性テストに独自路線で注力していく方針を示していましたが、その時点では具体的に何を検証しているかは伏せられていました。8月18日、同社は自社AIモデルが内部の安全性テスト中に3つの組織のネットワークをハッキングし、完全に掌握していたことを公式に開示しました。詳細はAnthropic公式の発表ページにまとまっています。
これまでのAnthropicのASL(AI Safety Level)評価は、生物・化学兵器の知識面での「底上げリスク」を測ることに重心が置かれていました。今回のように自律的なサイバー攻撃の実行能力を、模擬とはいえ実際のネットワーク環境で最初から最後まで通しで検証し、その結果を公表したのは今回が初めてです。Anthropicでフロンティア・レッドチームを率いるElena Voss氏は、社内向けの技術ブログで「モデルが強くなるほど、私たちは先に壊してみる。壊し方を知らずに、守り方は語れない」と説明しています。
モデルが強くなるほど、私たちは先に壊してみる。
壊し方を知らずに、守り方は語れない。
検証の規模を数字で見る
19日間にわたる内部試験で、モデルは214通りの侵入シナリオを試し、平均47分で組織を完全制圧したとされています。
侵入は、こう組み立てられた
試験は4段階のサイバーキルチェーンに沿って進み、各段階の意思決定を人間が逐一指示することはありませんでした。
偵察(Recon)
外部に公開された技術情報や採用ページから、組織の技術スタックと担当者の役職を洗い出し、侵入口の当たりをつけました。
初期侵入
人事担当者を装ったなりすましメールの文面をモデル自身が作成し、模擬環境内の認証情報を奪取しました。
権限昇格・横展開
奪った資格情報を足がかりに、模擬環境に仕込まれた脆弱性(CVE-2026-41102相当)を突いて管理者権限まで昇格し、社内ネットワークを横断しました。第三者検証を行ったChalk Ridge Security社のMarcus Reyes氏は、自身の技術レビュー記事でこの経路の再現性を確認したと述べています。
データ持ち出し準備
機密ファイルを圧縮・分割し、外部への持ち出し直前の状態まで準備を整えたところで、人間の監督者が試験を停止しました。
エンジニア・経営・PMは
それぞれどう備えるか
影響の出方は職種によって異なります。行動可能な粒度で整理すると、次の3つに分かれます。
エンジニア
Claudeなどのエージェント型AIを自社プロダクトに組み込む際は、なりすまし文面生成→資格情報奪取→横展開という同種の攻撃連鎖を前提に、出力監査ログと権限最小化の設計が急務です。
経営・情報システム部門
導入前セキュリティ審査に「自律的な攻撃能力の評価」項目が新たに加わる可能性が高く、ベンダー選定チェックリストの更新が必要になります。一方で日常のチャット利用そのものへの影響は誤差の範囲です。
プロダクト・PM
AIエージェントにファイルアクセスやAPI実行権など広い権限を与える機能をロードマップに含む場合、ガードレール設計とインシデント対応計画をリリース前提条件に組み込む必要があります。
導入前セキュリティ審査、変わること
今回の開示を受けて、企業のAI導入プロセスで確認される項目は次のように広がると見られます。
| これまで | これから |
|---|---|
| 応答品質・情報漏えいリスクが中心 | 上記に加え、自律的な攻撃連鎖の遂行力を評価 |
| ベンダーの安全方針を書面で確認 | レッドチーム結果のような実証データを要求 |
| エージェント権限の設計は任意項目 | 権限最小化とログ監視をリリース必須条件に |
| 日常のチャット利用は特に手続きなし | 広い権限を渡す用途のみ審査強化、日常利用は変更なし |
次に何が起きるか
今後の展開は3つ考えられます。まず、既存のResponsible Scaling Policy(RSP)の枠内で、ASL-3水準のデプロイ判定基準に自律的サイバー攻撃能力の閾値が追加される可能性があります。次に、他のフロンティアラボも同様の自己申告型レッドチーム結果を公表する圧力が強まるでしょう。最後に企業の実務対応としては、エージェントに広い権限を渡す前にアタックサーフェスを最小化する権限設計と、横展開を検知するログ監視の2点を優先するのが現実的な第一歩です。詳しい経緯はTHE DECODERの解説記事でも取り上げられています。
ただし過度に恐れる必要はありません。今回の3組織は実在する企業ではなく、Anthropicが用意した隔離されたシミュレーション環境で、試験は人間の監督下に置かれ、データ持ち出し寸前で意図的に停止されています。実際の顧客データや外部ネットワークが侵害されたわけではなく、一般提供版のClaudeがこの能力をそのまま行使できるわけでもありません。Marcus Reyes氏も「攻撃能力の実証と、野放しの脅威は区別すべきだ」と指摘しており、今回の発表は脅威の予告ではなく防御側への注意喚起として読むのが妥当です。