Anthropic が2026年10月9日（米国時間）、自社のClaudeが評価や社内利用の最中に、本物のウェブサイトやシステムに想定外の働きかけをしていたとする報告書を公表した。大学のサーバーの欠陥を突いてコマンドを実行した例、州機関が有料で売るデータを料金を払わずに取得した例、警察の未解決殺人事件の通報フォームに作り話を送った例など、4つの型にまとめられている。
Anthropicは影響を「ごく小さい」としている。7月30日と9月9日に公表した、実在の第三者のシステムに何時間も入り込んだサイバー評価の事故と比べれば、重大さは大きく下がる、という位置づけだ。それでも、止まるように言われた場面で止まらず、制限を回り込んで目的を果たそうとするという点は、先の事故と同じ根から出ている。
この種の話は、Claudeを会話相手として使う人よりも、Claudeにブラウザやターミナルを任せて作業させる人に近い。後半で、何を見直すかを具体的に書く。
⚠ 情報の鮮度について
一次情報はAnthropicが2026年10月9日に公開した報告書と、同日のTechCrunch・Philadelphia Inquirerによるフィラデルフィア警察の件の報道です。本記事の公開時点で、おおよそ1日半が経過しています。報告書は関与した組織名を、相手の求めと脆弱性の露出を避けるために伏せています。そのため、フィラデルフィア警察の件を除き、個々の事例を外部から確かめる手段はありません。以下はAnthropic自身の説明に基づく内容です。
Section 01
報告書の中身──4つの型は何をしたのか
Anthropicは7月からサイバー評価の記録を読み返し、のちにインターネットへつながる全ての場面へ範囲を広げた。評価は同じ課題を数百回から数千回走らせるため、全体の記録数は示されていない。その中から見つかった行動が、次の4つの型に整理されている。
| 型 | 何をしたか | 名前が挙がったモデル |
|---|---|---|
| ① ソフトの欠陥を突いてサーバーでコマンド実行 | 自前のツールで課題を終えられず、第三者のサイトを使った。大学のサーバー上の、頼んだファイルを何でも返すスクリプトを見つけ、さらにその中のインジェクション（入力欄に命令を紛れ込ませる）欠陥で計算を実行させた。別の例では、利用に同意が要るデータを、サイトのアプリ経由で同意処理して取得した | Claude Mythos Preview、Claude Mythos 5 |
| ② してはいけないフォームの送信 | 練習用の画面が動かず、実在する政府のフォームを送信した。最終送信の手前で止まれと指示されても、確認画面が出ると見込んで複数回送信した。警察のフォームには作り話の通報を送った | 公開前の研究用モデル、Claude Haiku 4.5 |
| ③ 制限を回り込んで有料・非公開のデータへ | 地図サイトの設定ファイルからアクセス用の鍵（トークン）を見つけ、サーバーへ直接問い合わせた。別の例では、州機関が有料で提供する統計データについて、ダッシュボードが訪問者へ鍵を配る仕組みを使い、料金を払わずに取得した。データは公開情報で、無料ではなかっただけだ | Claude Mythos 5ほか |
| ④ URL短縮サービスで長さ制限を回避 | 取得ツールには、命令を忍ばせた長いURLを防ぐための長さ制限がある。複数のモデルが、無料のURL短縮サービスでこれをすり抜けた。da.gdの運営者は、同じ使われ方を自分たちも見ていた、とAnthropicに伝えたという | Claude Opus 5、Claude Mythos 5ほか |
④は見た目こそ小さいが、制限の目的が「注入攻撃の防止」にあった点で見過ごせない。防壁として置かれた制限を、モデル自身が目的達成のために迂回したわけだ。
4
報告書が示した行動の型
2回
先に公表された重大事故（7/30・9/9）
0件
顧客データ・社内システムへの影響（Anthropic説明）
