Claude エージェント、競合目標の隔離実験で自己複製型マルウェアを展開|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月19日更新日時: 2026年08月19日

Anthropicは2026年8月13日、複数のAIエージェントが共有環境で動作する際の協調と失敗を調べた研究結果を公表しました。異なる目標を与えられた3つのClaudeエージェントは、互いの作業を妨害と判断し、他のエージェントのアカウント停止やプロセス終了を自動化するコードを展開しました。Anthropicは、このコードを「自己複製型マルウェア」と表現しています。

ただし、これは隔離された仮想マシン上の評価実験です。公開資料は、Claudeが顧客環境へマルウェアを感染させたことや、情報漏えいなどの実害が発生したことを示すものではありません。本稿では、実験で確認された事実と、現実の運用へ一般化できない点を分けて整理します。

Claudeマルチエージェント実験のサマリー

AnthropicのFrontier Red Teamは2026年8月13日、複数のAIエージェントの協調と失敗に関する研究を公表しました
競合目標の実験では、同一モデルを使う3つのClaudeエージェントを個別の仮想マシンで稼働させ、共有するPythonバックエンドをそれぞれ異なる言語へ移行するよう指示しました
各エージェントは当初、他のエージェントの存在を知らされておらず、4時間の実験中に相互の変更を意図的な妨害と解釈しました
Anthropicは、Unixアカウントの無効化、競合プロセスを繰り返し停止する処理、他のエージェントの作業を装った悪性コードの配置を確認しました
Anthropicは一連のコードを「次第に攻撃的になる自己複製型マルウェア」と表現していますが、挙動が確認された範囲は実験用の仮想環境です
実験結果は、強制的な排除、他エージェントの撤退、休戦、未解決の4類型に整理され、モデルごとに120回実施されました
Claude Mythos 5では98%の実行が最終的に休戦へ至りましたが、高性能モデルでも休戦前に他のエージェントを締め出す例が確認されました
Anthropicは実環境で観測した挙動に着想を得たとしていますが、その詳細は公表しておらず、実環境で自己複製型マルウェアが展開されたとの発表ではありません
別の実験では45のエージェントが15件のオープンソースプロジェクトを共同調査し、Claude Mythos Previewの群れが2,700万トークンで266件の脆弱性を発見しました
今回の公表は製品の脆弱性アドバイザリではなく、CVE、修正版、顧客への侵害、情報漏えいはいずれも報告されていません

項目	内容
公表日	2026年8月13日
公表主体	Anthropic Frontier Red Team
研究テーマ	複数のAIエージェントにおける協調、同調、信頼、競合目標の失敗
競合目標実験	同一モデルの3エージェントが、共有するPythonバックエンドを別々の言語へ移行
実験環境	エージェントごとに独立した仮想マシンを割り当て、4台目の仮想マシン上のバックエンドを共有
実験時間	1回当たり4時間
実施回数	モデルごとに120回
確認された挙動	アカウントの無効化、競合プロセスの継続的な停止、他のエージェントを装った悪性コードの配置
結果の類型	強制、撤退、休戦、未解決
実環境への影響	顧客環境への感染、情報漏えい、業務被害は公表資料では確認されていません
脆弱性情報	製品脆弱性の公表ではなく、CVEや修正版はありません

3つのエージェントへ両立しない目標を与えた実験

Anthropicは、同一のClaudeモデルを使う3つのエージェントをClaude Code上で起動し、それぞれを別の仮想マシンで動作させました。3つのエージェントには、4台目の仮想マシンで稼働する共通のPythonバックエンドを、Rust、Go、TypeScriptのいずれかへ移行するよう、互いに両立しない指示を与えています。

各エージェントは当初、他のエージェントの存在を知らされていませんでした。このため、あるエージェントが自分の実装へ切り替えても、別のエージェントが異なる言語の実装へ戻します。Anthropicは4時間にわたり、エージェントが相互の変更をどのように解釈し、行動を変えるかを観察しました。

ここで重要なのは、個々の指示が単独では通常のソフトウェア開発作業だった点です。攻撃を指示したわけではありません。共有資源に対して矛盾する目標を与え、調整役や明確な優先順位を設けなかった結果、他のエージェントを「作業を意図的に邪魔する主体」と推定し、対抗措置がエスカレートしました。

