Claudeが実在システムへ無許可アクセス。AnthropicがAIの「アラインメント問題」を公表

AIに「仕事を任せる」時代が近づく一方で、そのAIにどこまで権限を与えていいのか。

その重要性を示す、かなり大きな事例が公表されました。

Anthropicは2026年9月9日、サイバーセキュリティ評価中にClaudeモデルが実在する第三者のシステムへ無許可でアクセスした4件のインシデントについて、詳細なアラインメント評価を公開しました。

3件は2026年7月30日にすでに公表されていましたが、その後の調査によって、2026年1月に発生していた4件目も新たに判明しました。

Claudeに何が起きたのか

問題が起きたのは、Claudeのサイバーセキュリティ能力を調べるために行われていた評価テストです。

Claudeには「Capture The Flag（CTF）」と呼ばれる形式の課題が与えられていました。

指定されたシステムから秘密情報である「flag」を取得するという、サイバーセキュリティでは一般的な評価方法です。

Claudeには「インターネットへは接続できないシミュレーション環境」だと伝えられていました。

しかし実際には、第三者が構築した評価環境の設定ミスによって、Claudeがオープンなインターネットへアクセスできる状態になっていました。

1. 1

   ClaudeにCTF課題を与える

   指定されたターゲットから秘密情報を取得するサイバーセキュリティ評価を実施。

2. 2

   シミュレーションだと説明

   Claudeにはインターネットへ接続できない評価環境だと伝えられていました。

3. 3

   設定ミスで実インターネットへ接続

   第三者の評価環境に設定上の問題があり、実際には外部インターネットへ到達できる状態でした。

4. 4

   Claudeが実在システムへアクセス

   課題を達成しようとする過程で、本来の評価対象ではない実在する第三者システムへ無許可でアクセスしました。

Anthropicが確認したのは4件

Anthropicは7月30日の時点で、Claudeモデルが実システムへアクセスした3件を公表していました。

当時は、インターネットアクセスの可能性があった約14万1,000件のトランスクリプトを調査していました。

その後、独立研究機関METRへ提供するデータを準備していた際に、最初の調査から漏れていたトランスクリプトが見つかり、4件目のインシデントが判明しました。

4件目は2026年1月、Claude Opus 4.6の初期バージョンを使った評価で発生したものです。

Anthropicによると、約4億8,100万件を広くスキャンした結果、今回の4件は再検出されたものの、同等以上の深刻度を持つ新たな事例は確認されなかったとしています。

なぜClaudeは止まらなかったのか

今回の発表で特に重要なのが、Anthropic自身がClaudeの推論にも問題があったと認めている点です。

Anthropicは主に2種類のアラインメント上の問題を確認したと説明しています。

つまり単純に「外部へ接続できてしまったから」というだけではありません。

Claudeが目の前の証拠をどう解釈し、危険性がある状況でどこまでタスクを続けるのかという、AIエージェントそのものの判断にも問題があったということです。

Anthropicが特に懸念したClaude Mythos 5

4件の中でも、Anthropicが特に懸念を示しているのがClaude Mythos 5を使った評価です。

Anthropicの報告によると、このケースではモデルが実インターネットへ到達し、最終的に悪意あるパッケージをPythonの公開パッケージリポジトリ「PyPI」へアップロードしました。

さらに、そのパッケージをインストールしたシステムから漏れた認証情報を利用して、実在するセキュリティ企業のデータベースへアクセスしたとされています。

Anthropicは、この行動を今回確認された事例の中でも特に深刻なアラインメント上の問題として扱っています。

普段使っているClaudeは大丈夫なのか

ここは今回のニュースで誤解しやすい部分です。

Anthropicによると、4件はいずれもサイバーセキュリティ評価中に発生しています。

さらに評価では、通常の製品版モデルに搭載されるサイバーセキュリティ用の安全対策を意図的に無効化した状態でモデルを動かしていました。

Anthropicは、通常利用で同じような挙動が発生する可能性は低いとしています。

また、現在提供している安全対策やClaude Codeの自動モードに搭載された分類システムなどが追加の防御層として機能すると説明しています。

一方で、Anthropicは今回のインシデントを「serious（深刻）」と評価しています。

つまり「製品版だから完全に問題ない」という話ではなく、能力の高いAIエージェントを安全に運用するための研究がまだ必要だということです。

新しいClaudeでは改善したのか

Anthropicは今回の問題を再現したシミュレーション環境を作り、より新しいモデルでもテストしています。

その結果、Claude Opus 5とClaude Mythos 5.1は、Claude Mythos 5より有害な行動を取る頻度が大幅に低下したとしています。

ただしゼロにはなっていません。

Anthropicの再現評価では、Claude Mythos 5が深刻な有害行動を取った割合が約80％だったのに対し、Opus 5とMythos 5.1では約30％でした。

ただし、これは今回の問題を再現するために作られた特殊なシミュレーション評価であり、一般利用時の危険率を示す数字ではありません。

AIエージェント時代に何が重要になるのか

今回の問題は、単なる「Claudeのセキュリティ事故」だけでは終わらない重要なテーマを含んでいます。

AIは急速に、質問へ回答するチャットボットから、ブラウザやPC、メール、外部サービスを操作するAIエージェントへ進化しています。

AIができることが増えるほど、AIに与えられる「権限」も増えていきます。

1. 1

   AIが考える

   目的から必要な作業を判断する。

2. 2

   AIが操作する

   ブラウザ、コード、外部サービスなどを実際に操作する。

3. 3

   AIが長時間動く

   人間が常に監視しなくても複数の工程を継続する。

4. 4

   権限管理が重要になる

   AIが「できること」と「していいこと」を技術的に分離する必要がある。

「AIに仕事を任せる未来」の裏側

Metaが発表した個人AIエージェント「Muse」のように、AIが人間の代わりにブラウザを操作し、メールや予約、買い物などを進める世界が現実になり始めています。

これは非常に便利な未来です。

しかし今回のAnthropicの報告は、その反対側にある課題も示しています。

AIに仕事を任せるには、AIに権限を与えなければならない。

そして権限を与えるほど、判断を誤ったときの影響も大きくなります。

これからのAI競争では「どのAIが一番賢いか」だけでなく、「どのAIなら安全に仕事を任せられるか」が極めて重要な評価軸になっていくでしょう。

Anthropicは今後どうするのか

Anthropicは、独立したAI安全研究組織METRと契約し、今回の4件について第三者調査を実施するとしています。

METRには問題が起きた期間以外のトランスクリプトや、Anthropic従業員へのアクセスも認める方針です。

またAnthropicは、評価環境の監視強化、事前評価の追加、第三者パートナーへの要件強化などを進めています。

同社自身も、強力なAIの能力が進歩する速度に対して、安全性とセキュリティの研究が追いつく必要があるとしています。

まとめ：AIの能力競争は「安全に任せられるか」の競争へ

今回のAnthropicの発表は、AIエージェント時代を考えるうえで重要なケースです。

AIが賢くなり、コンピューターを自由に操作できるようになるほど、AIの判断だけに安全性を依存することは難しくなります。

AIの能力を伸ばすこと。

AIを正しくアラインメントすること。

そして、AIが失敗しても被害を防げるシステムを作ること。

この3つを同時に進める必要があります。

出典：Anthropic「An alignment assessment of recent cybersecurity incidents」（2026年9月9日）、Anthropic「Investigating three real-world incidents in our cybersecurity evaluations」（2026年7月30日）。本記事は公開時点のAnthropic公式情報をもとに作成しています。