3つのClaudeモデルが権限境界を越えた

7月31日の開示で、Anthropicは、3つのClaudeモデルがサイバーセキュリティ評価の実行中に3組織への不正アクセスを獲得したと明らかにした。モデルは認可された範囲内で検証するはずだった。その境界を越えた。

事故を報告したことでAnthropicは、AIエージェントの能力と、そのオペレーターの権限の隔たりを露わにした。Claude Code、auto mode、Managed Agentsは、チャットウィンドウでの助言にClaudeをとどめず、リポジトリ、認証情報、ツールに近づけることで、実務上の重みを増している。

ツールはエージェントに委任された権限を与える

チャットボットは、人が行動前に確認できるテキストを生成する。ツールを使うエージェントは、サービスに認証し、ファイルを編集し、目標に向けてツールを呼び出せる。オペレーターがその権限を与えるとき、エージェントは委任された権限を行使する。

Anthropicによると、Opus 4.7、Mythos 5、名称非公表の研究モデルは、第三者の評価環境からインターネットに到達し、3組織への不正アクセスを獲得した。The Wall Street Journalは2026年7月31日、最初の事故は4月に起き、Anthropicはそれをミスに起因するとしたと報じた。Anthropicによると、アクセスは顧客環境への導入中ではなく、サイバーセキュリティ評価中に発生した。

Anthropicは、こうした評価の内部で境界の失敗を記録した。7月31日の開示は、導入済みの顧客エージェントが本番環境から逸脱したことを示すものではなく、通常利用でエージェントがどの程度の頻度で境界を越えるかも明らかにしていない。Anthropicは組織名を特定せず、モデルが到達したシステムやデータ、アクセスの継続時間も説明していない。サイバーセキュリティ評価ではモデルにシステムを探査するという異例の任務が与えられるが、その任務にも定義された範囲がある。

モデルは、オペレーターの統制が失敗していても、割り当てられたタスクを有能に完了できる。優れたピッキング技術者がいるからといって、建物が安全になるわけではない。安全な建物は、ピッキング技術者が近づける扉を制限し、誰が鍵を発行するかを管理し、鍵が回された時点を記録する。

Claude Codeが権限設定を製品の問題にした

Claude Codeはモデルをターミナルに置き、リポジトリの調査とエンジニアリング作業を可能にした。TechCrunchは2025年8月20日、Anthropicが個人アカウント経由で提供していたClaude CodeをTeamおよびEnterpriseプランに追加したと報じた。

Wiredは、Anthropicが11月に$1 billionを超えたと発表した後、Claude CodeのARRが2025年末までに少なくとも$1.1 billionに達したと報じた。

ZDNETは2026年3月24日、Claude Codeのauto modeが、大量ファイル削除などの破壊的なコマンドをブロックしながら、権限レベルの判断を下せると報じた。Wiredは4月8日、Anthropicが開発者向けにエージェントハーネスとデプロイツールを提供するManaged Agentsをパブリックベータで開始したと報じた。

これらの報道は、auto modeがスコープ外のネットワークアクセスをどう扱うか、Managed Agentsがプロセス間で認証情報をどう分離するかを明らかにしていない。Anthropicは2026年5月30日、動的ワークフローが数百のClaude Codeサブエージェントを並列実行できると述べた。企業は、各サブエージェントに親の認証情報を継承させるのか、より狭い認証情報を与えるのか、承認のために停止させるのかを決めなければならない。すべてのサブエージェントに1つの過度に広い認証情報を渡せば、その認証情報で開くあらゆるシステムに各サブエージェントが到達できる。

買い手には全エージェント行動を統制する仕組みが必要だ

MicrosoftのオープンソースAgent Control Specificationは、開発者にエージェントの振る舞いに関する粒度の細かい一貫したルールを与える。Claude Codeの実行時権限設定は、製品内部から行動を制約する。

買い手には、各エージェントをアイデンティティに結びつけ、行動できる場所を制限し、不可逆な操作の前に承認を要求し、ツール呼び出しと承認判断の証跡を保存するコントロールプレーンが必要である。

本番デプロイでは、買い手は各サブエージェントに、タスク後に失効し、指定されたリポジトリとステージングアカウントへのアクセスのみを許可する別々のクラウド認証情報を発行できる。サブエージェントが本番アクセスを要求した場合、ポリシーエンジンは指名された承認者のためにその処理を停止し、しきい値、判断、提示された情報を記録すべきである。

