AIエージェントがAnthropic内部に12時間で到達｜Cathedralの認可テストと割れる評価

セキュリティ企業Cathedralが、AIエージェントを使った侵入テストで、Anthropicの外部研究者プログラム（バグバウンティ）経由で約12時間で同社の内部業務システムの一部に到達したと、The Washington Postが2026年10月26日に報じた。扇情的に読むと「AI企業が破られた」になりかねないが、実態は認可されたセキュリティテストであり、しかも到達範囲はCathedralとAnthropicで主張が食い違っている。本記事は両者を出典つきで対等に並べ、開発者が取るべき打ち手へ落とす。

サプライチェーンや外部依存からの侵入を体系的に押さえる全体像は、関連記事のサプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめている。本記事はその中で「AIエージェントが攻撃側に回ったときの速さと、外部SaaSの盲点」を扱う一手だ。

何が起きたか｜認可テストでAIエージェントが約12時間で内部へ

まず押さえるべきは、これが認可されたセキュリティテストだという点だ。The Washington Postによれば、Cathedralの活動はAnthropicの外部研究者プログラム（バグバウンティ／脆弱性開示プログラム）の下で行われており、無許可の犯罪的な侵入ではない。

報じられた筋立てはこうだ。Cathedralは自社のAIエージェントに侵入テストを任せ、Anthropicが営業・人事・ITといった業務に使う外部ソフトに接続されたサービス群を横断させた。AIエージェントがそれらの間で欠陥を見つけ、連鎖させることで、約12時間という短時間で内部業務システムの一部への経路を見つけたとされる。注目されたのは侵入の有無そのものより、接続サービスをまたいだ偵察から初期侵入までを、人手より速く自動で回せた速さだ。

今回の手法は攻撃役のAI（AIレッドチーム）に偵察・権限昇格・横移動といった攻撃者の動きを疑似的にやらせ、防御側の穴を実地で洗い出すものだと整理できる。人間のペネトレーションテストと目的は同じで、両者の守備範囲の違いは脆弱性診断とセキュリティレビューの違いにまとめたが、今回は接続サービスをまたいだ探索を並行して高速に回せる点が加わる。約12時間という数字が語るのは、「侵入できたかどうか」よりも「初期侵入までに要する時間が、攻撃側のAI自動化でどれだけ縮むか」という時間軸の変化だ。

ここで断っておくと、入口になったのはAnthropicのコアAIモデルや独自コードではない。報道では、行政・営業業務に使う第三者製の「無名のサードパーティ製ソフト」の弱点が突かれたとされる。ただし技術的な侵入経路の完全な詳細や、具体的なソフト名・エクスプロイト手順は公開されていない。本記事もそこを推測で埋めることはしない。Anthropicへの侵入という見出しだけが独り歩きしがちだが、確定しているのは「認可枠の中で、外部ソフト経由の経路が見つかった」ところまでだ。

到達範囲は係争中｜Cathedralの主張とAnthropicの確認を対等に並べる

この件でいちばん評価が割れているのが「どこまで到達したか」だ。侵入テストの成果として、CathedralとAnthropicは異なる範囲を語っている。どちらか一方を採らず、誰がそう言っているかを明示して並べる。

表のとおり、Cathedralのドラフト報告はより広い到達範囲を描き、Anthropicの声明はより限定的だ。The Washington Postが確認したのはCathedralのドラフト（草稿） であり、確定した第三者検証ではない点にも注意したい。読者としては確定事実（認可テストであること、入口が外部ソフトだったとされること）と、各社の主張（具体的な到達範囲）を切り分けて読むのが安全だ。

