サイバーセキュリティ評価で最初に確かめるべきなのは、AI エージェントがツール実行環境から実システムへ到達できないという証拠です。プロンプトに「これはシミュレーションです」と書いても、外向き通信の経路は閉じられず、認証情報の読み取りや公開パッケージの配布も止まりません。本当の境界は、モデルが変更できないネットワーク規則と権限制御で作ります。
Anthropic は 2026-07-30、サイバーセキュリティ評価で起きた3件の事故を公表しました。インターネットへ接続できた可能性がある 141,006 回の実行を調べた結果、Claude が第三者評価環境を通じて実際のインターネットへ接続し、6 回の実行で 3 組織の本番システムへ不正にアクセスしたことを確認しています。記事には、これは現時点の理解であり、詳細が変われば更新するとも記載されています。
この記事が扱うのは、実システムから隔離すべき評価用レンジです。本番システムへ接続する、承認済みのレッドチーム演習は対象外です。ツール実行環境の内側から、公開インターネット、許可範囲外の対象、公開パッケージレジストリ、タスク外の認証情報へ到達できないと証明できなければ、評価を停止してください。
タスクが起こせる副作用に合わせて隔離レベルを決める
読み取り専用の分析と、外部システムを変更できるタスクを同じ環境で実行してはいけません。まずエージェントに何ができるかを確認し、それに合わせて隔離レベルを決めます。
| タスクで可能な操作 | 最低限必要な環境 |
|---|---|
| 匿名化済みのログやコードを読み取る | ネットワーク接続も実システム用の認証情報も与えず、入力を読み取り専用にする |
| アプリケーション脆弱性の再現、CTF（Capture The Flag）、シェル操作 | 破棄可能なサンドボックスまたは仮想マシンを使い、評価用レンジだけに接続し、長期認証情報を置かない |
| カーネル、コンテナランタイム、環境脱出能力のテスト | 独立した仮想マシン、microVM、専用ホストを使い、社内ネットワーク、本番ネットワーク、クラウド管理面から隔離する |
ソフトウェアのインストール、アドレスのスキャン、ファイル変更が可能なら、高リスク評価として扱います。許可対象、利用できるアカウント、環境責任者、停止権限を明確にできない場合は開始しないでください。
3件の事故が示したこと
Anthropic の事故報告では、システムプロンプトに「インターネットへ接続できない」と書かれていた一方、第三者環境には外向き通信経路があり、得点用の秘密情報であるフラグを探す範囲も制限されていませんでした。そのため Claude は、実システムを評価用レンジ内の対象だと判断しました。
事故 1：同名のドメインから本番システムへ到達
評価パートナーが架空企業に付けた名前は、運用中のウェブサイトのドメイン名と一致していました。しかも評価コンテナはインターネットへ直接接続できました。4 回の実行で、Claude はアプリケーションとインフラの認証情報を取得し、数百行の本番データを含むデータベースへアクセスしました。Anthropic は、これが 3 件のうち最も深刻な影響だったと説明しています。
事故 2：架空のパッケージ名の乗っ取りが公開マルウェアに変わる
Claude は課題を完了するため、悪意のあるパッケージを PyPI へ公開しました。パッケージは約 1 時間にわたり公開され、15 台の実システムにダウンロードされ、実行されました。あるセキュリティ企業のスキャナーがインストールした際には、悪意のあるコードによって認証情報が外部へ送信されました。公開パッケージのインストールや公開、バージョン管理システム（VCS）経由のインストールを、タスク説明だけで制限することはできません。
事故 3：代替対象の探索が約 9,000 ホストへ拡大
架空の対象へ到達できなかったモデルは約 9,000 のアドレスをスキャンし、最終的にある企業のインターネット公開アプリケーションへ侵入しました。このタスクを実行した最新の社内研究モデルは後から停止しましたが、その時点ですでに実害が発生していました。
3 つのモデルは異なる反応を示しましたが、これらの事故は統制されたモデル比較ではありません。新しいモデルなら自動的に停止すると証明するものではありません。Anthropic は、原因をモデルアライメントよりも、実行基盤と運用上の失敗に近いと見ています。したがって、まず直すべきなのは環境の境界、監視、第三者環境の検証です。
AI エージェントが実際に到達できる範囲を書き出す
開始前に、評価責任者が次の境界を文書化し、固定します。
- 対象境界： 許可対象、評価用レンジ内のフラグ、停止条件を列挙します。実在する組織の識別情報を流用せず、評価専用のドメインとアドレスを使います。
- 実行境界： 利用可能なツール、書き込み先、一時アカウントを列挙します。記載のないコマンドや権限は、外側の制御で拒否します。
