AIエージェントがAnthropicの業務系に12時間で侵入　Cathedralが報告

セキュリティの新興企業Cathedralが、AIエージェントを使ってAnthropicの社内の業務システムに入り込む道を見つけたと、Washington Postが報じた。同紙が読んだCathedralの報告書の草稿によると、エージェントは12時間足らずで、会議の書き起こしや給与・採用の条件、Anthropicの先端モデルについてのSlackのやりとりにたどり着く経路を見つけた。Anthropicは侵入の一部を認めつつ、範囲は限られていたと説明している。

入り口は外部の業務ソフト

Decryptの記事によると、エージェントが突いたのはClaudeそのものではなく、管理や営業の仕事に使う外部のソフトの弱点だった。顧客の管理や社員の管理に使う種類のソフトで、ほかの多くの会社も同じものを使っている。ソフトの提供元にも弱点は知らされたが、ソフトの名前と具体的な弱点は、悪用を防ぐために伏せられた。同じソフトを使う会社が多いので、Anthropicだけの問題で終わらない可能性がある。モデルを守る仕組みがいくら固くても、社員が毎日使う周りの道具が別の入り口になりうるという例だ。

試験は、外部の専門家が弱点を見つけて届け出ると報酬を受け取る、Anthropicのバグ報奨金の仕組みの中で行われた。犯罪としての攻撃ではなく、許された範囲での検査という扱いだ。ただし、どこまで入ってよいかの線引きは、後で両社の言い分が分かれる点にもなった。ここで使われたAIエージェントは、人が一手ごとに承認しなくても、いくつもの手順を続けて進める。cybersecuritynewsの記事は、つながったサービスをまたいで弱点を見つけ、つないでいく自動の道具の速さを示した例だと伝えている。

Anthropicは範囲を限定と説明

Anthropicは同紙への声明で、Cathedralが入ったのは営業・人事・ITの一部のシステムだと認めた。そこには、一部の顧客や取引先の仕事上の連絡先と、利用者のアカウントの基本的な記録があった。一方で、Claudeとの会話、Claudeの答え、ソースコード、モデルの重みには届いていないとしている。

同社は「監視の仕組みが、Cathedralから報告を受ける前にその動きの一部を見つけ、同じ日に接続を切った」と述べた。影響のあった業務ソフトは止め、提供元が直したと確かめてから使い直した。つまり、弱点が直るまでの間は、その業務ソフトを使う仕事をいったん止めて待ったことになる。Cathedral以外の誰かがこの弱点を使った形跡は無いという。連邦政府の担当者にも説明した。

India Todayの記事によると、トランプ政権の高官は同紙に、報告書が政府の中で回し読みされていると話した。AIのコーディングの新興企業CognitionでCISOを務めるAlex Stamos氏も、外部のソフトの管理のしかたに弱さがあると指摘している。

両社の言い分は食い違う

Anthropicは、Cathedralが国の安全への影響を大きく言いすぎていると反論した。さらに、社内での動きをすべて届け出なかったので、報奨金の仕組みの決まりを守りきっていないとも指摘している。これに対しCathedralの草稿は「データへの接続は、セキュリティ研究のよいやり方に沿って最小限にとどめた」としている。

Cathedralは数か月前にできた会社で、トランプ政権の歳出削減の組織DOGEにいた4人が作った。AIを使ったセキュリティの道具を、政府の機関や企業に向けて作っている。Decryptによると、7月に評価額14億ドルで1億6,000万ドルを集めている。cybersecuritynewsは、共同創業者の1人のGavin Kliger氏が国防総省の最高データ責任者を務めていたと伝えている。

編集部の見方

Claudeのモデルは破られず、穴は外部の業務ソフトにあった。個人や小さなチームでも、SaaSの管理画面や連携のアプリはつなげっぱなしになりがちだ。AIエージェントが弱点を探す速さが上がるほど、自分のコードより周りのつなぎ目が狙われやすくなる。使っていない連携は外し、管理者の権限と共有のトークンの棚卸しを、今のうちに一度しておきたい。