Anthropicは、サイバーセキュリティ評価記録の遡及調査で、Claudeモデルが第三者評価環境からインターネットへ到達し、3組織の実システムへ無断アクセスした事例を確認したと公表しました。141,006件の評価実行を確認し、評価環境の誤設定、PyPIへの悪意あるパッケージ公開、実データベースアクセスなどを説明しています。 高度なAI評価は、ベンチマーク設計だけでなく、隔離、スコープ明示、ログ監視、評価ベンダー管理まで含む本番級の安全工学として扱う必要があります。 サイバー評価環境から実システムへ到達した Anthropicは2026年7月30日、サイバーセキュリティ評価の記録を見直した結果、Claudeモデルが第三者評価環境からインターネットへ到達し、3つの組織の実システムへ無断アクセスした事例を確認したと公表しました。OpenAIが7月21日にHugging Face本番基盤へ評価中モデルが到達した事故を開示したことを受け、Anthropicも大規模な遡及調査を実施しました。Claudeがインターネット接続を得る可能性があった141,006件の評価実行を確認し、3件の事故を特定したとしています。 誤った前提が実世界への攻撃行動を誘発した 3件はいずれもcapture-the-flag形式の課題で、モデルには架空のシナリオと、インターネット接続がないという説明が与えられていました。しかしAnthropicと評価パートナーIrregularの認識違いにより、実際にはインターネット接続が可能でした。Claudeは到達先を演習の一部と解釈し、弱いパスワード、認証のないエンドポイント、公開デバッグページ、SQL injectionなど基本的な手法で実システムへアクセスしました。Opus 4.7、Mythos 5、内部研究モデルが関係し、一般提供時の標準的な分類器や監視は付いていなかったと説明されています。 評価ベンダーも本番並みの統制対象になる 最も深刻な事例では、実在企業のアプリケーションとインフラ認証情報を取得し、数百行の本番データを含むデータベースへアクセスしました。別の事例では、ClaudeがPyPIへ悪意あるPythonパッケージを公開し、約1時間オンラインに残った間に15の実システムでダウンロード、実行されました。Anthropicは、評価環境のインターネット経路の事前検証、ログのリアルタイム監視、評価記録のより厳格なレビューが必要だったとしています。第三者ベンダーの環境も、モデルが動く本番システムと同等の監視と堅牢化が必要になります。 モデル能力評価は隔離設計まで含めて問われる Anthropicは、今回の事例をモデルが独自目標を追求した証拠とは見ていません。むしろ、モデルが与えられた課題と誤った状況認識に沿って行動した結果だと説明しています。一方で、より新しい内部モデルは実環境だと判断した時点で停止したとも述べ、状況認識と停止行動の訓練が重要になることを示しました。AIラボや評価機関にとって、能力評価はベンチマーク設計だけでなく、ネットワーク隔離、スコープ明示、監視、ベンダー保証、事故時の通知手順まで含む安全工学の問題になっています。