運用面の争いと、Anthropicが取ったとされる対応

到達範囲に加えて、テストの進め方をめぐっても両社の見解は分かれている。ここもAnthropic側の主張として引く。

Anthropicは、Cathedralが国家安全保障の角度を誇張し、全活動を開示せずプログラムの規則に完全には従わなかったと述べている。一方のCathedral側は自社の発見を国家安全保障上の重大なリスクとして位置づけている。背景として、Cathedralは元政府関係者が立ち上げた企業であり、報道（Reuters報道を複数メディアが引用）によれば2026年7月に約1億6,000万ドルを調達し評価額は約14億ドルとされる。共同創業者のGavin Kliger氏は元Pentagonの最高データ責任者（元DOGE系）で、ホワイトハウス報道官が国家安全保障上の懸念を表明したとも報じられた。こうした政治的文脈が評価の対立を一段複雑にしている。

対応については、Anthropicは報道の中で次のように説明したとされる。確定した事実ではなく同社の説明として読んでほしい。

ここで過大解釈を避けたい。「他者による悪用の痕跡は見つからなかった」は、他者が悪用できなかったことの証明ではない。痕跡が見つからなかったという同社の調査結果であって、第三者が同じ弱点を突けたかどうかは別の問いだ。この区別は同種の事案を読むときに繰り返し効く。

開発者への教訓｜攻撃側のAIと、無名サードパーティSaaSの盲点

ここからが、柱としてのセキュリティで読者が持ち帰るべき部分だ。この件は「AI企業が破られた」という扇情ではなく、認可テストが示した、AI時代の攻撃の速さとサードパーティの盲点として整理すると実務に落ちる。

第一の教訓は、AIエージェントが攻撃側で効くことだ。接続されたサービス間を横断して欠陥を見つけ、連鎖させる偵察から初期侵入までを、人手より速く回しうる。約12時間という数字は防御側にとっては「検知・最小権限・サードパーティ監査を一段速める必要がある」という読み替えになる。攻撃の自動化が速まるなら、守りの反応速度もそれに合わせざるを得ない。AI企業の内部環境を対象にした別角度の研究としては、隔離の限界を扱ったOpenAIのAIエージェント封じ込め研究もあわせて読むと、攻撃・防御の両面でAIを前提にした設計の難しさが見えてくる。

第二の教訓は、コアより無名のサードパーティSaaSが泣き所だという点だ。AI企業ですらモデルの重みやソースコードは守られ、入口になったのは営業・管理の外部ソフトだった（とされる）。守る対象の本丸はしばしば本体のコードではなく、業務周辺の外部ツールの可視性と権限分離にある。これは自組織にそのまま当てはまる。

サードパーティの脆弱性が入口になる構図自体は新しくないが、今回の件はその優先順位を具体例で裏づけた。盗難トークンから外部サービスを踏み台にする盗難GitHubトークンでActionsを悪用する進行中攻撃のように、外部に預けた認証情報や接続が攻撃面になる事例は続いている。自社で書いたコードの脆弱性管理に目が向きがちな一方で、営業・人事・ITが日々使う外部SaaSは「業務ツール」として棚卸しの外に置かれやすい。接続されたサービスが多いほど、AIエージェントが横断して欠陥を連鎖させる面は広くなる。守りの設計では、コア資産の防御と同じ重さで、周辺の外部ツール群をひとつの攻撃面として扱う必要がある。

いずれも新しい概念ではないが、「AI企業の内部テストでも入口は周辺の外部ソフトだった」という具体例は、優先順位を本丸の周辺へ引き戻すきっかけになる。自分の環境で確かめる第一歩は、外部SaaSの棚卸しと、各ツールが持つアクセス権の確認だ。

参照ソース

• Researchers at cybersecurity start-up Cathedral got inside Anthropic（The Washington Post, 2026-10-26） — 発端の報道。Cathedralのドラフト報告を同紙が確認し、認可テストであること・約12時間・到達範囲をめぐる両社の食い違いを伝えている
• Responsible Disclosure Policy（Anthropic） — 今回のテストが行われた外部研究者プログラムの公式ポリシー。対象システムと報告の枠組みを定める