Anthropicに侵入：CathedralのAIエージェントが12時間未満で社内システムへ

10月26日、Washington Postが報じたところによると、スタートアップCathedralのAIエージェントが12時間足らずでAnthropicの社内システムへの侵入経路を見つけました。Claude経由ではなく、同社が使っている外部の営業・人事・ITソフトウェア経由です。CathedralによるAnthropicへの侵入はAnthropicの脆弱性報告プログラムの一環として行われたテストで、いま両社はエージェントがどこまで到達したのかをめぐって対立しています。

CathedralのエージェントはどうやってAnthropicに侵入したのか？

Washington Postが入手したCathedralの報告書草案をもとにしたDecryptの記事によると、流れは次のとおりです。

1. エージェントは数日間、Anthropicのソフトウェアに直接侵入しようとしましたが、うまくいきませんでした。
2. そこで標的をサードパーティのツールに切り替えました。ほかの多くの企業も使っている管理系・営業系のアプリです。
3. この経路で、12時間足らずのうちに機密データへの経路を見つけました。

Cathedralのエージェントは、人間が一歩ずつ承認しなくても複数ステップのタスクを実行します。侵入に使われたシステムのベンダー名は、まだ明らかにされていません。

何が見つかり、Anthropicによれば何が起きなかったのか？

ここで両者の説明が食い違います。Cathedralの報告書には、会議の文字起こし、給与データ、採用オファーへの経路に加え、Anthropicの最先端モデルに関するSlackのメッセージが挙げられています。

Anthropicは、営業・人事・ITシステムの「限られた」部分（原文では「limited set」）へのアクセスがあったことを認めました。そこには一部の顧客やパートナーの連絡先と、ユーザーアカウントの基本データが含まれていました。同社によれば、研究者は顧客とClaudeの会話、ソースコード、モデルの重みには到達していません。

Anthropicによると、同社の監視はCathedralが報告する前にその活動の一部を検知しており、同日中にアクセスを遮断しました。影響を受けたアプリは、ベンダーが修正を確認するまで停止されました。同社によれば、Cathedral以外の誰かがこれらの穴を悪用した形跡はありません。

何をめぐって対立しているのか？

論点は2つです。1つ目はプログラムのルールです。Anthropicによれば、Cathedralは社内システムでの活動をすべて開示しておらず、ルールを完全には守っていませんでした。一方、報告書草案には、データへのアクセスは「セキュリティ研究のベストプラクティスに従い、必要最小限に抑えた」（原文は「kept to the absolute minimum in accordance with security research best practices」）とあります。

2つ目は脅威の大きさです。報告書はすでに米国政府内で出回っています。匿名の政府高官はWashington Postに対し、「会社を立ち上げたばかりの若者たち」にできるのなら「中国もそう遠くないかもしれない」と語りました（原文は「If a bunch of kids who have just started a company can do this… then potentially, the Chinese aren’t far behind」）。Anthropicは、Cathedralが国家安全保障上の意味を誇張していると見ています。

Cathedralとはどんな会社か？

数か月前に元DOGEスタッフ4人が設立した、ごく若い会社です。7月には評価額14億ドルで1億6000万ドルを調達しました（Decryptの記事による）。Digital Trendsによれば、すでに連邦機関とサイバーセキュリティ分野の契約を結んでいます。

AIの世界で新しいことなのか？

穴のあるサードパーティ製ツールから侵入するのは、昔からある手口です。新しいのは、その作業をAIエージェントが数時間でこなしたこと、しかも自ら最強クラスのモデルを開発し、重みの保護について盛んに発信している企業が相手だったことです。ご存じのとおり、Anthropicが10月26日に公開したS-1目論見書には、重みの保護を強化するために新モデルのpre-trainingを1か月以上遅らせたと書かれています（目論見書とAnthropic株について書きました）。

これはCairnプラットフォームを使ったAIサイバー攻撃と同じ流れの、もう1つの例でもあります。エージェントは、人間がベンダー一覧に目を通すよりも速く、最も弱い部分を見つけます。

全体は割り引いて受け止めましょう。Cathedralの報告書は公開されておらず、内容は伝聞でしか分かっていません。一方のAnthropicの説明も、事件を小さく見せたい理由がある側のものです。だからこそ、エージェントが「見た」ものについて、これほど違う2つのリストが出てくるわけです。

今後、何に注意すべきか？

1. 最も弱かったのはモデルではなく、ごく普通のSaaSでした。 エージェントやAPIキーを守っている人は、人事・CRM・ITツールの権限も同じように見直すべきです。
2. 監視は部分的にしか機能しませんでした。 Anthropicによれば、監視が検知したのはCathedralの活動の一部で、すべてではありません。
3. エージェントは攻撃にかかる時間を縮めます。 若いスタートアップが12時間でできたのなら、友好的でないグループにもおそらく可能です。

自分たちのエージェント向けの具体的な対策は、AIエージェントのセキュリティのガイドにまとめています。

FAQ

CathedralはClaudeをハッキングしたのか？

いいえ。Anthropicと報道によれば、エージェントは外部の業務アプリ経由で侵入しており、Claudeとの会話、ソースコード、モデルの重みは侵害されていません。

これはハッキング攻撃だったのか？

いいえ。Anthropicの脆弱性報告プログラムの範囲内で行われた、許可されたセキュリティ研究です。争点は、Cathedralがそのルールをすべて守ったかどうかです。

Claudeユーザーのデータは流出したのか？

Anthropicによれば、研究者は一部の顧客やパートナーの連絡先とアカウントの基本データには到達しましたが、会話の内容には到達していません。同社は、ほかの誰かが同じ穴を悪用した証拠はないとしています。