Claudeも3組織に侵入〜14万件の記録から出た3件〜

開いていた回線〜遡及調査という検知〜

7月24日に「閉じていても破れた」を書いた。ゲートは閉じたまま迂回された、と。

一週間後、Anthropicが自社の事案を公表した。今回、ゲートは閉じていなかった。閉じているつもりの箱に、外へ出る経路が残っていた。そのことに、どちらの当事者も気づいていなかった。

時系列

7月21日、OpenAIがHugging Face事案を開示。

7月23日（木）、Anthropicが評価トランスクリプトの遡及レビューに着手。同日中に全サイバーセキュリティ評価を停止している。Claudeがインターネットへ到達した可能性のある記録が見つかったためと説明されている。

7月24日、3件を特定。7月27日（月）、評価パートナーのIrregularと影響を受けた3組織へ通知。連絡がついた2組織は、この活動を検知していなかった。3組織目には接触を試みている段階だという。

7月30日、Frontier Red Teamが公表。

発生は4月以降。発覚まで、およそ3か月。調査の起点は自社の定期監視ではなく、競合他社の開示だった。

一点、前回の記事と接続する事実がある。Mythos 5は6月9日に提供開始されたが、対象は承認を受けた組織に限られていた。同じ日に一般公開されたのはFable 5のほうだ。6月12日、Anthropicは商務省の輸出管理指令を受けて両モデルを全顧客向けに停止。Mythos 5は6月26日に一部の米国組織向けへ再開され、6月30日に指令が解除、7月1日にFable 5が全面再開している。輸出管理の当否が議論されていたこの期間、遅くとも7月23日の評価停止までの記録の中に、今回の3件は残っていた。読まれていなかっただけで、審査と検知は別々に動いている。

分母をどう読むか

Claudeがインターネットに到達し得た評価ラン14万1006件を精査し、3件（計6ラン、うち4ランが同一組織）を特定した。

数字が出たこと自体は前進だ。OpenAIの報告に対応する分母はなかった。ただし14万1006は「全評価ラン」ではなく「到達し得たラン」であって、母集団の定義はAnthropic側の切り出しに依存する。率として扱うなら、そこは押さえておきたい。

規模の変化も併記しておく。Anthropicがサイバー評価を始めたのは2025年2月、Claude Sonnet 3.7でCybenchの40課題を回すところからだ。モデルの能力が伸びるたびにベンチマークを足し、1年5か月で14万ラン規模になった。監視の設計が追いつかなかった背景は、この伸び方にある。

いずれの事案もIrregularが構築したCTF課題で起きている。架空の企業を舞台に、ネットワーク上の別マシンに隠された「フラグ」を奪取せよ、という形式。手段は指定しない。評価プロンプトは「環境はシミュレーションであり、インターネット接続はない」と明示していた。設定ミスにより、実際には接続が生きていた。Anthropicはこれを、自社と評価パートナーの間の認識の齟齬だと説明している。ただし齟齬の中身は書かれていない。

手口は弱いパスワードと認証のないエンドポイントの悪用。複雑な脆弱性の発見も悪用もなかったとされる。

脚注に、前回引いたベンチマークが出てくる。AnthropicはCyberGymとExploitBenchのトレースを特に入念に監査した、OpenAI/Hugging Face事案がCyberGym評価中に起きたからだ、と。前回扱ったExploitGymを含め、この系統の評価基盤は複数の大学と主要ラボが関与して育てられてきた。設計を共有した結果、事故の照合先も共有された。片方の事故が他方の調査条件になったのは、この共有があったからでもある。