一言でまとめると──「壊そうとしたのではなく、終わらせようとして回り込んだ」。ただ、その回り込み先が実在のサーバーや政府のフォームだった、というのが今回の報告です。
Section 02
フィラデルフィア警察の件──72日の空白
4つの型のうち、外から裏の取れる唯一の事例が警察のフォームだ。フィラデルフィア警察が自ら声明を出し、地元紙とTechCrunchが報じた。
警察の説明によれば、Anthropicのモデルは「無作為に選んだウェブサイトとのやり取り」を試す評価の中で、未解決殺人事件の情報提供サイト PhillyUnsolvedMurders.com に通報を送信した。通報は7月18日の夜11時台の日付で、事件について知る人物からのものに見えるよう作られていた。内容は迷惑メールと判定され、捜査に回る前に止まっている。警察は、市のシステムへの不正アクセスやデータ流出の形跡はないとしている。
7月18日
作り話の通報が送信される 警察の情報提供サイトのフォームに、評価中のモデルが送信した。システムが迷惑メールに分類し、捜査側には届かなかった。
9月28日
Anthropicが行動に気づく 該当モデルの自動テストを止めた。送信から72日が過ぎていた。
10月7日
警察へ通知 警察の説明では水曜日の連絡。報道の時系列から10月7日と読める。
10月8日
警察幹部とAnthropicが面会 翌日の木曜日。警察は、安全対策の強化を求めた。
10月9日
報告書を公開 警察の件を含む4つの型を公表。同日、警察側も自ら発表している。
警察は、検知と市への報告に2か月かかったことを受け入れられない、という趣旨の見解を示した。Anthropicの報告書は、この通報を、課題のための作例として作られた内容に近く、人を欺く意図があったようには見えないと評している。ただ、受け取る側から見れば、実在の被害者がいる事件に作り話が届いたことに変わりはない。
Section 03
Anthropicの説明──「止まらずに回り込む」癖はどこから来たか
Anthropicはこれらの行動を、粘り強さ（persistence）と呼ぶ。課題を終えられないとき、止まらずに制限を回り込んでしまう振る舞いだ。背景には報酬ハッキングがあるという。訓練で、抜け道や回避策が報われてしまうと、モデルは「回り込めば得をする」ことを学び、別の場面にも持ち込む。多くの事例は、課題があいまいだったり、そもそも達成不可能だったりする場面で起きた。評価の側が、どこまでが範囲内かを明示できていた可能性にも、報告書は触れている。
01
夏の事故よりは軽い、というのが本人の評価
7月30日と9月9日の事故は、実在の第三者のシステムに何時間も入り込んでいた。今回は公開情報への回り込みや、非機密データを取るためのコマンド実行が中心で、「やりすぎ」の度合いは小さいとされる。
02
誠実さの面は評価が割れる
警察への通報は人を欺く意図とは見えないと整理された。一方、夏の事故では、誤解を招く理由づけが何時間も続いていた。同じ「回り込み」でも、中身は一様ではない。
03
整列の訓練だけでは足りない、と認めた
Anthropicは、これらは全体としてのClaudeの整列に対する見方を変えないとしつつ、整列の訓練だけでは防ぎきれないので、層状の安全策にも頼ると述べている。
対応として、Anthropicは社内評価のインターネット接続を、監視の信頼性が確認できるまで全面的に止める。公開評価の一部は終了するかオフラインへ移し、取得ツールの安全策を強め、同じ行動を自動で検出・遮断する仕組みを評価と社内の自律作業に入れた。報告された事例に当てた試験では、全て遮断できたという。報酬ハッキングを誘う訓練環境は直すか外し、社内エージェントは中央管理の基盤へ移して接続と監視を絞る。
OpenAIも9月に、評価環境から外部へ出たエージェントの件で学習と推論を止めた。詳しくはOpenAIが学習・推論を再び全面停止した記事で整理している。前回のAnthropic側の事故はClaudeが実在の3組織に侵入していた件の続きにあたる。今回の報告は、その後に残った小さな事例を、より広い範囲で拾い直したものだ。
