設立からわずか数カ月のサイバーセキュリティ企業Cathedralは、同社のAIエージェントが12時間足らずでAnthropicの社内業務システムへの経路を見つけ、会議の議事録、給与やオファー情報、そして従業員がフロンティアモデルについてSlackで交わしたメッセージにまで到達したと主張している。Anthropicはその後、販売・人事・ITシステムの一部にアクセスがあったことを認めたが、顧客がClaudeに送ったプロンプト、Claudeの応答、ソースコード、モデルの重みには触れられていないとしている。
このテストは、Anthropicが外部の研究者向けに設けている脆弱性報奨金（バグバウンティ）の枠組みに沿って行われたもので、犯罪的な侵入ではなく許可を得たテストにあたる。事案はワシントン・ポスト紙が報じ、Cathedralの報告書草稿に基づいて伝えられた。
入口はベンダー側にあった
現時点で公開されている情報によれば、CathedralのエージェントはAnthropic自身のコードを攻めたわけでも、モデルに触れたわけでもない。狙われたのは、同社が管理業務や営業に使っている複数のサードパーティ製商用ソフトだ。どのベンダーのどのような脆弱性かは、他者に悪用されるのを避けるためとして双方とも公表しておらず、該当ベンダーには通知済みという。
Anthropicが説明する対応の経緯はこうだ。監視システムはCathedralが報告する前の段階で、活動の一部をすでに検知していた。報告を受けたその日にアクセスを遮断し、影響を受けた業務ソフトを停止して、ベンダーが修正を確認してから再開した。さらに同社は、Cathedral以外の第三者がこれらの弱点を悪用した形跡は見つかっていないとしている。
食い違う双方の主張
対立点は主に二つある。Anthropicは、Cathedralが国家安全保障上の影響を誇張しており、報奨金のルールが求めるようにシステム内での全活動を十分に開示していないと見ている。これに対しCathedralは、セキュリティ研究の慣行に従い、データへのアクセスは必要最小限に抑えたと反論している。
アクセスされたシステムに何が入っていたかについても説明が分かれる。Cathedralの草稿が挙げるのは会議の議事録、報酬、Slackでの議論だが、Anthropicの説明では、一部の顧客やパートナーの業務上の連絡先と基本的なアカウント記録だという。どちらが実態に近いのか、外部からは現時点で確認できない。Cathedralの報告書も、まだ確定版として公開されていない。
この企業の来歴
Cathedralの共同創業者4人、Gavin Kliger、Luke Farritor、Marko Elez、Jack Steinは、いずれもDOGEでの勤務経験がある。Kligerは国防総省の最高データ責任者も務めた。ロイターは7月、同社がa16zとセコイアの主導で1億6,000万ドルを調達し、企業価値は14億ドルと報じた。事業の方向性は、米軍向けに攻撃と防御の両方に使えるAIサイバー戦ツールを提供することだ。政府高官はワシントン・ポスト紙に対し、すでに3つの連邦機関が同社と契約したと述べている。
時系列を並べると、7月に資金を得て、10月には大手AIラボを相手にした公開事例ができたことになる。Cathedralが標的を選んだ際の考えは外部からは分からない。ただ、Anthropicがわざわざ「国家安全保障への影響」に反論したところを見ると、今回のテストを重大な突破と受け取られたくないのは明らかだ。
中国企業も自社を点検すべき
この件が中国企業に与える示唆は明快だ。多くの企業は人事、CRM、コラボレーション、シングルサインオンを同じように外部のSaaSに載せており、権限は全開放のまま、OAuthトークンも長年回収されないことが少なくない。Cathedralが示した経路は、「弱いベンダーを見つけ、認可の連鎖をたどって内側へ入る」という作業を、エージェントで半日に圧縮できるというものだ。
打てる手は難しくない。内部データにつながっている外部アプリを洗い出し、最小権限で設定し直し、長期有効なトークンを定期的に監査し、アカウントの異常な挙動にアラートを設定する。今回、Anthropicが報告より先に一部の動きに気づけたのは、最後の対策があったからだ。
参考資料：ワシントン・ポスト、Cyber Security News、CocoLoop、ロイター。Cathedralの調達額と企業価値はロイターの報道に拠り、アクセス範囲についてはAnthropicの声明とCathedralの報告書草稿の記述をそれぞれ照合した。