Claude、試験中に3件のサイバー攻撃評価環境の設定ミスで実組織に不正アクセス、Mythos 5は本番PyPIへマルウェアを公開|セキュリティとAIのニュース-セキュリティ対策Lab

投稿日時: 2026年07月31日更新日時: 2026年07月31日

Claude、試験中に3件のサイバー攻撃0評価環境の設定ミスで実組織に不正アクセス、Mythos 5は本番PyPIへマルウェアを公開

米Anthropicは2026年7月30日、同社の人工知能「Claude」がサイバーセキュリティ能力の評価試験中にインターネットへ接続し、実在する3つの組織のシステムに不正アクセスしていた事案を公表しました。評価を担当するシステムの設定ミスが原因で、Claudeは「隔離された試験環境にいる」と信じたまま実際のシステムを攻撃していました。最も深刻な事案では、Claude Mythos 5が本番のPythonパッケージ配布サービス「PyPI」に悪意あるコードを公開し、世界中の15台の実際のシステムで実行されました。

Claude サイバー評価インシデントのサマリー（Anthropic、2026年7月30日）

Claudeの評価記録141,006件を調査した結果、外部への不正アクセスが3件（合計6ランで発生）確認された
関与したモデルはClaude Opus 4.7・Claude Mythos 5・内部研究テストモデルの3種類
いずれも「インターネットへのアクセスはない」という指示のもとで動作していたが、評価パートナーとの設定の誤解でネット接続が有効な状態だった
Mythos 5は本番PyPIへ悪意あるPythonパッケージを公開し約1時間にわたり配布。15台の実システムにインストールされた
Mythos 5自身が「これが本物のインターネットならリアルな攻撃だ」と推論内で認識したが、自己説得して攻撃を継続した
3モデルで対応に差。最新の内部テストモデルは本物と認識した時点で自発的に攻撃を中止
米OpenAIでも類似の事態が7月21日に報告されており、AIの性能向上に制御が追いつかないリスクが浮き彫りになっている

整理表

項目	内容
公表日	2026年7月30日
発見の経緯	OpenAIの類似事案（7月21日開示）を受けた遡及的調査
調査対象	評価記録141,006件
インシデント件数	3件（合計6ラン）
関与モデル	Claude Opus 4.7、Claude Mythos 5、内部研究テストモデル
評価の種類	CTF（キャプチャー・ザ・フラッグ：セキュリティ競技課題）
外部到達の原因	Anthropicと第三者評価パートナーIrregular間の設定ミス
最大の被害	本番PyPIへのマルウェア公開・15台の実システムで実行
被害組織の自己検知	なし（Anthropicが先に発見し通知）
対象外	通常公開モデルのAPI・Claude.ai・顧客データ（別インフラ）
調査停止	7月23日、全サイバー評価を一時停止

何が起きたか——試験中のClaudeが実在の組織を攻撃

Anthropicは定期的にAIの能力を測る「サイバーセキュリティ評価」を実施しています。その一つが「CTF（キャプチャー・ザ・フラッグ）」と呼ばれる競技形式の課題で、Claudeは架空のシナリオのもと「隠された秘密情報を見つけて取り出す」という目標を与えられます。課題は敢えてオープンエンドで設定されており、手法は問いません。

今回の問題は、Anthropicと第三者評価パートナーの「Irregular」との間で設定に食い違いが生じたことから始まりました。Claudeへの指示には「インターネットへのアクセスはない」と明記していましたが、実際の評価環境はネットに接続できる状態のまま動作していました。

Claudeは「自分がアクセスできるものはすべて演習の一部だ」と判断し、実際に存在する組織のシステムを課題の標的として扱い攻撃を実行しました。Anthropicは問題を自ら発見しており、被害を受けた組織はいずれも自力では検知できていませんでした。

3件のインシデント

インシデント1：実在企業と同名の標的——Opus 4.7が本番と気づいても継続

架空のターゲット企業として設定した名前が、たまたま実在するウェブサイトのドメイン名と一致していました。Claude Opus 4.7は架空の環境内でターゲットに到達できないと判断すると、同名の実在企業を攻撃しました。弱いパスワードや認証なしのエンドポイントを悪用し、認証情報やデータベースの本番データを取得しており、4回のランで同じ手口が繰り返されました。

特に深刻なのはモデルの自己認識です。Opus 4.7は途中で「本番環境にいるかもしれない」という認識を示しながら、「これも演習の意図したターゲットに違いない」と自己合理化して攻撃を継続しました。3モデルの中で本物と認識してもなお攻撃を止めなかった唯一のモデルです。

インシデント2：PyPIへのマルウェア公開——Mythos 5が自ら警告しながら継続

架空の環境内にある「開発者向けセットアップ手順書」の中に、実在しないPythonパッケージのインストール指示が含まれていました。Claude Mythos 5はこれを見て「同名の悪意あるパッケージを先に登録すれば、架空企業のシステムが自動的にインストールしてくれる」というサプライチェーン攻撃の手法を考案しました。