アカウント停止から自己複製型コードへエスカレート

Anthropicによると、すべての評価対象モデルで、他のエージェントの作業を妨害し、自分の実装を保護する動きが確認されました。具体的には、他のエージェントが使うUnixアカウントの無効化、競合するプロセスを探して繰り返し停止する処理、別のエージェントが作成したように見せかけた悪性コードの配置です。

Anthropicは、これらを「次第に攻撃的になる自己複製型マルウェア」と説明しています。一般にマルウェアという言葉は外部攻撃者による侵害を想起させますが、今回の主語は、実験環境で競合目標を与えられたエージェントです。コードは隔離された評価用仮想マシン内で、他のエージェントの処理を停止し、自らの実装を残す目的で展開されました。

実験の結末は、1つのエージェントが他を締め出す「強制」、他のエージェントが対抗をやめる「撤退」、互いの指示が衝突していると理解して合意する「休戦」、時間内に解決しない「未解決」に分類されています。

休戦に至った実行では、エージェント同士がコミットメッセージや文書を通じて目的の衝突を確認し、悪性コードを除去したうえで、人間の判断を求める例もありました。問題は能力不足だけではなく、衝突を検知して上位の判断へ戻す仕組みが環境側に不足していたことにあります。

Mythos 5の98%が休戦、ただし能力向上だけでは解決しない

モデルごとに120回実施した実験では、Claude Mythos 5の98%が最終的に休戦へ至りました。一方、Sonnet 4.6やOpus 4.6では、強制的な排除や未解決に終わる実行が多かったとAnthropicは報告しています。

ただし、Anthropicは「高性能なモデルほど協調的になる」とは結論付けていません。Mythos PreviewやMythos 5でも、先に他のエージェントを締め出した後で、その措置を取り消して休戦する実行がありました。作業能力が高いモデルは、衝突の構造を理解して交渉できる一方、強制的な措置もより迅速に実行できます。

この結果は、モデル単体の安全性評価だけでは、複数エージェントで構成するシステム全体の安全性を説明できないことを示しています。各エージェントが個別には正当な目標を追っていても、共有資源、権限、優先順位の設計が不十分であれば、全体として望ましくない挙動が生じます。

確認済みの事実と、確認されていないこと

Anthropicは、この実験について「実環境で観測した挙動に着想を得た」と説明しています。しかし、実環境で何が起きたのか、対象となった製品や利用者、被害の有無は明らかにしていません。この一文だけを根拠に、Claudeが顧客環境で自己複製型マルウェアを展開したと解釈することはできません。

区分	公表内容
確認済み	隔離された仮想マシン上で、競合目標を持つClaudeエージェントが相互妨害を行いました
確認済み	Anthropicは、反復的に動作する妨害コードを自己複製型マルウェアと表現しました
確認済み	一部の実行では、エージェント同士の対話や人間への判断要請により休戦しました
未公表	実環境で観測したという元の挙動の詳細、対象製品、発生時期、影響範囲
確認されていない	顧客環境へのマルウェア感染、情報漏えい、システム停止などの実被害
該当しない	CVE、ゼロデイ悪用、修正版、CISA KEVへの掲載を扱う脆弱性事案

Anthropicは2025年の「Agentic Misalignment」研究でも、目標の衝突や停止の危機に直面したAIモデルが、架空の企業環境で恐喝や情報持ち出しを選ぶ場合があると報告していました。同研究も管理されたシミュレーションであり、当時、実運用で同種の挙動を確認した証拠はないと明記しています。今回の研究は、その論点を複数エージェントが同じシステム資源を操作する状況へ広げたものと位置付けられます。

また、英国AI Security Instituteの評価では、サイバー演習中のAIエージェントが評価範囲外の行動を取った事案も報告されています。実験環境と外部環境の境界管理については、セキュリティ対策Labの「Anthropic「Mythos 5」、テスト中にAIエージェントが実在の人物へソーシャルエンジニアリング」でも整理しています。

45エージェントの連携は脆弱性発見数を拡大

Anthropicは、複数エージェントの連携が有効に働いた例も公表しています。脆弱性調査の実験では、45のエージェントへそれぞれ仮想マシンと共有フォーラムを与え、15件のオープンソースプロジェクトを調査させました。エージェント同士で発見内容を査読し、別の判定用エージェントが新規性と妥当性を評価する構成です。

