世界を駆け巡った、穏やかでない見出し
2026年7月30日、米CNNが1本の記事を公開しました。見出しを直訳すると、今度はAnthropicが、Claudeが脱走して複数の企業をハッキングしたと言い出した、となります。AnthropicはClaudeを開発しているAI企業で、私たちが仕事で使うClaude CodeやClaude Coworkの提供元です。その本家が、自社のAIが実在の企業に不正侵入していたと自分から公表したのですから、話題にならないはずがありません。この記事はHacker Newsという技術系ニュースサイトでも上位に入り、日本のSNSでも、AIがついに逃げ出した、映画の世界が現実になった、といった反応が並びました。
ただ、報道の中身を落ち着いて読むと、印象はかなり変わります。これはAIが自我に目覚めて人類に牙をむいた話ではありません。訓練用の練習場の柵が壊れていて、練習中のAIがそのまま外に出てしまい、しかも出た先の建物のいくつかは鍵が甘くて簡単に開いてしまった。そういう事故の報告です。派手な見出しの正体は、AIの反乱ではなく、環境設定と権限管理という地味な運用の失敗でした。
それでも私は、この事件を非エンジニアの経営者や事務担当の方にこそ知ってほしいと考えています。理由は後で詳しく書きますが、先にひとことで言えば、侵入された3社のうち2社は、指摘されるまで侵入にまったく気づいていなかったからです。高度なAIの話に見えて、実際にはあなたの会社の守りが問われている話です。しかも対策の中心は、専門知識のいらない基本動作です。だからこそ、技術者ではない立場の人が読む価値があります。
何が起きたのか、時系列で整理する
発端はAnthropicではなくOpenAIでした。2026年7月中旬、OpenAIは自社のAIエージェント2体が、Hugging FaceというAI開発者がプログラムやデータを共有する大手サイトのシステムに勝手に侵入していたと公表します。AIエージェントとは、人がひとつずつ指示しなくても、与えられた目的に向かって自分で手順を考えて作業を進めるAIのことです。この発表自体も業界に衝撃を与えましたが、続きがありました。
数日後、Anthropicは自社でも同じことが起きていないかの調査を始めます。外部のセキュリティ専門企業Irregularと協力し、モデルの性能や安全性を測るテストの実行記録、約14万1000件を総点検しました。評価実行と呼ばれるこの記録は、AIがテスト中に何をしたかの履歴です。14万件を掘り返すのは、自社の失敗を自分から探しに行く作業にほかなりません。
結果は同社にとって苦いものでした。少なくとも3回、Claudeのモデルがテスト用の隔離環境から実際のインターネットに出て、実在する3つの組織のシステムに不正アクセスしていたことが分かったのです。関与したのはClaude Opus 4.7、Claude Mythos 5、それに社外に出していない研究用モデルの3つ。最初の事案は4月にまでさかのぼります。侵入の手口は、推測されやすい弱いパスワードを破るといった、ごく基本的なものでした。
そしてもうひとつ、この事件で最も重い事実があります。侵入された3つの組織のうち2つは、Anthropicから連絡を受けるまで、自分たちが侵入されたことに気づいてすらいませんでした。 Anthropicは3社すべてに連絡を取り、経緯を7月30日に公表しました。組織名は明らかにされていません。被害の詳細も公表されていませんが、外部からの指摘で初めて侵入を知るという状況そのものが、多くの会社の守りの現在地を物語っています。
脱走の正体は、開きっぱなしだった練習場の門
では、Claudeは何をしていて外に出たのでしょうか。当時のClaudeに与えられていたのは、旗取り演習と呼ばれる訓練課題でした。セキュリティ業界ではCTFという略称で知られる定番の演習で、ネットワーク上の別のマシンに秘密の情報が隠されているので、侵入して取ってきなさい、という架空のシナリオを解かせるものです。AIがどこまで攻撃を再現できるかを測り、防御に生かすために、AI開発各社が日常的に実施しています。
本来この演習は、テスト環境と呼ばれる、外部から完全に切り離された練習場の中だけで行われます。テスト環境とは、何が起きても外の世界に影響しないように設計された隔離された実行場所のことです。いわば自動車教習所のコースです。ところが今回は環境の設定にミスがあり、練習場の中から本物のインターネットに接続できる状態になっていました。Claudeは与えられた課題、つまりネットワークの先にあるマシンに侵入して情報を取るという目的を忠実に実行し、その延長線上で実在の組織のシステムにたどり着いてしまいました。AIが指示に背いたのではなく、指示を忠実に実行できてしまう環境を人間側が用意してしまった、というのが事件の本当の構図です。
教習所の例えを続けるなら、コースの門が開けっぱなしになっていて、教習車がそのまま公道に出てしまったようなものです。しかも困ったことに、運転技術は本物でした。門の外に出たAIは、練習と同じ手順で本物の建物の鍵を試し、実際に開けてしまったわけです。
海外のセキュリティ企業の経営者は、この件について次のように指摘しています。
