Claude Opus 5、Chrome乗っ取り実証で「0%」の安全神話崩壊か

Claude Opus 5の「0%」報告と現実

Anthropicは7月24日、Claude Opus 5のシステムカードにおいて、Auto Modeを有効にした際の攻撃成功率が0%であると報告しました。これは、AIエージェントの安全性確保に向けた画期的な成果として、業界内外から大きな注目を集めました。AIが自律的に動作する環境でのセキュリティリスクを極限まで排除したというメッセージは、多くの開発者やユーザーに安心感を与えるものでした。

しかし、この報告からわずか12日後、その安全神話に疑問符が投げかけられる事態が発生します。内部テストで「0%」とされた脅威が、現実世界で実証されたのです。この乖離は、AIシステムの安全性評価の難しさ、そしてその手法に対する根本的な問いを突きつけています。

Zenity Labsによる実証の詳細

Zenity Labsは、世界最大級のセキュリティカンファレンスであるBlack Hatにおいて、Claude in Chrome環境下でのブラウザ乗っ取りを実証しました。彼らは、プロンプトインジェクションの手法を巧みに利用し、Claudeが動作するブラウザ環境を完全に制御できることを示しました。具体的には、悪意のあるJavaScriptコードをClaudeに実行させることで、ユーザーのブラウジング履歴の窃取や、ウェブサイトの改ざんといった行為が可能になることを証明したのです。

この実証は、Anthropicが想定していなかった、あるいは評価の範囲外としていたシナリオで攻撃が成功したことを意味します。特に、AIエージェントがウェブブラウザのような複雑な環境とインタラクションする際に生じる、予期せぬ脆弱性の存在を浮き彫りにしました。

AIシステムの安全評価における課題

今回の事態は、AIシステムの安全性評価における根本的な課題を露呈しています。ベンチマークテストやレッドチーミングは、AIの安全性を確保するための重要な手段ですが、それらがカバーできる範囲には限界があります。特に、AIエージェントが外部環境、例えばウェブブラウザや他のアプリケーションと連携する際に発生する複合的な脆弱性は、単一のモデル評価では見落とされがちです。

「0%」という絶対的な数値は、特定の限定された条件下でのみ成立する可能性が高いです。現実世界は常に変化し、攻撃者は常に新たな手法を模索しています。AIの安全性は、一度評価すれば終わりではなく、継続的な監視と、多様なシナリオでの実証テストを通じて確保されるべきだと考えます。

私の見方：テスト環境と実環境の乖離

私の経験上、AIモデルの安全性評価は常に「想定外」との戦いです。ベンチマークテストはあくまで最低限の指標であり、実際のユーザー行動や外部環境とのインタラクションによって、新たな脆弱性が生まれることは少なくありません。特に、ブラウザのような複雑な環境下でのAIエージェントの挙動は予測が困難です。Anthropicが「0%」と報告したテスト環境と、Zenity Labsが実証した現実のブラウザ環境では、考慮すべき要素が大きく異なると感じます。この乖離を埋めることが、今後のAI安全性確保の鍵です。

今後のAI安全性確保への提言

AIの安全性確保には、継続的な外部監査と、多様なシナリオでの実証テストが不可欠です。単一の指標に依存せず、多角的な視点からリスクを評価する体制が求められます。開発コミュニティ全体での情報共有と、迅速な脆弱性対応が、信頼性の高いAIシステム構築の鍵となります。また、AIエージェントが動作する環境全体をセキュリティ評価の対象とし、AIモデル単体だけでなく、その周辺システムとの相互作用におけるリスクを徹底的に洗い出す必要があります。これは、AI開発者だけでなく、プラットフォーム提供者、そしてユーザー全員が協力して取り組むべき課題です。