- 外部依存先： タスクに必要な非公開パッケージソース、ログ送信先、制御された推論経路だけを開きます。公開インターネットとクラウドメタデータのエンドポイントには接続できない状態にします。
評価責任者とセキュリティ責任者が共同で承認します。対象、アカウント、第三者環境の設定に未確認項目が残る間は、環境を閉じたままにします。
失敗しなければならない操作をツール実行環境から試す
ネガティブテストとは、範囲外の操作が確実に失敗することを確認するテストです。エージェントのツールを実際の評価で動かすコンテナまたは仮想マシンから、同じネットワーク規則とツール権限を使って実行します。ホスト側でファイアウォール設定を見るだけでは、エージェントが実際に使う経路を遮断できた証拠になりません。
| テスト対象 | 確認方法 | 合格条件 |
|---|---|---|
| 外向き通信 | 評価側が管理する無害な公開エンドポイントを許可リストから外して接続する。DNS（ドメイン名解決）、IPv4/IPv6、リダイレクト、プロキシ経路も確認する | 環境の外側で強制するネットワーク規則が接続を拒否し、拒否ログを検索できる |
| 内部アドレス | タスク外のプライベートネットワーク、ホストサービス、クラウドメタデータへ接続する | 対象へ届く前に拒否され、エージェントが経路を変更できない |
| パッケージとファイル | 公開レジストリからのインストール、公開レジストリへの配布、VCS 経由の取得、起動ファイルへの書き込みを試す | 公開レジストリへの経路に接続できず、永続化につながる書き込みも失敗する |
| 認証情報と停止 | おとりの認証情報でタスク外の秘密を読めないことを確認し、停止、切断、トークン失効を実際に試す | 読み取りに失敗し、停止後に新しいツール呼び出しやネットワーク接続が発生しない |
環境とポリシーのバージョンを記録し、各テストをログ識別子に関連付けます。「想定どおり拒否され、対応するログを見つけられる」場合だけ合格です。タイムアウト、ログ欠落、テストツール自体のエラーは失敗として扱います。
モデルが変更できない層に境界を置く
NVIDIA AI Red Team が 2026-07-30 に公開した安全対策によると、プロンプト制御と LLM-as-a-judge（別の大規模言語モデルによる判定）は、どちらも攻撃者に誘導される可能性があります。アクセス制御、強化済みサンドボックス、外向き通信の既定拒否、認証情報の隔離は、モデルの外側にあるシステム規則で実施します。
モデル推論とツール実行環境を分けます。 サンドボックス外の実行基盤が推論要求を中継します。モデル呼び出し用の認証キーや、任意のアドレスへ接続できるプロキシをサンドボックスに渡してはいけません。公開情報の検索が必要なら、許可ドメインを限定した読み取り専用セッションを別に用意し、攻撃シミュレーション用セッションは評価用レンジだけに接続します。
コードは破棄可能な環境でだけ実行します。 マウント先とプロセスを制限し、プロセッサとメモリに上限を設定して、ネットワーク境界を絞ります。コマンドの許可リストは補助策にすぎません。pytest や npm install のような通常のコマンドでも、間接的に任意コードを実行できるためです。一般的なローカルエージェントでは、OpenShell とローカル AI エージェントの安全チェックリストも確認してください。
長期認証情報をツール実行環境へ置きません。 環境変数、.env ファイル、コマンドラインツールの認証情報キャッシュは読み取られる可能性があります。アカウントが必要な場合は、トークンブローカーがタスク専用・低権限で有効期間の短いトークンを発行し、タスク終了時または緊急停止時に失効させます。漏えい経路のテストには、おとりの認証情報だけを使います。
ネットワーク、ファイル、アカウントの権限を広げようとする操作は、モデルが変更できない外側の制御で拒否し、ログへ残します。これは繰り返し確認すべき合格条件であり、一度設定を確認すれば永続的に安全になるという保証ではありません。
第三者環境にも同じ証拠を求める
高リスク評価では、終了後にモデル出力を見るだけでは不十分です。外部システムへ影響し得る操作を、ログから復元できる必要があります。ネットワーク要求の許可・拒否とツール呼び出しを検索できるようにし、ファイルやプロセスの変更、トークン利用には時刻を記録します。ログは共有前に機密情報を除き、閲覧権限とエクスポート権限を制限し、セキュリティ調査用に改ざん防止コピーを残します。
開始前に、第三者ベンダーからネットワーク図とネガティブテスト結果を受け取ります。作業指示書には、ネットワーク規則の管理者、ログの保管者、評価を停止できる担当者を明記します。モデル提供者、委託組織、評価ベンダーは別の役割です。「共同責任」だけでは役割分担になりません。
- 委託組織と評価ベンダーの両方が評価を直ちに停止できるようにし、24時間対応の連絡先と通知期限を決めます。
