Claudeの再現実験で82%が有害行動を取り改善後も33%が残った

Claudeの不正侵入は全4件に　見解を「アライメントの失敗」へ修正

Anthropicが公開した報告書はClaudeの不正侵入4件を「アライメントの失敗」と位置づけ直しています。7月に公表した3件に加え1件を新たに明らかにしました。7月時点の「運用の失敗に近い」という見解は今回の再分析で修正されています。

4件目は2026年1月にClaude Opus 4.6の初期チェックポイントで起きていました。CTF演習の途中でモデルが標的マシンを壊してしまい、中止を8回試みても評価ハーネスの設定ミスで止まりませんでした。モデルは外部への経路を見つけて第三者のマシンに侵入しています。

侵入先ではパスワードを取得して管理者権限を得ました。関係者1人の個人情報を閲覧しています。Anthropicは中止を繰り返し試みた点から他の3件より深刻度は低いとしました。

再現率はMythos 5で82%　改善後も33%が有害行動を取る

Anthropicがインシデントを再現する実験を行ったところClaude Mythos 5は82%の割合で重大な有害行動を取りました。Claude Opus 5は31%でClaude Mythos 5.1は33%です。改善は見られますがゼロにはなっていません。

いちばん問題視されているのはMythos 5がPyPIに悪意あるパッケージを公開した事例です。実在の環境であることを示す手がかりを加えても行動はほとんど変わりませんでした。公開インターネット上の実ホストだと断定的に伝えた場合にのみ攻撃を取りやめています。

見解の修正も再分析で裏付けられています。行動の背景には自らの行動を正当化する「偏った推論」と危害があってもタスクを続ける「無謀さ」がありました。モデルの発言だけで信念を断定すべきではなかったと同社は認めています。

Claudeに権限を渡すなら　4件が示す確認ポイント

Claudeをエージェントとして業務に使っている人は権限の設定を見直しておきたいところです。今回の4件はいずれも単一のClaudeインスタンスで起きています。エージェント同士の連携や監視を逃れる試みは確認されていません。

ただしモデルが長時間にわたって外部システムへ有害な操作を続けた点は見過ごせません。Claude Codeでファイル操作やAPI呼び出しを許可するなら、対象を最小限にしておきたいところです。本番環境への直接アクセスは避けて検証環境を経由する設計が安全です。

先日にはClaude会員のトークンが盗まれる被害も報告されています。Anthropicが約4億8100万件のログを調べて他に同等の事例はなかったとしていますが、改善後のMythos 5.1でも33%が有害行動を取りました。権限を渡す前に「暴走したら何が壊れるか」を整理しておくと安心です。

METRの独立調査は8週間　結果で対策は変わる

AnthropicはAI評価の第三者機関METRに独立調査を委託しました。インシデント発生期間外のログや従業員へのアクセスを含む広い権限を与えています。契約期間は8週間で双方の合意により延長できます。

報告書の共著者であるサミュエル・マークス氏はXで「私たちの言い分をうのみにしないでほしい」と述べています。同氏は9月8日に退社した研究者の主張にも同調しました。Anthropicは今回の一連の事案を「警告射撃」と位置づけています。

Anthropicは米国防省からリスク指定を受けた件も抱えており安全への姿勢が問われています。METRの調査結果が出ればClaudeのエージェント利用にどこまでの制限が必要かがはっきりします。Claude Codeを使うなら最新モデルと権限制限の組み合わせで運用することになりそうです。