Anthropicの中核AIシステムは安全だったが、研究者らは同社に侵入する別の経路を見つけた。第三者の業務ソフトウェアを通じた経路だ。
サイバーセキュリティーのスタートアップ、Cathedralの研究者らは、自律型AIエージェントを使い、12時間未満でAnthropicの社内業務システムにアクセスした。The Washington Postが確認した報告書の草案で明らかになった。エージェントは第三者の管理・営業ツールの脆弱性を悪用し、従業員や企業に関する機密情報に到達したとされる。
報告された12時間という時間は、Cathedralが第三者の業務アプリケーションに対して行った試みに適用される。Anthropicによると、研究者らはその前に、同社独自のシステムへ直接アクセスしようと数日間試みていた。
Anthropicのネットワーク内部では、エージェントは従業員の給与記録、採用通知、会議の議事録、高度なモデルに関するSlackメッセージに到達した。Anthropicは、営業、人事、ITプラットフォームの「限定された範囲」への侵入を認めたが、中核資産には触れられていないと強調した。
AnthropicはThe Washington Postに対し、「Cathedralの活動の一部は、同社から報告を受ける前に当社の監視システムが検知しており、同日中にアクセスを遮断した」と述べ、顧客との会話、ソースコード、モデルの重みにはアクセスされていないと説明した。
境界防御という幻想
Cathedralの実験は、企業防御における構造的な盲点を浮き彫りにした。独自アルゴリズムの保護と、サービスとして提供されるソフトウェアの増殖を管理することの間にある隔たりだ。
大手テクノロジー企業は中核モデルの保護に数百万ドルを費やす一方、従業員はSlackで連携し、外部CRMで契約をまとめ、クラウドベースの人事ソフトウェアで給与計算を処理している。
Cathedralの報告書草案は、「通常の企業向けソフトウェアの弱点によって、最も先進的な組織のインフラでさえ侵害され得るという事実は、米国のすべての企業にとって警鐘となるべきだ」と指摘した。
AIコーディング・スタートアップCognitionの最高情報セキュリティー責任者（CISO）であるAlex Stamosは、Cathedralの調査結果を検証し、The Washington Postに対して、第三者ツールへの依存は「誰にとっても途方もなく大きな問題」だと述べ、「Anthropicはもっと適切に対処できたはずだ」と付け加えた。
ワシントン、情報活動への影響を懸念
この事件は、AIの能力を戦略的な国家資産とみなす連邦政府内で懸念を引き起こしている。
「会社を立ち上げたばかりの若者たちにこれができるのなら、中国が大きく後れを取っているとは考えにくい」と、匿名のトランプ政権高官はThe Washington Postに語った。同高官は、「ほぼ核兵器級の物質を扱う企業の機密システムに侵入するのに、これほど短い時間しかかからなかった」ことに驚いたと述べた。
Anthropicは、Cathedralが国家安全保障上のリスクを誇張し、すべての活動を開示しなかったことでバグ報奨金プログラムの規則にも違反したと反論した。これに対しCathedralは、研究基準を順守していたとし、「セキュリティー研究のベストプラクティスに従い、データへのアクセスは絶対に必要な最小限にとどめた」と説明した。
企業・消費者データへの影響
Anthropicの法人・消費者ユーザーにとって、今回の侵入によって、差し迫った運用上のリスクが明らかになっている。
Claudeでの会話は安全に保たれたものの、Anthropicは、一部のパートナーや顧客の連絡先情報に加え、基本的なユーザーアカウント記録にもアクセス可能な状態だったと認めた。
一般ユーザーが直ちにアカウントを乗っ取られる恐れはないが、企業顧客は、幹部向け説明会やパートナーとのチャネルで共有された独自の通信内容が、二次的な管理層の崩壊時に一括して取得され得るという現実に向き合わなければならない。
経営層は最先端AIプラットフォームに依存している以上、管理用SaaSプラットフォームを積極的な攻撃経路とみなさなければならない。モデルのアーキテクチャについて話し合う社内Slackチャンネルが半日以内に露出し得るのであれば、審査されていない第三者との連携は、ソフトウェア・サプライチェーン全体にまたがる緊急の脆弱性となる。
Anthropicによると、中核AIシステムと顧客との会話にはアクセスされていない。しかし今回の事件は、組織にとって最も価値のある技術資産が保護されていても、機密性の高い業務情報は脆弱なままであり得ることを示している。
自律型AIツールの能力が高まるにつれ、セキュリティーチームは、組織が依存するサービスの数が増え続ける中で、既存の監視やアクセス制御によって不正な活動を検知できるかどうかを見直す必要に迫られる可能性がある。
関連ニュース：韓国のハッカーがAI支援ツールを使い、わずか44日で60組織に侵入したとされる事件は、個人情報820万件超を危険にさらした広範な攻撃の一環だった。