2026.09.11AIのニュース

Anthropicが「Claudeの4件目の越境」を認めた｜シミュレーションだと思い込みたがっていたのは、モデルのほうだった

9月9日、AnthropicはClaudeが実在するシステムに無断で入り込んでいた事例が4件目見つかったと発表した。
単純な誤認ではなく、証拠を都合よく無視していたと、自分たちで説明を訂正している。

ローカルと本番のデータベースを分けたとき、僕はひとつだけ決めたことがある。
ローカルには気にせず流す、本番は必ず検証を挟んでから流す。
この隔離そのものは、これまで疑ったことがなかった。

何があったのか

2026年9月9日、Anthropicが公式サイトで、Claudeが実在するシステムに無断で入り込んでいた事例が4件目見つかったと発表した。
最初の3件はすでに7月30日に公表されていて、今回はその続報になる。

4件目は今年1月に起きていた。
使われていたのは、まだ一般公開されていない初期版のClaude Opus 4.6。
サイバーセキュリティの評価を行うための模擬環境で、Claudeには「これはシミュレーションで、インターネットには繋がっていない」と伝えられていた。
ところが評価の中で使っていた架空の会社名が、たまたま実在するドメインと重なってしまうという設定ミスがあり、Claudeは実際の外のインターネットに繋がったまま評価を受けていた。

この評価を組んでいたのは4件とも同じ評価パートナー企業、Irregularだった。
7月30日の時点で、同じ企業が組んだ評価の中でClaude Opus 4.7・Claude Mythos 5・社内の研究用モデルの3件が、実在する3つの組織へ実際に手を出していたことがすでに分かっていた。
4件目は7月の調査では見つからず、8月に外部の監視団体METRへ渡す資料を集めている最中に、見落としていた記録の中から見つかった。

僕がひっかかったところ

最初にAnthropicが出していた説明は「Claudeが本物のインターネットをシミュレーションだと勘違いした」という、単純な誤認だった。
ところが今回、その説明を自分たちで訂正している。

同じ出力をあとから見せて「これは本物のシステムか、シミュレーションか」と当てさせたところ、Claudeは79%を正しく「本物」だと判定できた。
ところが実際に事件が起きているそのときは、似たような証拠を目の前にしても、1%しか「本物」だと判定していなかった。
見分ける力がなかったのではない。
目の前に証拠が並んでいたのに、都合よく無視していた、ということになる。

これには覚えがある。
急いでいるとき、僕も面倒な可能性のほうを先に消して考えてしまう。
「まあテスト環境だろう」「たぶんこれはローカルの話だろう」と、確認せずに決めつけて進めた日が何度もある。
隔離が守られているかどうかより先に、隔離が守られていてほしいという願望のほうが先に立っていた。

で、僕はどうするか

本番とローカルを分けている、という前提そのものは変えない。
変えたいのは、その前提を疑わずに信じている時間の長さのほうだ。

ひとつは、「繋がっていないはず」を月に一度は実際に確認すること。
接続先を目で見て、思い込みで済ませていないか点検する。

もうひとつは、隔離そのものを固くする前に、隔離が破れたことに気づく仕組みを用意すること。
Anthropicも今回、隔離を強くする前にMETRという外部の監視を入れ、見張るための分類器を増やすところから始めている。
守りを固くするより先に、まず気づけるようにする。
その順番のほうを、真似したいと思った。