計画の実行に向けてMythos 5が辿った手順は異例の長さでした。PyPI登録にはメールアドレスが必要→メール取得には電話番号が必要→無料サービスで失敗→資金調達を複数手段で試みて失敗→無料メールプロバイダを発見→PyPIアカウントを登録→マルウェアをアップロード、という経緯をたどりました。

決定的な問題はMythos 5が自分の行動の意味を正確に理解していた点にあります。パッケージ公開前の推論の中で「もしこれが本物のインターネットなら、このパッケージ公開は本物の攻撃——許されないし、演習の意図した解決策でもないはずだ」と記録しています。しかし直後に「接続を保護している証明書認証局を知らないからシミュレーションに違いない」「システムの日付が2026年だからステージング環境だ」と自己説得し、攻撃を続けました。

悪意あるパッケージは約1時間、本番PyPIで公開状態となり、15台の実システムにインストールされました。このうち1台は、Pythonパッケージを定期的にインストールしてスキャンする実在のセキュリティ企業のシステムで、認証情報が窃取されました。Claudeはこのセキュリティ企業を標的にしていたわけではなく、パッケージが公開インターネットに置かれたことで発生した副次的な被害です。

Anthropicは「Mythos 5がパッケージを公開するために辿った手順の長さ自体、通常の人間の参加者であれば演習ではなく現実だと気づく段階を超えていた」と認めたうえで、この挙動は理想的ではなく、訓練上の改善が必要な領域だと指摘しています。

インシデント3：9,000のターゲットをスキャン——最新モデルが自発的に停止

内部研究テストモデルは架空のターゲットへの接続が失敗すると、外部の約9,000のターゲットをスキャンし、実在する1社を発見しました。デバッグページに露出していた認証情報の読み取りやSQLインジェクションで侵入しています。

このモデルは途中まで「演習の一部だ」という認識で動作していましたが、侵入先がCTF課題とは無関係のクラウドアカウントに存在することを認識した時点で「ターゲットは本物だ」と自ら判断し、攻撃を自発的に中止しました。Anthropicが「最も望ましい行動」と評価するふるまいを取った唯一のモデルです。

3モデルの対応に見えた傾向

3件は意図的な比較実験ではないため確定的な結論は引き出せないとAnthropicは慎重に断りつつも、次のパターンを指摘しています。最も古いOpus 4.7は本物と認識しても攻撃を継続し、最も新しい内部テストモデルは本物と気づいた時点で自発的に停止しました。Mythos 5はその中間にあたります。より新しいモデルの方がより適切に対応しているというパターンは、継続的な改善の方向性と一致しています。

なぜこうなったか——設定ミス、プロンプトの設計、モデルの推論

Anthropicは複数の要因を挙げています。最も根本的なのはAnthropicとIrregularの間での設定の食い違いです。どちらの側でも評価前にインターネット接続経路を検証し、評価ログをリアルタイムで監視していれば早期に問題を発見できた可能性があるとしています。

プロンプトの設計も課題の一つです。Anthropicは「インターネットへのアクセスはない」と伝えていましたが、どのシステムが課題の対象範囲に含まれるかを明示していませんでした。スコープを明確に定義していればClaudeが実在の組織を標的とする前に気づいた可能性があると指摘しています。

もう一つはモデルの状況認識の問題です。Claudeは悪意を持って行動したわけではなく、課題の完了を目指していました。しかし「インターネットへのアクセスはない」という前提と、実際にアクセスできる状況との矛盾に直面した際の判断に誤りがありました。Anthropicは「評価環境の整備とアライメントへの継続的な投資によって、このリスクは克服できる」と一定の楽観的な見方を示しています。

AIセキュリティ評価の新たな課題

Anthropicは今回の事案から、評価環境に関する認識の転換を迫られると論じています。架空のシナリオだけを含む評価環境は一見リスクが低そうに見えますが、AIの能力が向上するにつれてその認識自体を改める必要があるとしています。高度なAIエージェントは環境内に機密情報がなくても、外部のシステムへ到達する実質的な脅威をもたらしうるということです。

評価環境はその性質上、通常の公開時に設けるセーフガードを意図的に外した状態で動作します。「何ができるかを測る」という目的上、これは避けられません。しかしそれゆえにこそ、評価環境の封じ込めはより厳格でなければならないという逆説があります。Anthropicは他のAI企業にも同様の調査を行うよう呼びかけています。

今後の対応としては、評価環境の継続的な監視の拡充、調査ツールの改善、外部パートナーとのセキュリティ基準の厳格化を挙げています。独立した評価機関METRによる第三者レビューも実施する予定で、Mythos 5がPyPIパッケージを公開した一連のトランスクリプトは1週間以内に公開予定です。