Anthropicは2026年9月10日、Claudeが悪用された事例をまとめた脅威レポートを公開しました。対象期間は2025年12月から2026年8月で、サイバー攻撃、影響工作、監視、詐欺・不正、バイオ分野、通常兵器、モデル蒸留の7領域です。ここで重要なのは、AIが危険な文章を一度出したという話だけではありません。複数の作業をつなぎ、長時間・大量・並列に進める「運用の自動化」が問題の中心になっています。自社でClaudeを使う企業に必要なのは、ツールを恐れて一律禁止することでも、提供元の安全対策だけに任せることでもなく、誰が何に接続し、どこで人が止めるかを決めることです。
今回の発表で、Claudeのリスクをどう捉え直すべきか
Anthropicは、レポートに載せた事例は典型的な悪用の平均像ではなく、確認した中でも注目度の高い新しい活動だと説明しています。また、各事例でアカウントの停止、検知機能の改善、必要に応じた当局・業界との情報共有を行ったとしています。したがって、記事の事例数や規模をそのまま一般的な発生確率と読むことはできません。一方で、企業の利用管理にとって示唆は明確です。AIの出力を読むだけの使い方と、AIがツールを呼び出し、記録を保持し、複数の処理を進める使い方では、管理すべき境界が違います。
レポートでは、Claudeがマルウェア、フィッシングキット、監視用ツールの開発を補助した会話型の利用から、標的ネットワークへの操作、認証情報の収集、データ持ち出しまで人が個々に判断しながら実行した事例、さらに複数のエージェントが数時間から数日、複数の対象を並列に扱った事例まで説明されています。Anthropic自身も、重要な標的選定や結果確認には人が残る一方、自律性が作業速度・規模・運用コストを増幅し得ると整理しています。これは「完全自動か手動か」という二択ではなく、人の確認がどの工程にあるかを設計する問題です。
企業が見直すべき4つの管理点
1. 権限は、回答品質ではなく到達範囲で決める
社内文書を要約するだけのアカウントと、メール送信、CRM更新、ファイル削除、外部API呼び出しができるアカウントを同じ扱いにしてはいけません。AIの文章が自然でも、接続先で実行された変更は別のリスクです。まず機能ごとに「読む」「提案する」「実行する」を分け、実行権限は必要な担当者・時間・対象データへ絞ります。自動化を試す場合も、最初は書き込みではなく下書き生成や差分提示から始めるのが現実的です。
2. 人の確認は、最後ではなく不可逆な操作の直前に置く
完成したレポートを人が読むだけでは、途中で行われた外部検索やデータ転送を監視できません。送信、公開、購入、削除、権限変更など、戻しにくい操作を実行する直前に承認点を置きます。承認者が確認する項目も「問題ありませんか」では不十分です。対象、目的、送信先、添付データ、変更内容、取り消し方法を表示し、承認の記録を残します。
3. 入力データの分類と、外部接続の棚卸しを分ける
機密情報を入力しないというルールだけでは、AIが接続先から取得する情報を管理できません。顧客情報、個人情報、営業秘密、公開情報を分類し、どの分類をどの環境へ渡せるかを決めます。同時に、ブラウザ、コード実行環境、ストレージ、メール、社内DBなどの接続先を一覧にします。入力が安全でも、出力が外部サービスへ自動転送されれば別の漏えい経路になるためです。
4. 監査ログは、失敗後の調査だけに使わない
利用者、日時、使ったモデルや機能、参照データ、外部操作、承認者、結果を追える状態にします。ログがあると、便利だったかどうかを「印象」ではなく、差し戻し回数、確認時間、誤送信の有無、再実行回数で比較できます。Anthropicのレポートは提供元側の検知・停止の事例ですが、自社側にも同じように、異常を見つけて止めるための観測点が必要です。
想定例で考える、安全な試し方
想定例A：営業メールの下書き作成
営業担当が、公開済みの会社情報と自社のサービス概要から初回メールの下書きを作るケースです。AIには送信権限を与えず、顧客DBからの自動取得も行わせません。担当者が対象会社と根拠URLを入力し、出力では事実と提案表現を分けます。確認項目は、会社名・担当者名の誤り、根拠のない課題の断定、個人情報の混入、禁止表現です。10件程度で、作成時間だけでなく修正時間と送信前の差し戻し件数を記録します。速く書けても確認が増えるなら、その工程では導入効果が出ていないと判断できます。
想定例B：社内会議の要点整理
会議メモから決定事項、未決事項、担当者、期限を整理するケースです。最初は匿名化したサンプルや公開情報で試し、実データへ広げる前に保管場所とアクセス権を確認します。AIが推測で期限や担当者を補わないよう、原文にない項目は「記載なし」とする指示にします。出力はそのままタスク管理へ登録せず、参加者が原文と照合してから確定します。評価指標は要点の取りこぼし、誤った担当者、期限の誤記、確認にかかった時間です。
小さな試行を5段階で評価する
- 対象業務を一つに絞り、成功条件と見送る条件を先に決める。
- 扱うデータ、利用者、AIの権限、接続先、保存先を図にする。
- 読み取りと下書きだけで試し、不可逆な実行は人の承認後に限定する。
- 出力品質だけでなく、確認時間、差し戻し、誤り、ログの欠落を記録する。
- 条件を満たした場合だけ対象範囲を広げ、満たさなければ権限を減らすか利用を見送る。
この手順の目的は、AIを使うこと自体を成功にすることではありません。現行の作業より確認可能で、失敗時に止められ、担当者が結果を説明できるかを確かめることです。特に外部ツールをつなぐ場合は、試験用アカウント、最小権限、テストデータ、操作ログ、撤回手順を用意します。
レポートから読み取れること、読み取れないこと
Anthropicの報告は、自社が検知・調査した事例と、その後の対策を示す企業発表です。これだけで、すべてのAIサービスに同じ頻度で起きる、Claudeが常に攻撃を成功させる、あるいは提供元の対策で自社の責任がなくなる、と結論づけることはできません。兵器関連の事例についても、レポートには運用兵器が完成した証拠がないとされるケースがあります。規模の数字も、確認された活動の説明であり、実際の被害全体を意味しません。
企業が確認すべきなのは、ニュースの強い数字ではなく、自社の利用経路です。Claudeの現行プラン、データ保持、管理者機能、利用可能な連携、地域や契約条件は、導入時点の公式案内と自社契約で確認してください。今回の発表から日本の全アカウントでの提供条件や、特定の企業環境が安全だと保証することはできません。
今すぐ行うべき次の一歩
まず、社内で使われているClaudeのアカウントと連携先を一覧化し、送信・書き込み・実行権限を持つものを特定します。次に、実データを使わない一つの業務で、下書き生成と人の照合までを試します。結果は時間短縮だけでなく、誤り、差し戻し、ログ、承認の負荷で評価します。安全な運用条件を定義できない業務、事故時に止められない業務、現行ツールで十分な業務は、導入を見送る判断も妥当です。今回のレポートが示すのは、AIを使うなという結論ではなく、能力が高くなるほど「何をさせるか」だけでなく「何に触れさせないか」を先に設計する必要があるということです。
出典：Anthropic「Detecting and countering misuse of AI: September 2026」。The Rundown AIの選題記事はこちらです。