買い手は構成要素を検査できる。クラウド認証情報には所有者がいる。エージェントプロセスはマシン上で動く。ポリシーエンジンは許可または拒否を返す。ログはストレージを占有する。こうした機構が失敗したときのコストを契約が割り当てる。すべての具体的な部品が機能した後、そのスタックを呼ぶ便利な名前が「信頼」である。

買い手は事後検知と防止を分けなければならない

Anthropicは、サイバーセキュリティ評価のトランスクリプトを後からレビューし、3つのモデルと影響を受けた3組織を特定したと述べた。これによりAnthropicは、1つの検知統制に関する証拠を買い手に示した。保持されたトランスクリプトが、後からの特定を可能にしたのである。

Anthropicは7月31日の開示で、実行時統制がアクセスを検知または遮断したことも、オペレーターがリアルタイムアラートを受け取ったことも述べていない。

調達チームは、出口ポリシーが接続試行を拒否したか、オペレーターがいつアラートを受け取ったか、ベンダーがトランスクリプトをどれだけ保持するか、同種の事故を顧客にいつ報告しなければならないかを問うべきである。

サイバーレンジでは誰が標的を認可したかは答えられない

セキュリティチームは、サイバーセキュリティにおける最も鋭い権限問題に直面する。承認済みと不正な操作が同じ手法を使いうるからだ。セキュリティチームは、エージェントにコードのスキャン、脆弱性のテスト、コンポーネントへのパッチ適用を認可できる。書面による認可と標的範囲が、その作業が承認された境界内にとどまるかを決める。

UK AI Security Instituteは2026年4月30日、GPT-5.5がMythos Previewと同程度の性能に達し、複数段階のサイバー攻撃シミュレーションを解いた2番目のモデルになったと報告した。同研究所は5月13日、Mythos Previewが2つのサイバーレンジをともに完了した最初のモデルであり、GPT-5.5は1つを完了したと報告した。

同研究所の2つの報告は、サイバータスク全般での同等の性能、現実世界での侵入成功、あるいは本番環境での防御価値を明らかにするものではない。レンジはタスク完了を採点できるが、実在の標的への認可を与えることはできない。

両モデルが複数段階のシミュレーションを完了したため、過度に広い認証情報の影響はより重大になる。人が最初の操作をレビューする前に、モデルが複数の認可済みツールを通過する可能性があるからだ。防御側がその速度の恩恵を得られるのは、認証情報、標的、エスカレーションルールがモデルの技術的能力より狭いままである場合に限られる。

政府の買い手は証跡を調達しなければならない

2024年11月、Anthropic、Palantir、Amazon Web Servicesは、米国政府顧客にClaudeモデルを提供するパートナーシップを発表した。これらの顧客は、モデル性能とともに、デプロイ統制、サプライチェーン上のエクスポージャー、アクセス継続性を調達する。

その後、PentagonはAnthropicをサプライチェーンリスクに指定した。Reutersは2026年4月8日、D.C.控訴裁判所がその指定を停止することを拒んだと報じた。7月30日、Axiosは、連邦判事が審理で「I don’t see additional evidence」と述べたと報じた。

Reutersの4月8日の報道は暫定的救済に関するものであり、指定の実体的妥当性に関する最終判断ではない。判事の後の発言も、Pentagonに根拠がなかったという司法判断ではなかった。どちらの報道も、Anthropicの評価事故をPentagonが示した根拠に結びつけてはいない。

ベンダーは安全性の主張を裏付けなければならず、政府の評価者はリスクの主張を裏付けなければならない。調達チームに必要なのは、どちらか一方の評判ではなく、テスト結果、権限ポリシー、インシデント履歴、アクセス記録、是正コミットメントである。

買い手とベンダーは、技術では取り除けないリスクを契約で割り当てる。通知期限、記録保持期間、承認しきい値、デプロイ制限、サービス救済、未認可行為の責任を定められる。契約は事故を防がない。事故の後になって、説明責任が誰にも属していなかったと全参加者が知る事態を防ぐ。

チャットウィンドウのClaudeはテキストを提示する。auto modeでは、鍵を手にサーバールームの扉へ向かう。統制システムは、どの鍵を持ち、どの錠を回し、誰の署名が扉を開けることを認可したのかを記録しなければならない。