AIエージェント、Anthropicの業務システムに侵入経路を発見

サイバーセキュリティ企業Cathedralによると、同社が稼働させたAIエージェントが、他社製ソフトウェアを経由してAnthropicの社内業務システムに侵入する経路を発見した。Anthropicは、研究者が営業、人事、IT関連の限られたシステムにアクセスしたことを認めている。そこには一部の顧客やパートナーの連絡先、基本的なアカウント情報が含まれていた。

Anthropicによると、Claudeの会話、ソースコード、モデルの重みは流出していない。同社は侵害を発見した当日に該当するアクセス経路を遮断し、問題への対応中は外部プログラムを無効化したうえで、米連邦当局に通報した。研究者が具体的にどの記録を閲覧したのか、影響を受けた人数は何人かについて、同社は公表していない。

企業や政府機関向けにAIを活用したセキュリティツールを販売するCathedral。その研究者らは、The Washington Postが確認した報告書の草案で、エージェントが12時間足らずで会議の文字起こし、給与情報、求人情報、Slackのメッセージなどにたどり着いたと述べた。こうした主張と、アクセスされたデータを限定的とするAnthropicの説明には隔たりがあり、両社は事案の期間と範囲について見解が異なる。

両社の主張が食い違う点

Cathedralは、事案は12時間足らずで終わったと説明している。一方、Anthropicは、一連の調査は数日にわたったとしている。同社のレッドチーム担当者Logan Grahamによると、研究者らは外部ソフトウェアに目を向ける前に、数日間Anthropicのシステムを調査していた。Anthropicは、Cathedralがそこで2件の脆弱性を見つけたものの、報告したのは1件だけで、もう1件は同社が独自に発見して修正したとしている。

Anthropicはまた、Cathedralの行為は、セキュリティ上の欠陥を報告した研究者に報酬や評価を与える同社のバグ報奨金プログラムの規則に違反していたと主張する。Grahamは、外部サービス事業者を標的にしてデータを取り出す行為は、同プログラムのセーフハーバー保護の範囲を超えていたと述べた。Cathedralは、標準的なセキュリティ調査の手法に従ったとしている。Grahamは脆弱性の発見を歓迎したが、事案の機微性を理由に、アクセスされた情報の詳細は明らかにしなかった。

最も広範な主張については、依然として異論がある。元OpenAI社員のWill Depueは、信頼できると考える情報筋から、CathedralがAnthropicのSlackワークスペースで完全な管理者権限を持ち、すべてのメッセージを読めたうえ、任意のユーザーとしてログインできたと聞いたと述べた。Grahamは、Depueの情報筋は誤っていると反論した。Anthropicは、この食い違いを解消する公的な説明をしていないため、これらの主張を確認済みの事実として扱うべきではない。

経緯

報告された侵入経路はClaudeそのものではなく、Anthropicにつながる外部の営業・管理用ソフトウェアだった。この違いは重要だ。同社によると、AIとのチャットやモデル資産には影響がなかった一方、業務システムや情報の一部は露出した。AI企業Cognitionのセキュリティ責任者Alex StamosはThe Washington Postに対し、外部アプリとの連携は業界全体で大きな問題であり、Anthropicは外部サービスをもっと強固に保護できたはずだと語った。

この事案は、セキュリティ検査ツールを使えば、弱点を素早く見つけられることも示している。Grahamは、攻撃者はすでにAIエージェントを継続的に稼働させ、外部の依存先を狙っていると述べた。また、最新モデルよりかなり前のシステムでも、こうした作業に十分な能力を持つ場合があると指摘した。これはGrahamの見解であり、あらゆるAIエージェントが企業ネットワークに侵入できることを示す証拠ではない。Cathedralの説明が示しているのは、連携先の業務ソフトウェアに脆弱性を見つけた、特定の調査事例だ。

今後の対応

Anthropicによると、問題が解決するまで影響を受けた外部プログラムを無効化し、同社が独自に発見した脆弱性にはパッチを適用した。Cathedralがアクセスしたすべての記録について、同社は公的な説明を発表しておらず、侵害の内容をめぐる双方の説明にも決着はついていない。The Decoderによると、Grahamが提案する対応策は、認可を得たうえで弱点を探す内部侵入テストを継続的に行うことと、ソフトウェアが指定されたルールに従うかを確認する形式検証を用いてソフトウェアを再構築することだ。

他社にとっての実務的な教訓は、自社製品のセキュリティだけでなく、社内システムにつながる外部サービスも調べることだ。ただし、現時点で明らかになっている情報からは、Cathedralの発見が特定の事業者に共通する欠陥を示しているのか、Anthropic固有の設定に起因するのかは分からない。また、連絡先情報を超える顧客データにアクセスされたことも確認されていない。