2026年10月26日、ワシントン・ポストが報じたセキュリティテストが、Anthropicを気まずい立場に置いた。テストのために送り込まれたAIエージェントが、12時間もかからずに同社の営業・人事・ITシステムの一部に到達したのだ。Anthropicはその範囲を認め、アクセス経路を遮断し、連邦当局に報告したと説明した。まず押さえておきたいのは、これが外部からのハッキングではないということだ。Anthropic自身が外部研究者に依頼した正規のテストだった——そして正規だったからこそ、露呈した問題は真剣に受け止めるべきである。
エージェントはどうやって入り込んだのか
ワシントン・ポストが入手したCathedralの草案報告書によると、研究者が突いたのは最先端モデルそのものではなく、Anthropicが日常の事務や営業で使っている業務ソフトウェアの脆弱性だった。エージェントはその権限の連鎖をたどり、会議の記録、給与や採用の情報、先端モデルについて語る社内メッセージへの経路を見つけたという。これらの詳細は現時点では草案報告書によるもので、Anthropicが公に認めたのは範囲だけだ。すなわち営業・人事・ITシステムの「限られた一部」である。前者はテスト側の主張、後者はテストを受けた側の確認として区別しなければならない。
正規のテストと侵入の違い
Cathedralは普通の外部企業ではない。米政府効率局の元職員らが設立した創業間もないサイバーセキュリティ新興企業で、政府や企業向けにAIセキュリティツールを販売し、投資家からの評価額は14億ドルに達している。今回の作業は、Anthropicが外部研究者に自社システムのテストを呼びかけるプログラムの下で行われ、結果は10月初めにAnthropicへ開示されていた。つまりAnthropicは、誰かがシステムに入ったことを後から知ったのではない。欠陥を探すよう依頼し、見つけてもらい、塞いだのである。これを「Anthropicがハッキングされた」と書けば読者を誤解させる。本当のニュースは、誰かが防御を破ったことではなく、自ら依頼したテストの前で防御が半日も持たなかったことだ。
企業が本当に警戒すべきこと
ここでの衝撃は、単一の脆弱性ではなく、速度と汎用性にある。エージェントは徹夜で攻撃コードを書く必要はない。権限を試し、システムをつなぎ、文書を読み続けることで、人力なら数日かかるテストを数時間に圧縮できる。報道によれば、突かれた業務ソフトウェアはAnthropic特有のものではなく、多くの企業が事務や営業で似たツールを使っている。つまり似た権限の連鎖は他社にも存在しうる。経費やシフト管理だけを扱うように見えるアカウントが、連携と共有権限をたどって、はるかに機微なデータに届く可能性がある。
すでにAIエージェントを使っている企業への教訓は具体的だ。エージェント用のアカウントには必要最小限の権限だけを与え、テスト用アカウントと本番データを厳密に分離し、重要な操作には人の確認と完全なログを求めること。最終成果物だけを見るのでは足りない。さらに重要なのは、セキュリティテストを「モデルが誤った発言をしないか」だけで終わらせないことだ。実際の業務システムの中でエージェントがどこまで進めるかも測らなければならない。テストを依頼し、問題を見つけ、塞いで報告するAnthropicの一連の対応自体に誤りはない。誤っているのは、エージェントにガードレールを付ければ十分だと思い込み、その中でどれほど速く走れるかを計算していないことである。
