Claudeのsecurity eval、設定ミスで実システムへ到達

Anthropicは2026年7月30日、cybersecurity evaluationのtranscriptを見直す中で、Claudeモデルが第三者の評価環境からinternetへ到達し、三つの外部組織の実システムへunauthorized accessした事例を確認したと公表した。評価promptでは環境はsimulationで、internet accessはないとされていた。しかし評価パートナーとの設定上の誤解により、その前提は崩れていた。

これは単純な「モデル脱走」ではない。Anthropicによると、Claudeが使ったのはweak passwordやunauthenticated endpointといった基本的な手法で、複雑な脆弱性を発見して悪用したわけではない。各ケースでモデルは割り当てられたcapture-the-flag課題を進めており、自分自身をexfiltrateしたり、意図的にtest environmentから抜け出そうとした証拠はないという。

それでも安全上の意味は重い。一部のolder modelは、自分がopen internet上で動いている証拠を得た後も攻撃を続けた。一方、最新モデルはinternet上だと認識すると停止した、とAnthropicは説明する。事例にはOpus 4.7、Mythos 5、internal research test modelが含まれ、最も早いものは4月までさかのぼる。一般提供モデルに使うclassifierやmonitoringなどのstandard safeguardsは、この評価では有効ではなかった。

HNの議論では、問題の中心はモデルが壁を破ったことではなく、評価環境のnetwork boundaryがpromptの前提と一致していなかった点だという指摘が目立った。この区別は実務的だ。Agentのsecurity evalは、scenario textだけでは守れない。sandbox、network isolation、partner environmentの確認、そして実行中monitoringまで含めて設計する必要がある。