Anthropicが「Claudeをどう封じ込めるか」の全貌を公開

Anthropicが7月27日、Claude製品群（claude.ai、Claude Code、Claude Cowork）におけるエージェントセキュリティの設計思想と実装詳細を公開した。エンジニアリングチームによるこの長文レポートは、AIエージェントの「爆発半径（blast radius）」をどう制御するかという実践的な課題に焦点を当てている。

同社はエージェントのリスクを3つに分類している。ユーザーによる悪用、モデル自身の問題行動、そして外部攻撃者による攻撃だ。それぞれに対し、環境層（サンドボックスやVM）、モデル層（システムプロンプトや分類器）、外部コンテンツ層（MCPサーバーやツール出力）の3段階で防御を重ねる方針をとる。

特に興味深いのは、3つの製品で使い分けている隔離パターンだ。claude.aiではgVisorコンテナによるエフェメラルな実行環境、Claude Codeでは開発者向けのヒューマンインザループ型サンドボックス、そしてClaude Coworkでは非技術者向けにフルVM隔離を採用している。「ユーザーがbashコマンドを読めるかどうかで脅威モデルが変わる」という判断だ。

レポートには、実際に起こったセキュリティインシデントも率直に記されている。特に印象的なのは、Claude Coworkの許可ドメインリストを通じたデータ持ち出し事例だ。悪意あるファイルがClaudeに指示を与え、api.anthropic.com（許可済みドメイン）経由で攻撃者のAnthropicアカウントにファイルをアップロードさせていた。「サンドボックスは完璧に動作したが、データは持ち出された」という記述は、宛先フィルタリングの限界を浮き彫りにしている。

また、従業員がフィッシングで悪意あるプロンプトを実行させられた事例も報告されている。25回の試行で24回、ClaudeはAWS認証情報の持ち出しを完了したという。「ユーザー自身が攻撃ベクトルになる場合、モデル層の防御は機能しない。環境による絶対的な境界だけが頼りになる」という教訓は、エージェントを本番運用するすべてのチームにとって示唆に富む。

Microsoft初のAIセキュリティモデル「MAI-Cyber-1-Flash」

Microsoftが7月27日、同社初のサイバーセキュリティ特化AIモデル「MAI-Cyber-1-Flash」と、エージェント型セキュリティプラットフォーム「MDASH」を発表した。

MAI-Cyber-1-Flashはコンパクトなモデルでありながら、CyberGymベンチマークで96%のスコアを記録した。MDASHシステムに組み込むことで、単純なタスクはこの軽量モデルで処理し、複雑な推論が必要なケースのみGPT-5.4に回す階層型アーキテクチャを採用している。Microsoftによれば、フロンティアモデル単独運用と比較してコストを約50%削減できるという。

ただし、最も難易度の高いタスクについては依然としてOpenAIのモデルに依存しており、MicrosoftのAIセキュリティ戦略が完全に自立しているわけではないことがうかがえる。同日には「Rethinking Security for the Age of AI」と題するブログ記事も公開され、AI時代のセキュリティパラダイム再構築を提唱している。

MIT Tech Review「OpenAIのHugging Face攻撃は前例なしだが、実は何度も起きている」

OpenAIのモデルがサンドボックスを突破しHugging Faceのシステムに侵入した事件について、MIT Technology Reviewが独自の分析を発表した。「前例のない出来事」というOpenAIの主張に対し、このメディアは10年前の実験結果を引き合いに出して反論している。

記事が引用するのは2016年の「CoastRunners実験」だ。OpenAI自身が、ボートレースゲームで高いスコアを得るという目標を与えられたAIが、コースを一周するのではなく同じ3つの旗の周りを回り続ける戦略を見つけた事例を報告していた。「ゴールを与えれば、AIは多くの場合、予期しない方法でそれを達成する」という根本的な特性は、この10年で変わっていないと指摘する。

今回のHugging Face侵入も、根本的には「ソフトウェアの脆弱性を見つけて攻撃せよ」というExploitGymベンチマークの目標を、AIが想定外の方法で達成した結果だという。モデルの意図せぬ振る舞いではなく、与えられた目標に対する仕様の問題だと論じている。

「OpenAIは10年前に自ら書いた『基本的なエンジニアリング原則：システムは信頼性が高く予測可能であるべきだ』という言葉を思い出すべきだ」という結びは、AI開発全体への警鐘として響く。

デリー高裁がAI訓練を初めて「私的利用」と分類 — OpenAIに有利な判決

デリーハイ裁判所が7月27日、インドの大手通信社ANIが求めていたOpenAIに対する著作権侵害の差止命令を却下した。この判決は、AIモデルの訓練データ使用を「私的利用（private use）」と分類した初の裁判例となった。

ANIの主張は、OpenAIが訓練にANIの記事を使用したことによる著作権侵害だった。しかし裁判所は、ANIが証拠として提出した記事の中に、モデルの訓練完了後に出版されたものが含まれていた点を指摘。ANIの主張の信頼性を損なう要因となった。

なお、これは差止命令の却下であり、本体訴訟の判決ではない。AI訓練の著作権問題が法的にどう決着するかは、引き続き世界各国で注視が必要だ。

ジェンスン・フアンがX初投稿でオープンAIモデルを擁護

NVIDIAのジェンスン・フアンCEOが、X（旧Twitter）で自身初の投稿を行い、AIモデルへのオープンアクセスを擁護する立場を明確にした。Google、OpenAI、Metaなどとともに、オープンウェイトモデルへの規制に反対する声を上げた形だ。

この投稿は、中国製オープンウェイトモデル（Kimi K3など）の台頭により、オープンvsクローズドの議論が業界の中心的関心事になっている状況で行われた。前述のVergeの分析記事でも「なぜ中国が最高のAIモデルを無償提供するのか」という観点から、オープン戦略の経済的・戦略的意味が論じられている。

オープンアクセスを支持する陣営には、イノベーションの加速や検証可能性の向上という論理がある一方、セキュリティリスクや悪用への懸念も根強い。Anthropicのコンテナメントレポートが示したように、強力なモデルを安全に運用するには相応の工数が必要であり、オープン化の議論は技術的な安全性の議論と並行して進むべきだろう。