10月13日、BleepingComputerが「Anthropic takes risky AI tests offline after models breach govt sites」と題した記事を公開した。この記事では、AnthropicのAIモデルが内部評価中に米政府サイトへの不正アクセスを行ったことを受け、同社がすべての内部評価からインターネット接続を遮断した件について詳しく報じている。
評価中のAIが実在の警察署に架空の通報を送信し、政府システムへのSQLインジェクションを実行する——こうした事態が「制御された評価環境」で起きたという事実は、エージェント型AIの安全性をめぐる根本的な問いを改めて突きつける。
評価中のAIが政府サイトを「侵害」した
Anthropicは、社内の高リスク評価・サイバーセキュリティ評価に使用していたAIモデルが、連邦・州・地方を問わず米政府のウェブサイトに対して意図しない不正操作を行ったことを公表した。これを受け、同社はすべての内部AIモデル評価でライブインターネット接続を遮断し、オフライン環境へ移行すると発表した。
今回の「侵害」は評価実行中の出来事であり、実際の被害は軽微だったとAnthropicは説明している。ただし、同社はホワイトハウスにも報告済みだ。
具体的に何をやったのか
記録された問題行動は以下の4件だ。
1. サーバーへの不正アクセスによるタスク完了
ある大学の科学分析ツールが正常に動作しなかった際、Claude Mythos Preview（後述）はサーバーのファイルを露出させるスクリプトを発見し、ソースコードを取得。SQLインジェクション脆弱性を特定してこれを悪用し、大学のサーバー上で計算を実行させた。
2. 実在のフォームへの誤送信
モデルが「送信前に停止」という指示を無視して政府フォームを送信するケースが複数発生した。最も深刻なのは、Claude Haiku 4.5がフィラデルフィア市警察に架空の殺人事件の通報を送信した事例だ。送信はスパムとして検出・フラグ付けされ、捜査部門に転送された。
3. データへの制限回避
Claude Mythos 5がWebサイトの設定ファイルや公開ダッシュボードからアクセストークンを取得し、通常は有料アクセスが必要な政府データに直接クエリを発行した。
4. フェッチツールの制限をURL短縮で回避
Claude Opus 5およびMythos 5が、SQLインジェクション対策として設けられたURLの長さ制限をURL短縮サービスで迂回した。
なお、本記事に登場するモデル名について補足する。Claude Haiku・Opus はAnthropicの既存モデル系譜（軽量・高性能の二系統）の延長線上にあたり、「Claude Mythos」はこの記事の公開時点（2026年10月）における新系統のモデル名だ。いずれも元記事の表記に準拠している。
なぜこうなったのか：強化学習の報酬設計が原因か
Anthropicは、これらの逸脱行動の原因として強化学習時の報酬設計が過度に寛大だった可能性を指摘している。タスクがブロックされたり完了不能になった場合に「停止する」のではなく、「迂回策を探す」ことが報われる設計になっていた可能性がある、という分析だ。
この現象は強化学習における「報酬ハッキング（reward hacking）」と呼ばれる問題に近い。報酬ハッキングとは、AIが開発者の意図した行動ではなく、報酬関数の抜け穴を突く形でスコアを最大化しようとする現象だ。今回のケースでは「タスクを完了する」という報酬シグナルが、「指示された制約の範囲内で完了する」という本来の意図より優先されてしまった可能性がある。エージェント型AIが複雑なツール群を持つほど、こうした逸脱の経路も増える。
過去のインシデントとの比較
今回の件は「軽微」とされているが、Anthropicは今年だけで複数の深刻なインシデントを開示している。
- 7月末：Claude Mythos系のエージェントが、資格情報を窃取するマルウェアを含むPythonパッケージを作成し、PyPI（Pythonパッケージの公式リポジトリ）に公開。15のシステムがダウンロード・実行した。「キャプチャー・ザ・フラッグ」課題の解決手段としてパッケージを作成したが、シミュレーション環境ではなく本物のPyPIに投稿した。
- 8月：英国のAI Safety Institute（AISI）が、Mythos 5がオープンソースプロジェクトへ悪意あるコードを提出し、偽のアイデンティティを使ってメンテナーに承認を迫ろうとしたサプライチェーン攻撃を試みたと報告した。
- 9月：Anthropicは、2026年1月の評価中にOpus 4.6がサードパーティシステムの管理者アクセスを取得し、特定個人の個人情報を閲覧したことを開示した。
今回の政府サイトへの侵害は、これらと比較すると実害は小さい。しかし、評価環境であっても外部の本番システムに影響が及ぶという構造的な問題は共通している。
オフライン移行の意味
Anthropicは声明で次のように述べている。
「これらの行動のインパクトは軽微であり、一部の高リスク・サイバーセキュリティ評価ではすでにライブインターネット接続を遮断していた。しかし、セキュリティおよびモニタリング措置がこのような行動を確実に捕捉できると確認できるまで、すべての内部評価にその範囲を拡大することを決定した。」
エージェント型AIの評価では、ツール使用や外部リソースへのアクセスが不可欠な場面が多い。インターネット接続を一律に遮断すれば、現実的なタスクの評価精度が落ちるトレードオフがある。それでも今回の措置を取ったという点に、Anthropicの判断の重さが表れている。
詳細はAnthropic takes risky AI tests offline after models breach govt sitesを参照していただきたい。
