セキュリティスタートアップのCathedralは、Claudeモデルの開発元であるAnthropicが使用するサードパーティソフトウェアの脆弱性を12時間以内に特定したと主張している。同社は一部の内部システムへの限定的なアクセスを認めたが、ユーザーとの会話やモデルの構成要素は閲覧されなかったと説明している。
複数のタスクを自動的に連鎖実行できるプログラムであるAIエージェントは、脆弱性の発見と攻撃能力の両方を加速させる可能性がある。セキュリティ企業のCathedralによる予備報告書によると、同社の研究者は12時間以内にAnthropicの複数の内部システムへのアクセス経路を発見したという。ワシントンポストが入手したこの文書は、会議議事録、給与データ、同社の先進的AIモデルに関するSlackでのやり取りなど、潜在的にアクセス可能な情報に言及している。
Anthropicは、研究者が数日間かけて同社のソフトウェアへの直接侵入を試みたが成功しなかったと説明している。その後、研究者は脆弱なサードパーティの業務アプリケーションに目を向けたという。「12時間以内」というのは、成功した調査フェーズのみを指し、試行全体を表すものではない。公開された情報によると、アクセスはClaudeやその学習インフラを直接攻撃したのではなく、業務および管理活動に使用されるソフトウェアを悪用して得られたという。これらのソフトウェアの開発元は公に特定されていない。
事件の核心にある脆弱性開示プログラム
Cathedralは、公共支出削減を担当したトランプ政権の機関であるDepartment of Government Efficiency (DOGE)の元メンバーによって設立された。同社は、特に政府用途向けにAIを活用したサイバーセキュリティ能力を開発している。Anthropicの脆弱性開示プログラムの枠組みで調査を行ったと主張しており、このプログラムは外部研究者が特定の保護策をテストし、発見した脆弱性を報告することを許可している。結果はAnthropicおよび関連ベンダーに報告したとしている。
評価が分かれる影響範囲
Anthropicは、研究者が同社のビジネス、人事、ITシステムの限られた範囲に到達したことを認めている。顧客やパートナーの業務連絡先、および一部のユーザーアカウントに関する基本的な情報がアクセス可能だった。一方、同社は、ユーザーとClaudeとの会話、モデルの応答、ソースコード、学習済みパラメータは閲覧されなかったと主張している。Cathedralの活動の一部は研究者による報告前に監視メカニズムによって検知され、同日中にアクセスを遮断し、ベンダーによる修正を待つ間、関連ソフトウェアを無効化したと説明している。また、同じ脆弱性を他の攻撃者が悪用したことを示す証拠はないとしている。
両社はインシデントの解釈を異にしている。Cathedralは自社の結果を、AIの新興攻撃能力に関する警告として提示している。一方、Anthropicは、同スタートアップが発見事項の国家安全保障への影響を誇張し、研究プログラムの規則に従って活動全体を報告しなかったと非難している。現時点で公開されている情報からは、Anthropicのモデルが侵害されたと結論づけることはできない。しかし、業務アプリケーションへの限定的なアクセスが機密情報を暴露しうることを示している。