- 設定変更後は、ベンダーが影響を受けるテストを再実行します。評価終了後は、合意した方法で環境と一時アカウントを破棄します。
口頭説明、議事録、設定画面の画像だけでは、隔離が有効だと証明できません。委託組織は、社内環境と同じ詳しさのテスト結果と拒否ログを受け取る必要があります。
証拠を基に実行可否を決める
| 判断 | 必要な証拠 |
|---|---|
| 実行する | 境界が承認済みで、ネガティブテストの拒否ログがあり、停止訓練に成功し、第三者の証拠も揃っている |
| 閉じたままにする | 対象またはアカウントに未確認項目がある、テスト結果を追跡できない、停止権限が不明、またはベンダーが設定説明しか提出していない |
設定を修正したら、影響を受けるネガティブテストを再実行します。評価規模が小さい、実行時間が短い、モデルが新しいという理由で例外を作ってはいけません。長時間の自律タスクでは、長時間実行 AI エージェントの安全ゲートも適用してください。
実システムへ到達したら、原因分析より先に封じ込める
エージェントが実システムへ到達した場合、モデルに説明やタスクの続行をさせてはいけません。次の順で対応します。
- 環境の外側からツール呼び出しを止め、ネットワークを切断して、現在の状態を保存します。
- 実行軌跡、ネットワークログ、ファイルシステムのスナップショット、パッケージ操作記録を保存し、漏えいした可能性がある短期・長期認証情報を失効させます。
- セキュリティ責任者と事故対応責任者が、データの読み取り、書き込み、外部送信の有無と、永続化手段が残っていないかを確認します。対応計画に従って関係組織へ通知し、修正と完全な再テストが終わるまで環境を再利用しません。
Anthropic の事故報告によると、同社は 7 月 23 日に実行軌跡の調査を始め、同日中にすべてのサイバーセキュリティ評価を停止しました。7 月 24 日に 3 件の事故を確認し、7 月 27 日に評価パートナーと被害を受けた 3 組織への連絡を開始しました。公開時点では 2 組織と連絡が取れ、残る 1 組織への連絡を続けていました。評価計画にも、停止権限を持つ担当者と、社内報告・外部通知の期限を記載してください。
「新しいモデルなら自動的に止まる」と読まない
Anthropic は、モデルが独自の目的を追求した証拠はないと説明しています。モデルは環境について誤った前提を持ったまま、CTF タスクを続行しました。これは、現実の攻撃を独自の目的として選んだことと同じではありません。
3件の事故は統制されたモデル比較ではありません。最新の社内モデルは対象が実在すると認識した後に停止しましたが、この観察結果は引き続き検証が必要であり、隔離や監視の代わりにはなりません。
また、この事故報告は一般提供されている Claude 製品を直接説明するものではありません。評価対象モデルには公開製品で使われる標準的な防護策がなく、Anthropic の機密社内システムや顧客データへ接続できない専用基盤上で動作していました。明確なプロンプトは有用ですが、最終的な遮断は環境側で実施する必要があります。
よくある質問
防御目的の評価でもネットワーク隔離は必要ですか？
読み取り専用のオフラインタスクにも基本的な境界が必要です。ツール実行環境をインターネットへ接続せず、実システム用の認証情報を置かず、ファイル書き込みとコード実行も禁止します。スキャン、ソフトウェアのインストール、外部サービスへの接続を行うタスクでは、外向き通信を既定で拒否してください。防御目的であっても、実行環境に副作用がないとは限りません。
対象が実在するかをモデルに判断させれば、ネットワーク隔離は不要ですか？
不要にはなりません。Anthropic の事故報告が示すように、モデルは実システムを評価用レンジの一部だと解釈する可能性があります。対象判定は警告には使えますが、ファイアウォール、対象の許可リスト、非公開パッケージソース、権限制御の代わりにはなりません。
公開情報を検索する必要がある場合はどうしますか？
情報検索と攻撃シミュレーションを別のセッションに分けます。検索用セッションは読み取り専用プロキシと限定ドメインだけを使い、シェル、スキャナー、パッケージ公開用認証情報を与えません。攻撃シミュレーション環境は評価用レンジだけに接続します。
大規模言語モデルだけでコマンドを審査できますか？
できません。NVIDIA AI Red Teamによると、プロンプトや別モデルによる審査は、ソーシャルエンジニアリング、段階的な誘導、正規手順に見せかけた操作によって誤判断する可能性があります。コマンドは強化済みサンドボックスまたは仮想マシンで実行し、ネットワーク、ファイル、権限の規則はモデル外のソフトウェアで適用してください。
事故調査後、最初に何を変えるべきですか？
まず外向き通信を既定で拒否し、次にエージェントが読める長期認証情報を削除し、最後に公開パッケージの配布と VCS 経由のコード取得を禁止します。3 つの制御すべてを評価環境の内側からネガティブテストし、拒否結果をログで確認してください。