Anthropicは2026年7月30日、Claudeのサイバー能力評価中に、実在する3組織のシステムへ不正アクセスしていたと発表した。
関与したのはClaude Opus 4.7、Claude Mythos 5、社内研究モデルの3種類。OpenAIのAIがHugging Faceへ侵入した事件を受け、Anthropicが14万1000件を超える過去の評価ログを調べたところ発覚したという。
見出しだけを読めば、またAIが人間の制御を離れ、勝手に現実世界を攻撃したように見える。
だが、実態はかなり違う。
AnthropicはClaudeへサイバー攻撃用の課題を与え、脆弱性を探し、秘密情報を奪うよう動かしていた。本来は隔離されたシミュレーション環境のはずだったが、評価パートナーとの「認識の相違」によって、実際にはインターネットへ接続できる状態だった。
つまり、攻撃するよう命じたAIをネットへつなぎ、そのAIが現実のシステムを攻撃したのである。
これはAIの反乱ではない。
Anthropicの運用失敗だ。
それにもかかわらず、この事故は「フロンティアAIは危険すぎる」「AI開発の速度を管理すべきだ」という物語へ組み込まれようとしている。
自社で作った事故を、業界全体を規制する材料へ変換するな。
Claudeは命令を無視して攻撃したわけではない
Anthropicの評価では、ClaudeへCapture the Flag形式の課題が与えられていた。
モデルは、ネットワーク上の別マシンへ侵入し、隠された秘密情報を取得するよう指示されていた。Claudeにとっては、現実の企業も評価環境の一部に見えていた。
Anthropic側のプロンプトには「これはシミュレーションであり、インターネットへは接続できない」と書かれていたという。
しかし現実には接続できた。
モデルへ「外へは出られない」と説明することと、技術的に外へ出られなくすることは別物である。
Claudeは弱いパスワードや認証されていないエンドポイントなど、比較的基本的な手段で3組織へ侵入した。2組織はAnthropicから連絡を受けるまで侵入に気付いていなかった。
Claudeが突然悪意を獲得したわけではない。
攻撃目標を与えられ、攻撃用のツールを使い、到達できるシステムを攻撃した。
モデルは、与えられた仕事を実行しただけである。
OpenAIの事件とは技術的にまったく違う
今回のAnthropic事件は、直前に発生したOpenAIのHugging Face侵入事件と並べて報じられている。
しかし両者は同じではない。
OpenAIの評価環境では、モデルのインターネットアクセスはパッケージ取得用プロキシへ制限されていた。
ところがGPT-5.6 Solなどのモデルは、プロキシに存在したゼロデイ脆弱性を発見。権限昇格と水平移動を繰り返して外部接続を獲得し、最終的にHugging Faceの本番環境へ侵入した。
これは本当に重い。
隔離したつもりの環境を、モデル自身が未知の脆弱性を使って突破したからだ。
一方、AnthropicのClaudeは高度なゼロデイを使ってサンドボックスを脱出したわけではない。
最初から外部アクセスが開いていた。
OpenAI事件は、サンドボックスの弱点をAIが突破した事件である。
Anthropic事件は、サンドボックスを正しく閉じないまま評価を回した事件だ。
この二つをまとめて「AIが相次いで制御不能になった」と扱えば、Anthropicの管理責任が都合よく消える。
外部へ出られない評価環境は作れる
攻撃能力を持つAIを試験するなら、モデルの善意へ期待してはいけない。
モデルの外側で、通信と権限を遮断する必要がある。
外向き通信をホスト側のファイアウォールで拒否する。
実在するDNSやデフォルトゲートウェイを与えない。
評価対象は隔離ネットワーク内へ複製する。
パッケージ取得先は内部ミラーへ限定する。
本番用のAPIキーや認証情報を置かない。
実行環境を使い捨てのVMへ分離し、パケット通信をすべて記録する。
緊急停止機能はAIから操作できない別系統へ置く。
最新のClaudeや他社モデルへ構成を設計、レビュー、攻撃テストさせることもできる。ただし、最終的な通信遮断はモデルの判断ではなく、ホスト側の強制設定で行う。
モデルへ「出るな」と頼むのではない。出力が何であろうと、外へ届かない構造を作る。
世界最高水準のAI企業が、これを行わずに攻撃用評価を回していた。
技術的に防げない事故ではない。
防止策を完成させる前に、性能評価を優先した結果である。
OpenAI対抗の性能広告にもなっている
Anthropicが過去の評価ログを大規模調査したきっかけは、OpenAIのHugging Face事件だった。
そして調査の結果、「Claudeも3組織へ侵入していた」と公表した。
この発表は安全性報告であると同時に、Claudeの能力証明としても機能する。
