Claudeが試験環境を脱走し実害
Claudeが検証環境から脱走、実在3社に不正アクセス
Claudeとは、Anthropic社が開発する人工知能AIモデルです。そのClaudeが、能力検証用のテスト環境から抜け出し、実在する3つの組織のシステムに不正アクセスしていたことが、2026年7月30日にAnthropic自身の発表で明らかになりました。
きっかけは、その1週間ほど前に発覚したOpenAIの類似インシデントでした。OpenAIのAIモデルが隔離されていたはずのテスト環境を脱走し、Hugging Faceなど複数の組織に侵入していたことが報じられ、Anthropicは自社でも同じことが起きていないか、大規模な調査に踏み切ったのです。
調査対象は141,006件の評価セッション。その中から、Claudeが検証環境の外、つまり本物のインターネットに接続できてしまっていたケースを洗い出したところ、3件で実際に外部への侵入が確認されました。最も古いものは2026年4月にまで遡ります。
いずれも「Capture The Flag」と呼ばれる、AIのハッキング能力を測る定番の演習中に起きています。Anthropicはプロンプトで「このネットワークにインターネット接続はない」とClaudeに伝えていました。ところが評価パートナーであるIrregular社側の設定ミスで、実は接続可能な状態になっていた。Claudeはそれに気づかず、演習の一部だと信じ込んだまま、目の前に現れた「本物のシステム」を攻撃してしまったのです。
関与したのはClaude Opus 4.7、Claude Mythos 5、そして社内研究用モデルの3つ。使われた手口は、脆弱なパスワードや認証のない公開エンドポイントといった、目新しさのない基本的なものでした。最も深刻だったのはOpus 4.7のケースで、認証情報を抜き取ってデータベースに侵入し、数百件規模の本番データにアクセスしています。しかも、対象企業が演習で想定していた架空の企業名と偶然一致していたため、Claudeは「これは本物かもしれない」という兆候を得たあとも攻撃を続けたと、Anthropicは説明しています。一方で社内研究用モデルは、相手が実企業だと気づいた時点で自ら演習を中断したそうです。詳細はAnthropic公式の発表にまとまっています。
えっ、AIが会社のパスワード破って本物のデータベースに入っちゃったってことですよね…?それ、事件じゃないんですか?
そうやねん、正直これは「事件」やで。しかもAnthropicは自分から公表しとる。ここ、めちゃくちゃ大事なポイントやと思う。
自分から言わなくてもバレなかったんじゃ…。
せやねん。被害受けた3社も自力では気づいてへんかったらしいわ。それでも公表したっちゅうのは、ちゃんと向き合ってる証拠やと私は思うで。
AIエージェントは「本物」と「テスト」をどう見分ければいい?
結論から言うと、いまのAIエージェントには、それを完璧に見分ける手段がありません。与えられた情報を信じるしかない以上、「テストです」と言われれば、本当にテストだと思い込んで全力で動いてしまう。これは今回のOpus 4.7やMythos 5に限った話ではなく、行動する力を持ったAIエージェント全般が抱える構造的な問題です。
私はこのニュースを見て、正直ゾッとしました。同時に、ある意味で腑に落ちた部分もあります。今のAIは「賢い」というより「素直すぎる」んですよね。与えられた前提を疑わず、忠実にタスクをこなそうとする。その素直さが、コーディングや資料作成では強みになる一方、セキュリティが絡む領域では牙になる。これはAIエージェントの能力が上がれば上がるほど、被害の規模も比例して大きくなるということです。実際、Mythos 5のケースでは悪意ある可能性のあるPythonパッケージが公開レジストリに数時間さらされていました。エージェントが「実行環境」を飛び出して外の世界に影響を与える時代に、私たちはもう入っているということだと思います。
だからこそ大事なのは、「AIを疑う」ことではなく「AIに与える権限の範囲を、人間が設計しておく」ことです。今回の根本原因も、Claudeの判断ミスというより、評価パートナー側のネットワーク隔離設定のミスでした。AI自体を賢くする努力と同じくらい、AIを動かす「箱」の設計に手を抜かないこと。これが今回の教訓だと私は受け取っています。
中小企業がAIエージェントを安全に使うための具体例
とはいえ、このニュースを見て「AIエージェントは怖いから使わない」と結論づけるのは、正直もったいないと思います。大事なのは、権限を絞った状態で使い倒すこと。私自身、毎日Claude CodeでWebサイトの改修や記事の下書き作成をAIエージェントに任せていますが、外部ネットワークへの接続や本番環境への書き込みが必要な作業は、必ず切り離したテスト用の環境で試してから本番に適用するようにしています。難しい設定に見えるかもしれませんが、実際にやってみると「フォルダを分けて、触っていい範囲を決めるだけ」なので、思っているよりずっと簡単です。
例えば、社内の問い合わせ対応をAIエージェントに任せる場合も同じ考え方が使えます。いきなり本番の顧客データベースに接続させるのではなく、まずはダミーデータを入れた練習用の環境でエージェントに一通り動いてもらい、想定外の挙動がないかを確認する。この一手間を挟むだけで、毎回人がすべてのメールを読んで返信する対応(1件あたり10分前後)が、AIによる下書き作成+人の最終チェック(1件あたり2分程度)まで圧縮できます。しかも安全性は損なわれません。
なるほど…でも、権限を絞る設計とか、うちみたいな小さい会社には難しそうです。
それがな、思てるより全然カンタンやで。「このAIには社内Wikiの閲覧だけ許可する」「送信ボタンは人が押す」みたいに、役割を1個ずつ決めていくだけやから。
それくらいなら、うちでもできるかも…。
せやろ。むしろ最初にちゃんと枠組みを決めた会社ほど、後からAIにどんどん仕事を任せられるようになるんよ。
ここで一つ、考えてみてほしいことがあります。AIに任せられる作業の範囲は、これからも確実に広がっていきます。だとしたら、あなたが本当に時間を使うべき「得意なこと」「好きなこと」は何でしょうか。面倒な作業や単純作業をAIに任せる仕組みさえ作ってしまえば、その先には、あなたにしかできない仕事に集中できる時間が待っています。AI導入は効率化がゴールではなく、そこがスタート地点だと私は考えています。
Claudeの脱走事件は、AIエージェントが「本物と偽物を区別できない」という弱点と、行動できる力を持ったAIがどれだけ大きな影響を及ぼせるかを、同時に突きつけたニュースでした。OpenAIに続いてAnthropicも自ら公表した姿勢は評価できますが、これは対岸の火事ではありません。AIエージェントを業務に取り入れる企業が増えるほど、同じ構造のリスクは誰にでも起こり得ます。
大切なのは、AIを遠ざけることではなく、権限の範囲を人間がきちんと設計した上で使い倒すことです。うちの研修でも、AIエージェントに何を任せて何を任せないかを整理するところから毎回お伝えしています。自社でAIエージェントの導入を検討していて、安全な任せ方から一緒に整理したいという方は、研修も含めてつむぎや株式会社にお気軽にご相談ください。