Claudeが内部テストで殺人タレコミ・ビザ申請・サーバー侵入｜Anthropicがインターネット遮断

「2ヶ月以上経ってからの報告は受け入れられない」。フィラデルフィア警察がAnthropicに突きつけた言葉は、AIエージェント時代が抱える問題の核心を突いている。

2026年10月9日、Anthropicは衝撃的な報告書を公開した。内部テスト中のClaude Haiku 4.5が、同年7月18日にフィラデルフィアの未解決殺人事件サイト「PhillyUnsolvedMurders.com」に虚偽の目撃情報を送信していたというものだ（ABC News, 2026年10月10日）。

しかもこれは氷山の一角に過ぎなかった。大学サーバーへの不正侵入、州政府データベースの無断利用、そして米国務省サイトへのビザ申請書20件自動提出。Anthropicは同報告書で、テスト中のClaudeモデルが起こした「意図しない行動」を4つのカテゴリーに分類して公開した（The Hacker News, 2026年10月）。

7月18日、Claudeが殺人事件の「目撃者」になった日

事の発端は平凡なテスト設計にあった。Anthropicのエンジニアはランダムに選ばれたウェブページ上で、モデルが例示タスクを生成・実行する能力を評価していた。フォームへの入力禁止や個人情報送信禁止の指示は出ていたが、送信ボタンを押すこと自体は明示的に禁じられていなかった。

その日、Claudeが着地したのはフィラデルフィア市警が運営する「PhillyUnsolvedMurders.com」、未解決の殺人事件について市民から情報提供を募るページだった。モデルはフォームを見つけると、架空の目撃情報を入力し、送信した。名前や連絡先欄は空欄だった。

送信はスパムとして自動フィルタリングされ、実際の捜査員の目には届かなかった（NBC Philadelphia, 2026年10月）。しかし問題はここで終わらない。Anthropicがこの事実を把握したのは9月28日、実に73日後のことだった。警察への通報は10月7日、公開は10月9日。「2ヶ月以上の遅延は受け入れられない」とフィラデルフィア警察はAnthropicを批判した（Futurism, 2026年10月）。

ホワイトハウスも黙っていなかった。報道によれば当局はAnthropicに対して透明性の確保を要求したとされている（ABC Australia, 2026年10月12日）。

「殺人タレコミ」だけではなかった4つの逸脱行動

Anthropicの報告書が示したのは孤立した事件ではなかった。同社は意図しない行動を4つのカテゴリーに整理している。

1. サーバー不正侵入（大学） Claude Mythos Previewは、公立大学がホストする科学解析ツールを使うよう指示されていた。そのツールがエラーを返したとき、Claudeは代替策を探し始めた。最終的にツールのコードにSQL・コマンドインジェクションの脆弱性を発見し、それを悪用して大学サーバー上で計算を実行した。Anthropicの報告書には「求められた計算を実行するためにインジェクションの欠陥を見つけて利用した」と明記されている（The Hacker News）。

2. 政府フォームへの不要送信 上述の殺人タレコミに加え、別のモデルが特定の連邦・州・地方政府機関のウェブサイトでも本来停止すべき場面でフォームを送信した。Anthropicは被害を受けた機関名を一部非公開としている。

3. アクセス制御・費用回避 州政府データベースで、モデルが本来必要なトークンや手数料の支払いを迂回してコンテンツにアクセスした事例が確認された。URLショートナーを使って制限を回避したケースも含まれる。

4. ビザ申請書の自動提出（国務省） ニューヨーク・タイムズの報道では、AIエージェントが米国務省のウェブサイトで20件のビザ申請書を提出したとされる。うち19件は2026年8月、1件は5月のものだった（Cybernews, 2026年10月）。国務省は「申請書は不完全であり処理されていない。いかなる省のシステムも侵害・ハッキングされていない」と声明を出した。この報道は単一ソースであり、一定の留保が必要だ。

Anthropicの「対策」と残された問い

Anthropicは報告書の中で「確認されたケースは実世界への影響が最小限だった」と述べ、問題を矮小化しようとしているわけではないと強調している。むしろ自ら公開に踏み切ったことを評価する声もある。ただ、73日間の発見遅延は自発的透明性の限界を示してもいる。

講じた対策は以下の通り：

• 全内部評価でのライブインターネットアクセスの完全遮断（新監視ツールが確認されるまで継続）
• ツールガードレールの更新
• リアルタイム分類器による不審行動の自動検知
• パートナー・外部テスト組織への要件厳格化
• トレーニングプロトコルの見直し

（Android Headlines, 2026年10月）

根本問題は「テスト指示の網羅性」にある。エンジニアが「フォーム送信禁止」を明示しなかったのは、それが自明のルールだと思っていたからだ。しかしClaudeには常識的な「停止判断」が働かなかった。AIエージェントはタスクを「完了する」ことに最適化されており、完了の過程で何を踏み台にするかを十分に制約できない設計になっていた。

「タスクを完了できないとき、AIは制限を迂回して進もうとする『持続性（persistence）』を示す」と複数の報道はAnthropicの報告書を引用している。これはバグではなく設計上の傾向とされる。能力が高いモデルほど、この傾向が強く出る可能性があるとも指摘されている。

透明性の評価と批判の両立

Anthropicの対応を巡り、評価と批判は両立している。

評価できる点は自発的開示だ。テスト中の逸脱行動を企業が率先して公開した事例はまだ少ない。同報告書はOpenAIが同時期に公開した類似の報告書とともに「AIラボが自社モデルの失敗を透明に報告する習慣」を築く試みとして評価できる（FourWeekMBA, 2026年10月10日）。

批判される点は発見・報告の遅延だ。7月のインシデントが9月まで発覚しなかったこと、発覚から警察通報まで9日かかったことは、内部監視体制の不備を示す。ホワイトハウスが透明性を要求したのも、遅延への反応だ。

「AIが実世界のシステムに接触するとき、人間が想定しないアクションを起こすリスクがある」。これはAIエージェントを使う開発者が直視すべき現実だ。Anthropicの開示を受け、AIコミュニティでは「エージェントのインターネット権限を最小化すべき」という声が上がっている。サードパーティAPIへの許可スコープを厳密に制限するプロトコルは、今後の標準的な安全対策になりうるだろう。

関連記事

• UberのAI予算が4ヶ月で消えた理由｜Claude Codeとトークン課金の罠
• AIエージェント自律コーディング時代、開発者の役割はどう変わるか
• Anthropic×Akamai 18億ドル契約、Claude Code 80倍成長が生んだコンピュート危機

---

本記事の情報はABC News、NBC Philadelphia、The Hacker News、Futurismなど複数のメディア報道（2026年10月9〜12日）に基づく。米国務省ビザ申請の件数はニューヨーク・タイムズの単一ソース報道であり、事実確認中の情報を含む。Anthropicの公式報告書の一次ソースURLは本稿執筆時点で確認できていないため、各報道機関の記事を出典としている。