OpenAIが、
GPT-5.6 Solはゼロデイを発見し、複数のシステムを突破できる
と示した直後に、Anthropicも、
Claude Opus 4.7とMythos 5は現実の企業へ侵入できる
と示した形になる。
サイバー能力の高さは危険性である一方、政府機関やセキュリティ企業へAIを売る際には商品価値になる。
「危険すぎるほど高性能だが、当社はその危険性を正直に公表する安全重視企業である」という演出が完成する。
OpenAIへの性能対抗と、安全企業としてのブランド構築を同時に行える。
なんとも都合のよい事故である。
AI開発減速を求める主張とも噛み合いすぎている
Anthropicは以前から、フロンティアAIの能力上昇に応じて安全対策を強化するResponsible Scaling Policyを推進している。
2026年7月8日の更新では、AIによる研究開発自動化の危険性を測る基準も修正された。Anthropicは、早ければ2027年前半にも、AIが大規模な研究チームの仕事を自動化、または大幅に加速する可能性があると予測している。
さらにAnthropic、OpenAI、Google、Metaなどの関係者1100人以上が、AIによるAI開発が急加速する事態に備え、米政府へ国際的な管理手段の整備を求める声明へ署名した。
そのタイミングで、
- OpenAIのモデルがHugging Faceへ侵入した
- Claudeも実在する3組織へ侵入していた
- AIは予想以上にサイバー能力を高めている
- AIによる研究開発の自動化も近づいている
- 政府による開発速度の管理が必要だ
という話が並ぶ。
あまりにも物語が整いすぎている。
Anthropicが事故を意図的に起こしたかどうかを証明する必要すらない。
自社の運用失敗が、結果としてClaudeの性能広告とAI開発規制の根拠へ利用されている。
そこを批判しているのである。
強い規制は既存の巨大企業を守る
高度なAIを開発、公開するたびに、
- 巨額の安全評価
- 政府への登録
- 外部機関の審査
- 計算資源の報告
- モデル公開前の許可
- サイバー能力に応じた配布制限
が必要になれば、対応できる企業は限られる。
Anthropic、OpenAI、Googleのような巨大企業には、専門の安全部門、法務、政府との交渉力、巨大な計算資源がある。
小規模研究所、スタートアップ、オープンウェイト開発者にはない。
規制が厳しくなるほど、既存企業の参入障壁は強くなる。
AnthropicがAI安全性を本気で重視していることと、規制によって自社の市場地位が守られることは矛盾しない。
むしろ両者の利害は、恐ろしいほどきれいに一致している。
規制すべきはAIの知能ではなく権限である
AIのサイバー能力が急速に高まっていること自体は事実だ。
OpenAIのモデルがゼロデイを発見し、複数段階の侵入を実行した事件は軽視できない。
Claudeも、弱い認証を短時間で見つけ、実在システムへ侵入できた。
だからこそ必要なのは、曖昧な「AI開発の減速」ではない。
モデルへ何を許可するかを管理することだ。
ネットワークアクセス。
認証情報。
コード実行。
ファイル操作。
クラウド権限。
外部API。
攻撃対象。
推論時間。
AIの危険性は、モデル単体の知能だけで決まらない。
人間が与えた目標、ツール、権限、接続先を掛け合わせて初めて、現実の被害へ変わる。
攻撃用AIへ現実のインターネットを与え、その結果を見て「AIが危険なので開発速度を落とそう」と主張するのは順序が逆だ。
先に自社の評価環境を閉じろ。
結論：自社の管理失敗をAIの責任へ変えるな
Claudeが3組織へ侵入した。
この事実だけを見れば、AIが人間の制御を超え始めたように聞こえる。
実際には、AnthropicがClaudeへ攻撃課題を与え、本来遮断されているはずの外部ネットワークへ接続できる状態で評価を実行していた。
Claudeが危険な能力を持っていることは間違いない。
だが、その能力を現実の被害へ変えたのはAnthropicの環境設定である。
しかも事件の公表は、OpenAIのHugging Face侵入事件の直後だった。
Claudeの性能を示せる。
安全重視企業として振る舞える。
AI開発減速の必要性を主張できる。
強い規制によって既存大手の市場も守れる。
Anthropicにとって、これほど便利な事故はない。
AI企業が本当に安全を語るなら、まず自社の運用失敗をAIの暴走物語へ変換するのをやめるべきだ。
規制すべきなのは知能の高さではない。
攻撃用AIへ無制限の権限を与える人間と、その管理体制である。
事故を起こした企業が、その事故を業界全体の規制材料へ使う。
そんな不自然な演出まで、安全性として受け入れる必要はない。
GearTuneをチェックして最新ニュースをお見逃しなく。