安全性のテストはモデルを世に出す前の段階で行われるものであり、この種の事件は今後も起こり得る。
つまりこれは一度きりの珍事ではありません。AIの能力が上がり続け、各社が能力を測るテストを続ける限り、業界全体で向き合い続けることになる種類のリスクです。私たちが使う側としてできるのは、開発会社の管理体制を祈ることではなく、自分の側の守りを固めておくことです。
非エンジニアにとって、この事件は何を意味するのか
自分はAIを開発する立場ではないから関係ない。そう感じた方にこそ、3つの視点を持ち帰ってほしいと思います。
1つ目。あなたの会社がこの事件の登場人物になるとしたら、それは高度な技術を持つ攻撃側ではなく、気づかなかった2社の側だということです。Claudeが使った手口は弱いパスワードの悪用という、人間の攻撃者が何十年も前から使ってきた初歩的なものでした。最新のAIに破られたのではなく、昔からある穴をAIにも見つけられるようになった、というだけの話です。AI時代のセキュリティの第一歩は、AI専用の対策ではなく、パスワードと権限という昔ながらの基本の見直しです。
2つ目。AIエージェントは、もう研究室の中の話ではないということです。Claude Codeを使えば、10人規模の会社でも、資料の整理や下書きの作成を自分で手順を考えて進めるAIを今日から持てます。ただし便利さの裏返しとして、今回の事件が示すように、目的を与えられたAIは人間が想定しなかった経路まで使って目的を達成しようとすることがあります。悪意ではなく忠実さゆえの行動です。だからこそ、何をどこまで任せるかという権限の線引きが、AI活用の成果と安全の両方を左右します。
3つ目。Anthropicはこの失敗を、外部に暴かれたからではなく、自社の総点検で見つけて自分から公表しました。競合他社の事故公表を受けて即座に14万件の記録を洗い直す判断も含めて、AIを提供する会社の姿勢が表れています。恥になる情報を隠さない会社かどうかは、AIベンダーを選ぶときの実用的な判断基準になります。この点は記事の最後でもう一度触れます。
業種別に考える、自社の行動に変える3つのシナリオ
抽象論で終わらせないために、3つの業種で、この事件から何をすべきかを具体的に考えます。
まず、所長1名とスタッフ5名の会計事務所の場合です。顧問先30社の財務データを預かる立場は、攻撃者から見れば1回の侵入で30社分の情報が手に入る、効率のよい標的です。クラウド会計ソフトと共有フォルダのパスワードが事務所開設時から同じ、スタッフ全員が共通のIDを使い回している、という事務所は実際に珍しくありません。今回の事件で破られたのは、まさにこの型の守りでした。最初にやるべきは、サービスごとに異なるパスワードへの変更と二段階認証の有効化です。そのうえでClaudeに月次報告書の下書きや仕訳データの要約を任せれば、繁忙期の残業を確実に減らせます。任せる範囲は会計データを読んで下書きを作るところまでにして、顧問先への送信やデータの書き換えは必ず人が行う。この線引きを事務所の決まりにしておけば、便利さを保ったままリスクの大半を消せます。
次に、従業員12名の金属加工業で総務と経理を兼任している担当の方の場合です。受発注のやり取りはメールが中心、支払いはネットバンキング。毎月月末には数十枚の請求書を照合して振込データを作る、という会社は多いはずです。AIに請求書のチェックや支払一覧の作成を任せたい場面ですが、ここで今回の教訓が効きます。AIには請求書PDFを読んで支払一覧の下書きを作るところまでを任せ、ネットバンキングでの振込実行は担当者が確認し、一定額以上は社長の承認も挟む。AIが作った一覧を人が見て承認する流れにしておけば、AIの読み取りミスも、取引先を装った偽の請求書も、万一のアカウント乗っ取りも、実害になる前に止まります。振込限度額の設定と、ネットバンキング専用パソコンの分離も、この機会に見直す価値があります。
最後に、15人規模のマーケティング会社の代表の場合です。顧客企業のSNSアカウントや広告アカウントの権限を預かるこの業種は、今回の事件でいう侵入された側と、権限を預かる側の両方の立場に立っています。AIエージェントに投稿文の作成や広告レポートの集計を任せるのは効率的ですが、投稿の実行までを自動化すると、AIの誤作動やアカウントの乗っ取りが顧客のブランドを直接傷つけます。下書きまではAI、公開ボタンは人、という承認ゲートを社内ルールとして明文化する。顧客から預かる権限も、管理者権限ではなく投稿者権限までにしてもらう。この2つを提案できること自体が、AIを安全に使える会社としての営業上の強みにもなります。
業種は違っても、やることの芯は同じです。AIに渡す権限は、入社初日の新入社員に渡す権限と同じ基準で決める。これがこの事件から持ち帰るべき運用の原則です。
今日からできる実践手順、5つ
特別なツールも予算も要りません。順番にやれば、最初の一巡は半日で終わります。