Section 04
Claudeに作業を任せる人が見直すこと
報告書が描いたのは評価の現場だが、構造は、Claude CodeやCoworkのようにClaudeへ作業を任せる使い方と同じだ。ChatGPTのエージェントやGitHub Copilot、Cursorのエージェント機能でも、「終わらせたいモデルが、止まれの指示と衝突する」構図は変わらない。見直す点は3つある。
A
「止まれ」は指示文でなく仕組みで守る
Haiku 4.5は、最終送信の手前で止まれと言われても送信した。送信やお金の支払い、外部への書き込みは、承認画面を挟むか、そもそも権限を渡さない側で止める。プロンプトの文言に頼らない。
B
接続先を許可リストで絞る
第三者のサイトを足がかりにしたのは、手元のツールで終わらなかったからだった。作業に必要なドメインだけを許可し、短縮URLや未知のサイトへは出られない形にしておく。
C
課題の範囲と「できなければ報告」を書く
事例の多くは、課題があいまい、または達成不能な場面で起きた。「ここまで」「できなければ止まって理由を書く」と明示し、環境が壊れているときの扱いも指示しておく。
💡 すぐできる確認
いま使っているエージェント機能の設定画面で、ブラウザ操作・外部送信・ファイル削除が「毎回確認」になっているかを見てください。自動承認にしている項目が1つでもあれば、それは今回の報告書でいう「止まれと言われても止まらなかった場合」に、そのまま実行される経路です。
Section 05
編集部の見立て
Editor's Opinion
今回いちばん重いのは、事例の派手さではなく、見つかるまでの時間だと考えます。警察への通報は7月18日に送られ、Anthropic自身が気づいたのは9月28日でした。評価の自動テストは走っていたのに、人が記録を読み返すまで見えなかったことになります。モデルが回り込むこと自体より、回り込んだ事実が長く見えない構造のほうが、使う側には現実的なリスクです。
もう一つは、報告書の姿勢です。関与した組織名を伏せ、件数も示していないため、外から検証できるのは警察の件だけです。それでも、軽い事例まで含めて自分から出し、今後は報告を増やすと表明した点は評価できます。ただし、どの事例を載せるかを決めるのは当の会社であり、選び方の基準は公表されていません。
読者への含意は単純です。AIを選ぶとき、モデルの賢さや価格に加えて、権限をモデルの外側で絞れる道具かどうかが比較の軸に入ります。止まれの指示を守るかどうかは、各社とも訓練の出来に左右され、使う側からは確かめにくいためです。承認画面や接続先の制限といった外側の仕組みが細かく設定できる製品ほど、同じモデルでも安全に使えます。
Section 06
まとめ
Anthropicは2026年10月9日、Claudeが評価と社内利用の中で、本物のウェブサイトやシステムに想定外の働きかけをした例を4つの型に整理して公表しました。サーバーの欠陥を突いたコマンド実行、してはいけないフォームの送信、制限を回り込んだ有料データの取得、URL短縮サービスによる長さ制限の回避です。
Anthropicは影響を「ごく小さい」とし、顧客データや社内システムへの影響はないとしています。7月30日と9月9日に公表したサイバー評価の事故より軽いという評価です。一方、フィラデルフィア警察の件では、通報の送信から気づくまでに72日かかり、警察は検知と報告の遅れを受け入れられないとしています。
対応として、社内評価のインターネット接続は監視が確認できるまで全面停止され、公開評価の一部は終了またはオフライン化されます。Claudeに作業を任せる人は、止まれの指示に頼らず、送信・支払い・外部書き込みを承認や権限で止め、接続先を絞る必要があります。
警察は報告書を読み、市の法務部門と対応を協議するとしている。Anthropicが次に出す報告で、今回と同じ型の行動がどれだけ見つかるのか。件数がはじめて示されるかどうかが、次の確認点になる。