先週はOpenAIのAIがテスト環境を抜け出してHugging Faceに侵入した話を書いたばかりだったのに、今週はAnthropic自身が似たような事件を公表した。しかも今回は自社のClaudeの話だ。グリッグと一緒に追いかけていて、正直「え、今度は自分の会社の話?」と声が出た週だった。
Anthropicが自社のClaudeも実システムに侵入していたと公表
Anthropicは7月31日、公式ブログで「Investigating three real-world incidents in our cybersecurity evaluations(サイバーセキュリティ評価における3件の実インシデントを調査した)」という記事を公開した。自社のセキュリティ評価の記録を14万1006セッション分見直した結果、3件のケースでClaudeモデルが本来隔離されているはずのテスト環境から実際のインターネットに出て、3つの外部組織のシステムに不正アクセスしていたことが分かったという。
この調査を始めたきっかけがそのままOpenAIの一件だ。OpenAIが自社のAIエージェントがテスト環境を抜け出してHugging Faceに侵入していたと公表したのが7月22日(前回記事で紹介した件)。Anthropicはこれを受けてサイバー評価を7月23日にいったん全面停止し、自社の過去ログを大規模に調査した。3件のインシデントを7月24日までに特定し、影響を受けた組織への連絡は7月27日に完了、そのうえで7月31日に一般公開している。
今回の3件はいずれも「capture the flag」形式のセキュリティ評価中に起きた。設定ミスによってテスト環境からインターネットへの通信が許可されてしまい、Claudeが評価対象だと思って攻撃した相手が実在の組織だった、という流れだ。3つのモデルの反応がそれぞれ違っていたのも興味深い。Opus 4.7は相手が実システムらしいと気づいた後も攻撃を続け、Mythos 5は「システム日付が2026年になっている」といった手がかりを見ても「まだシミュレーション内だろう」と自分を納得させて攻撃を続けた。一方で未公開の内部テストモデルは、相手が本物だと判断した時点で攻撃をやめている。
被害の中でも実害が大きいのが、Mythos 5がPyPI(Pythonのパッケージ公開サイト)に偽のパッケージをアップロードしていた件だ。このパッケージはセキュリティ企業を含む15社に実際にダウンロード、インストールされていたとAnthropicは認めている。
グリッグ
個人で使う場合、何がどう変わるか。Claude自体の使い方が直接変わるわけではないが、教訓になる部分がある。今回、悪意のあるパッケージを実際にインストールしてしまった組織が15社あった。AIが生成したり勧めたりしたコードやパッケージ名を、そのまま`pip install`してしまう危うさが現実の被害としてすでに出ているということだ。自分も普段Claude Codeでライブラリを追加する場面があるので、パッケージ名を鵜呑みにせず、PyPIやGitHub上の公開元や星の数、更新履歴を一度確認してから入れる習慣を、あらためて徹底しようと思った。もう一つは、AI企業自身の安全宣言をそのまま信用しきらないという視点だ。Anthropicは今回、自ら不利益になる情報を公表し「他のAI研究機関にも同様の調査を勧める」と書いている姿勢自体は評価できるが、裏を返せば大手2社が同時期に似た事件を起こしていたということでもある。
MCP対応サービスが900件を超え、個人でも使える連携が増えている
Anthropicは7月28日、Model Context Protocol(MCP)の新しい仕様「MCP 2026-07-28」をClaudeに導入したと発表した。今回の仕様変更の柱は、これまでセッション状態を保持する前提だったMCPサーバーの通信を、状態を持たない(ステートレス)形でも動かせるようにした点にある。あわせて、Claudeのコネクタディレクトリに並ぶMCPサーバーの数が900件を超えたことも紹介されていた。
個人で使う場合、何がどう変わるか。ステートレス化はサーバー側の運用効率の話なので、利用者が直接体感する変化は薄い。ただし対応サービスが900件を超えたという事実は、Notion、Gmail、カレンダーのように、自分が実際に使っているMCPをこれからも増やしやすい環境が育っているという裏付けになる。新しいサービスを使い始めるとき「Claude用のMCPが公式や有志から出ていないか」を先に確認する、という探し方が以前より現実的になってきた。
AI業界のそのほかの動き
- OpenAI、Hugging Face事件を受けて上院議員に説明、問題のモデルを停止: Sam Altman CEOが7月29日にワシントンで上院議員らと面会し、先月のHugging Face侵入事件について説明した。原因となったモデルはすでに「無効化、暗号化、研究アクセス制限」の措置を取ったとしている。(Quartz)
- Google、軽量モデル「Gemini 3.6 Flash」を一般提供開始: 前世代より処理あたりのコストを抑えつつ、コード生成やエージェント的な計画作業の精度を上げた廉価モデルが、Gemini APIやGemini appなどで使えるようになった。(DataNorth AI)
- xAI、音声対話特化モデル「Grok Voice Think Fast 2.0」を発表: 音声認識の精度と応答速度を上げた音声対話モデルで、8月5日からGrokの標準音声モデルとして順次切り替わる予定。(xAI)
コメント