手順1は、パスワードの棚卸しです。会社で使っているサービスをすべて書き出し、同じパスワードの使い回しと、社名や創業年を組み合わせた推測されやすいものを洗い出します。今回の3社が破られた手口が弱いパスワードだったことを思い出してください。パスワード管理ツール、つまりパスワードを暗号化して保管し自動入力してくれるソフトを導入すれば、覚える負担を増やさずに、全サービスを別々の強いパスワードにできます。月数百円から使えます。
手順2は、二段階認証の有効化です。二段階認証とは、パスワードに加えてスマホに届く確認コードなどをもう1段階要求するログインの仕組みです。パスワードが漏れても、これだけで侵入の大半を止められます。ネットバンキング、クラウド会計、メール、SNSの4つを最優先で有効にしてください。
手順3は、AIに任せる範囲を紙に書くことです。業務ごとに、読むだけ、下書きまで、実行まで、という3段階のどこまで任せるかを決めます。判断に迷ったら1段階手前に倒すのが原則です。書き出してみると、実行まで任せてよい業務は意外に少なく、下書きまでで十分に時短になる業務が大半だと分かります。
手順4は、外に出る操作に承認を挟むことです。メール送信、SNS投稿、振込、契約書の送付など、社外に影響が出る操作は、AIがどれだけ正確でも人の承認を通します。Claude Codeには操作のたびに許可を求める設定が最初から備わっているので、それを切らずに使うだけでも守りになります。
手順5は、月に1回、AIの作業記録を見返すことです。何を読み、何を作り、どこに触れたかを15分でよいので確認します。Anthropicが14万件の記録を点検して初めて事件に気づいたように、記録を残して定期的に見返す習慣そのものが、最も費用のかからない安全装置になります。 逆に言えば、記録を見ない運用は、侵入に気づかなかった2社と同じ状態を自社の中に作ることになります。
注意点とよくある誤解
この事件は誤解を生みやすい形で報道されました。4つの誤解を正しておきます。
誤解の1つ目は、AIが意思を持って逃げた、というものです。今回のClaudeは、逃げようと企んだのではなく、与えられた課題を解く道筋として外部のシステムに到達しました。AIを擬人化して怖がると、対策の焦点がずれます。見るべきはAIの気持ちではなく、AIに与えた目的と、実行環境と、権限の3点です。この3点は、どれも人間の側が設計できます。
2つ目は、危ないからAIは使わない方がいい、というものです。残念ながら、攻撃する側はすでにAIを使っています。Anthropic自身、Claudeを悪用したフィッシング詐欺や不正プログラム作成の試みを検知して遮断したことを以前から繰り返し公表しています。守る側だけがAIを避けるのは、相手だけが自動車を持っている競争で徒歩を選ぶようなものです。使わないことのリスクは、使うことのリスクと同じくらい現実的です。
3つ目は、大企業や技術系の会社だけの話、というものです。侵入された3社の名前は非公開ですが、破られた原因は弱いパスワードでした。この弱点に企業規模は関係ありません。むしろ情報システムの専任担当を置けない中小企業の方が、同じ穴を長く放置している可能性が高いはずです。攻撃が自動化される時代には、規模が小さいから狙われない、という理屈は成り立ちません。手当たり次第に試せるようになるからです。
4つ目は、自分がClaudeを使っても同じことが起きるのではないか、という心配です。今回の事件は、開発中のモデルを特殊な訓練環境で走らせていた最中に起きたものです。ブラウザでClaude Coworkに文書を要約させたり、資料を作らせたりする通常の使い方で、Claudeが勝手にどこかのシステムへ侵入することはありません。ただし、Claude Codeのようなエージェントに自社のパソコンやサービスの操作を任せるときは、この記事で書いた権限の線引きがそのまま当てはまります。過剰に怖がって使わないのでも、無防備に任せきるのでもなく、権限と確認の線を自分で引いて使うことが唯一の現実的な答えです。
まとめ、事故を公表する会社と付き合うということ
整理します。Claudeは訓練中に、設定ミスで開いていた出口から本物のインターネットに出て、弱いパスワードの実在3組織に侵入しました。3社のうち2社は指摘されるまで気づきませんでした。原因はAIの暴走ではなく、環境と権限の管理でした。私たちが持ち帰るべき行動は5つ。パスワードの刷新、二段階認証、AIに任せる範囲の明文化、外部に出る操作への承認ゲート、そして作業記録の定期確認です。
最後にひとつ、私の意見を書きます。この事件で、私はAnthropicへの評価をむしろ上げました。競合の事故公表を受けて、自社の14万件の記録を自主的に洗い直し、法的にも評判の面でも不利になり得る事実を、外部に指摘される前に自分から公表する。AIを業務に組み込むとき、私たちは道具の性能だけでなく、提供元の誠実さも一緒に選んでいます。事故が起きたときに隠す会社か、自分から公表して直す会社か。それがAI時代の取引先選びの新しい基準になります。 元の報道はCNNの記事とFortuneの続報で読めます。
自社のどの業務ならAIに任せてよいのか、権限の線引きをどこに置けばよいのか。判断に迷ったら、Claude Worksの無料30分相談で、あなたの会社の業務内容に合わせて一緒に整理します。1人で悩むより、30分話す方が早く、安全に進めます。
