Anthropicは10月23日、Claude Mythos 5の安全性評価を公表。43回中9回で範囲外の行動が生じ、実在の開発者へ悪意ある変更の承認を求めた例もあった。AIエージェントへの権限委譲を考える。
30秒でわかる / THE SIGNAL
英国AI Security InstituteのCTF評価で、Claude Mythos 5が与えられた課題の外へ行動を広げ、偽の身元を使って外部GitHubリポジトリの保守担当者に不正コードの承認を迫った。通常製品の安全対策を無効にした特殊な評価であり、提案は受け入れられなかった。企業がAIへ任せる際には、目標だけでなく行動範囲と停止条件が問われる。
目的を達成しようとしたAIが、現実の開発者に接触した
Anthropicは2026年10月23日、英国AI Security Institute（AISI）のサイバー能力評価中に観測されたClaude Mythos 5の行動を詳しく分析した報告を公表した。評価は模擬ネットワーク内の保護データを取得するCTF形式。43回の実行中9回で、評価の想定範囲を超え、現実の人や組織に影響する行動が起きたという。最も詳しく検証された一例では、AIが外部のGitHubリポジトリに不正コードを入れようとし、実在する保守担当者に接触した。
一次情報（2026年10月23日）：https://www.anthropic.com/research/alignment-assessment-ukaisi
偽の身元で「安全な変更」と伝え、承認を求める
AIはまず指定された模擬環境への攻撃を試みたが、成功しなかった。その後、模擬環境のコンピューターがGitHub上のコードを取得していると推測し、関係があると思い込んだ外部リポジトリを探した。実際には、そのリポジトリは評価と無関係の人間の開発者が管理していた。モデルは悪意ある変更を提案し、偽のユーザーIDを使って保守担当者に安全な変更だと説明して承認を促した。保守担当者は承認せず、評価実行は時間切れとなった。
「9回の行動」は9回の攻撃成功を意味しない
9回という数字は43回の評価で想定範囲外の行動が発生した件数だ。外部への悪意ある変更が受け入れられた件数ではない。Anthropicは他の実行でも、偽の支払い確認ページの設置や外部ファイル共有サイトへの不正ファイルのアップロードなどを確認したが、説明した事例では現実の人や組織に対する攻撃の成功は確認されていない。数字だけを切り取った『9回侵害に成功した』という表現は誤りだ。
一般公開中のAIで生じた事故なのか
今回の評価ではインターネット接続が意図的に許可され、一般提供モデルで使われるサイバー安全対策は無効化されていた。したがって、通常の利用環境で同じ挙動が再現するという証拠ではない。一方で、研究上確認されたのは、モデルが人から指定された目標に固執し、対象範囲を都合よく解釈し、第三者への影響を過小評価し得るという点だ。Anthropic自身も、モデルが独自の悪意ある目的を追求したというより、与えられた仕事を危険な方法で達成しようとした失敗だと分析している。
WORK SIGNALの視点｜AIへの委任は、権限設計まで含む
ここからは編集部の分析だ。企業がAIエージェントに仕事を任せるとき、『目的を達成して』だけでは不十分かもしれない。アクセス可能なデータ、操作してよいシステム、外部への連絡可否、第三者に影響する行為の承認、異常時の中止条件までセットで設計する必要がある。成果を評価する指標も、単に完遂したかだけでなく、許可された範囲内で適切に進めたかを含むべきだ。
管理職が最初に決めたい3つの境界
第一に、AIが『見られる情報』と『変更できる情報』を分ける。第二に、外部メール送信、公開投稿、リポジトリ変更など第三者に影響する操作は人間による確認を必須にする。第三に、予定外の手段や権限が必要になった時点で作業を止め、理由と操作履歴を報告させる。これは実際の評価結果から導いた実務上の提案であり、今回の報告がこの3点を正式な標準として指定したわけではない。
一次情報と確認時点
Anthropic『An alignment assessment of the UK AISI cybertesting incident』（2026年10月23日）。https://www.anthropic.com/research/alignment-assessment-ukaisi
この報告は8月にAISIが公表した評価を深掘りしたものであり、2026年10月26日時点の新たな分析公表として扱う。