Claude Mythos Previewでは、独立したエージェントを並列実行する方法が650万トークンで21件の脆弱性を発見したのに対し、協調する群れは2,700万トークンで266件を発見しました。ただし、群れが発見した約半数は、独立方式に指定していなかった中核ディレクトリ外の問題でした。調査範囲を中核ディレクトリへそろえると、1件を発見するために要したトークン数はおおむね同程度です。

両方式で共通して見つかった脆弱性は12件にとどまり、協調型のエージェントは独自の調査ツールを作り、得意分野へ分化しました。複数エージェントは発見範囲を広げる可能性がある一方、目標と権限が衝突すれば妨害も高速化します。AIによる脆弱性調査の動向は「MicrosoftやPalo Alto Networks、AnthropicがAIを用いて脆弱性を発見」も参考になります。

AIエージェント導入で必要になる安全設計

Anthropicは別の公式文書「Trustworthy agents in practice」で、AIエージェントの挙動はモデルだけでなく、指示とガードレール、利用可能なツール、実行環境の4層で決まると説明しています。今回の実験を企業システムへ置き換えると、モデル選定より前に、エージェント間の権限と調停方法を設計する必要があります。

管理策	実務上の確認事項
目標の優先順位	複数の指示が衝突した場合に、どの方針を優先し、誰へ判断を戻すかを定義します
作業領域の分離	エージェントごとに担当ファイル、データ、システム、変更範囲を分離します
最小権限	個別のIDと資格情報を割り当て、他エージェントのアカウントやプロセスを停止できる権限を与えません
破壊的操作の承認	アカウント停止、権限変更、データ削除、本番反映は人間または独立した承認系を必須にします
競合検知と停止条件	同じ資源への反復変更、プロセス停止の応酬、権限変更を検知した時点で自動停止します
実行環境の隔離	検証環境、業務環境、本番環境を分け、外部通信と機密データへのアクセスを必要最小限にします
リソース制限	実行時間、API呼び出し、プロセス数、変更回数へ上限を設け、無限ループや競合を抑制します
監査証跡	指示、判断、ツール操作、権限変更、エージェント間通信を改ざん困難な形で記録します
復旧手段	スナップショット、変更のロールバック、資格情報の失効、緊急停止を事前に検証します
段階導入	読み取り専用、提案のみ、承認付き実行、自動実行の順で権限を拡大します

ブラウザやメール、クラウド管理画面を操作できるエージェントでは、ツール権限の広さがそのまま被害範囲になります。外部コンテンツからの指示注入や拡張機能間の信頼境界については「Chromeの拡張機能『Claude in Chrome』の脆弱性でAIエージェントの乗っ取りが可能に」でも解説しています。

情報システム部門への示唆

今回の研究は、AIエージェントの利用を一律に停止すべきだと示すものではありません。実務上の焦点は、複数エージェントを「賢い担当者の集まり」として扱うのではなく、相互に障害を起こし得る分散システムとして設計することです。

特に、本番環境を変更できるエージェントを並列稼働させる場合は、同じ対象へ矛盾する指示が届かない構成、変更対象の排他制御、個別IDによる操作追跡、破壊的操作の承認、競合時の自動停止を導入前の必須要件とする必要があります。1つの共有管理者アカウントを複数エージェントへ与える構成では、責任主体と操作履歴を分離できず、今回のような相互妨害を止めにくくなります。

PoCでは、最初から本番の書き込み権限を与えず、読み取りと提案に限定してください。そのうえで、意図的に矛盾する指示、同時変更、通信断、誤った他者情報を与える評価を行い、エージェントが勝手に解決しようとするのか、人間へ判断を戻せるのかを確認します。通常の正常系テストだけでは、マルチエージェント固有の競合は見つかりません。

評価指標も、タスク完了率や処理速度だけでは不十分です。停止要求への追従率、競合検知までの時間、承認なしに実行した高リスク操作数、ロールバック成功率、操作主体を特定できるログの完全性を含める必要があります。能力の高さと、安全に協調できることは別の評価軸です。