試験中のAIが実企業を攻撃　OpenAIとAnthropicの両社に共通する“落とし穴”

AIエージェントでも攻撃の手口はありふれたもの

　Anthropicが確認した3体のClaudeモデルの挙動には興味深い違いがある。実在システムだと気付いた後の反応が、モデルの世代で分かれたのだ。最も古い「Opus 4.7」は、相手がリアルな組織だと認識してもなお攻撃を続けた。Mythos 5は本物のインターネットに出た可能性を一度は考えたものの、接続の証明書に見覚えがないことなどから、これは「シミュレーションだ」と考え直して攻撃を続けたという。

　一方、最新の社内研究モデルだけは、標的が実在するものだと気付いた時点で攻撃をやめた。指示されずとも危険を認識して手を止める。最新モデルの挙動は、暴走するAIをコントロールできる可能性を示唆している。ただしAnthropicは、統制された比較実験ではないとして結論には慎重だ。

　もう一つ見落とせないのは、被害を広げたのが、ありふれたセキュリティの不備だった点だ。OpenAIのモデルは自社のサンドボックスからの脱出にゼロデイ脆弱性を突いたが、踏み台に使ったModal Labsの評価環境には認証のないエンドポイントなど基本的な脆弱性が残っていた。これはModal上で第三者が運用していたものだ。Anthropicの評価環境がネットにつながっていたのも設定ミスだった。

　Anthropicによると、Claudeが実在システムに侵入した手口も、弱いパスワードや認証のない窓口を突くといった基本的なもので、複雑な脆弱性は使っていない。社内研究モデルは約9000の標的をスキャンして侵入しやすい経路を見つけ出した。高度なAIが全く未知の攻撃で防御を破ったというより、従来からある穴を機械の速度で容赦なく突いた――。そこに、この二つの事案の警鐘がある。

　AIの攻撃が人間によるものと著しく違うことは、関係者の証言から明確になった。Hugging Faceのレポートは攻撃の各段階が「機械速度で実行された」と報告している。サイバーセキュリティ企業Zero NetworksのフィールドCTO、Chris Boehm氏はThe Registerに、こう語った。「疲れを知らず、睡眠も必要とせず、ドアノブを一つずつ試すのではなく、1000個のドアノブを同時に試す泥棒を想像してみてください」

　この強力なAIを制御することは急務であり、多くの課題が立ちはだかる。だが同時に、個々のユーザーが恐ろしい攻撃に備えるための対策は、「ありふれた」穴をきちんとふさぐことで改善できる。それが今回の教訓と言えるだろう。