AI開発大手Anthropicの社内システムに、外部の業務ソフトを経由して不正にアクセスされた。侵入したセキュリティ企業Cathedralによると、使われたのはAIエージェント、つまり人が細かく指示しなくても自分で作業を進めるAIだ。Anthropicは営業・人事・ITシステムの一部へのアクセスを認めた。一方で、アクセスの範囲や所要時間をめぐっては、両者の主張が食い違っている。The Decoderが2026年10月28日に報じた。
まず、Claudeを使っている人が最も気にする点から見ていく。
Claudeのチャットやコードは無事か
Anthropicは、Claudeのチャット内容、ソースコード、モデルの重みは露出していないとしている。重みとは、AIが学習した結果をまとめた中核データだ。一方で、営業・人事・ITのシステムの限られた範囲にはアクセスされた。その中には、一部の顧客やパートナーの連絡先、基本的なユーザーアカウント情報が含まれるとしている。本丸は無事とされるが、周辺は荒らされた、という構図になる。
これはAnthropicの説明であり、現時点で第三者が検証した結果は示されていない。報道を見る限り、Claudeを使う企業のデータが漏れたという情報は出ていない。ただし、調査はまだ続いている。Claudeを業務で使っている企業は、Anthropicからの公式な続報で影響範囲を確認しておく必要がある。
侵入したのはセキュリティ企業
Cathedralは、政府機関や企業にAI搭載のセキュリティツールを販売するスタートアップだ。Anthropicのバグバウンティプログラムの枠組みで、外部の管理系・営業系ソフトを通じて社内に入ったと報じられている。バグバウンティとは、企業が外部の研究者に自社の弱点探しを認め、見つけた人に報奨金を払う仕組みだ。報告書の草稿はWashington Postが確認したという。
Anthropicによると、侵害を把握した当日に該当のアクセス経路を遮断した。問題が解決するまでサードパーティのプログラムも無効にし、米連邦当局にも通知したとしている。通知先の機関名は、The Decoderの報道では示されていない。
侵入口は外部の業務ソフトだった
報道によると、入口はAnthropicが自社で作ったAIの仕組みではなかった。同社が社内で使っていた、他社製の管理系・営業系の業務ソフトだ。
家にたとえると、自宅の玄関の鍵は頑丈だった。ところが、管理会社に預けていた合鍵のほうから入られた。そんな構図になる。モデルや本体の守りがどれだけ堅くても、つながっている先の業務ソフトが弱ければ、そこが入口になる。
業務ソフトは、インターネット経由で使う他社製のサービス(SaaS)であることが多い。顧客管理、給与や採用の管理、社内チャットなど、ほとんどの会社が何かしらを契約している。しかも多くは、社内の別のシステムと「連携」させて使う。便利さの裏返しで、一つの連携が弱いと、そこから社内へ道がつながりかねない。
業界全体の問題だとする声
外部サービスとの連携が弱点になるのは、Anthropicに限った話ではないという指摘が出ている。
Cognitionで最高セキュリティ責任者を務めるAlex Stamos氏は、第三者アプリとの連携は業界全体の大きな問題だと述べた。Cognitionは、AIエージェントによるソフト開発ツール「Devin」で知られる企業だ。Stamos氏はそのうえで、Anthropicは外部サービスの保護をもっと改善できたとしている。
Anthropicでレッドチーム(自社を攻撃する側に回って弱点を探すチーム)を担当するLogan Graham氏の見方も、近い。同氏は、攻撃者はすでにAIエージェントを24時間稼働させ、企業の外部の依存先を狙っていると述べた。最先端より半世代から1世代前のモデルでも、こうした攻撃は可能だという。対策として同氏は、自社への侵入テストを継続的に行うことと、ソフトウェアを形式検証(プログラムが仕様どおりに動くことを数学的に確かめる手法)で作り直すことを挙げている。
12時間か数日か、割れる主張
争われている点は3つある。侵入にかかった時間、Cathedralが見つけた弱点を全部報告したか、そして外部の業務ソフトを攻めること自体がルールの範囲内だったか、だ。以下はいずれも当事者の主張であり、第三者による検証結果は示されていない。
Cathedral側の主張
時間について、Cathedralは、先進的なAIモデルを使ったAIエージェントが、12時間未満で社内への経路を見つけたと主張している。到達先として挙げるのは、会議の文字起こし、給与データ、求人情報、Slackメッセージだ。
ルールの面では、標準的なセキュリティ研究の手法に従ったとしている。Anthropicのバグバウンティの枠組みの中で、外部の業務ソフトを調べたという立場だ。
Anthropic側の反論
Graham氏は、Cathedralはまず数日間、Anthropic自社のシステムを攻めたと述べた。それがうまくいかず、第三者の業務ソフトに切り替えたという。12時間という数字は、その後半部分だけを指している、というのがAnthropicの見立てだ。
開示の完全性についても、Anthropicは問題視している。Cathedralは弱点を2件見つけたが、報告したのは1件だけだった。もう1件はAnthropicが自力で見つけて修正したとしている。Anthropicは、こうした不完全な開示はプログラムの規約違反だと主張している。
ルールの範囲についても、見方は異なる。バグバウンティでは、研究者が善意で調べた場合に法的責任を問わない「セーフハーバー」と呼ばれる保護がある。Anthropicは、第三者プロバイダーへの攻撃とデータの取得は、このセーフハーバーの範囲外だとしている。
第三の主張も出ている
さらに踏み込んだ主張もある。元OpenAI職員のWill Depue氏は、CathedralがSlackの完全な管理者権限を得たなどと主張した。自身が信頼する複数の情報源によるという。Graham氏はこの情報源は誤りだと反論したが、どこがどう誤りなのかは明かしていない。アクセスの範囲は、いまも係争中だ。
続報で確かめたい3点と、自社でできること
確定した事実はまだ少ない。今後の続報で確認したいのは次の3点だ。
- 侵入口になった業務ソフトの名前と、提供元が修正を終えたか。現時点の報道では示されていない
- 実際に届いたデータが、連絡先と基本情報にとどまるのか、給与やSlackの中身まで及ぶのか
- 12時間か数日かという食い違いや、規約違反かどうかについて、第三者の見解が出るか
営業支援や人事管理、社内チャットなどの外部サービスを自社のシステムとつないで使っている企業にとって、今回の件は足元を見直すきっかけになる。具体的には、次の4点がある。
- 営業・人事・ITの外部サービスや連携アプリについて、管理者権限とAPIキー(システム同士をつなぐ合言葉のようなもの)を棚卸しする
- Slackなど社内チャットに置く情報の分類を見直す
- AIエージェントによる常時の攻撃を前提に、侵入テストの頻度を見直す
- Claudeなどを利用中の企業は、ベンダーからの公式な続報で影響範囲を確認する
出典
- The Decoder(Washington Post報道、Cathedralの報告書草稿、Anthropic側の声明を引用した報道)2026年10月28日: https://the-decoder.com/ai-agents-hacked-anthropic-maker-of-arguably-the-most-capable-ai-models-for-cyberdefense/
本稿は、The Decoderが伝えたWashington Postの報道などの内容による。元のWashington Post記事、Cathedralの報告書、Graham氏の声明の原文は、確認できていない。
