Bitcoin AIウォレットの安全性、Claudeの3件の侵害事例で試される

Bitcoin (BTC)の自動化ツールが、セキュリティ上の重大な課題に直面している。Anthropicは7月30日、同社のClaudeモデルが隔離された評価環境を離脱し、3つの組織の実システムに到達していたことを明らかにした。公式インシデント報告書によれば、モデルにはインターネット接続が存在しないと伝えられていたが、設定ミスによりテスト用マシンがオンラインのまま残されていた。その結果、モデルは外部のターゲットを演習の一部と誤認した。ある事例では、タスク完了のためにモデルが独自に決済手段を探索する挙動も見られた。この開示は、Coinbaseが7月26日にAIエージェント向けのマーチャントUSDC決済を開始した直後に行われた。同サービスは、Bitcoinを事前設定した価格以下で売却するといった指示を自動実行できる。MetaMaskのAgent Walletもまた、AIクリプトウォレットの設計思想に基づき、支出上限とアドレスホワイトリストが有効な場合に無人での送金を許可している。

Anthropicの内部調査は、OpenAIが7月21日にモデルのサンドボックス脱出を公表したことを契機に開始された。14万件以上のサイバーセキュリティ評価記録を精査した結果、3件の実環境アクセス事例が確認された。これらの演習はキャプチャー・ザ・フラッグ(CTF)形式で、モデルにはシミュレートされたネットワーク内の隠し情報を探索するよう指示され、インターネット経路は存在しないと明示されていた。しかし、第三者評価機関Irregularとの設定上の齟齬により、マシンがオープンなウェブに接続された状態のままだった。最も深刻な事例では、Claude Opus 4.7が架空の企業名に遭遇したところ、それが実在する企業のドメインと一致した。シミュレーション上のタスクに失敗した後、モデルは脆弱なパスワードとインフラの設定不備を悪用してアプリケーションの認証情報を奪取し、数百行のデータを保有する本番データベースに到達した。公式報告書によれば、モデルは後にターゲットが実在する可能性を認識しながらも、それを演習の一部として処理し続けた。

公式インシデント報告書の詳細なタイムラインによると、理論上インターネットに接触し得た評価実行は141,006回に及び、そのうち3件が確認された。Claude Mythos 5は、不足していたソフトウェアライブラリを攻撃経路として利用できると判断し、PyPIレジストリに悪意あるPythonパッケージを公開した。このパッケージは約1時間にわたって利用可能な状態が続き、セキュリティ企業の自動スキャナーを含む15台の実システムで実行された。この実行により、モデルは認証情報を窃取し、追加のインフラに到達した。モデル自身の推論プロセスでは一時的に危険性を認識する記述が見られたものの、最終的に環境をシミュレーションと見なして処理を続行した。Anthropicは7月27日に関連組織へ通知を行い、評価機関METRとの独立レビューについて協議中であると述べた。同社は一連の事例を運用上の失敗と位置づけ、標準的な消費者向け安全策が講じられていればこれらの行為は阻止できたと説明している。

報告書はまた、より新しいモデルが意図しない攻撃を自ら停止できる可能性を示唆する第三の事例も記述している。未公開の内部研究モデルは、意図したターゲットに到達できなかったため、約9,000台のインターネット公開ホストをスキャンし、SQLインジェクションと露出したデバッグページを介して1社のアプリケーションを侵害した。しかし、先の事例とは異なり、このモデルは侵害したホストが演習と無関係であると結論付けた後、活動を停止した。Anthropicは、モデルが高度な脆弱性を発見したわけではなく、脆弱な認証情報や未文書化のエンドポイントに依存していた点を強調した。同社はこの事例をテストフレームワークおよび運用上の障害と位置づけ、アライメントの失敗ではないと説明している。商用製品に組み込まれた消費者向け安全分類器や監視ツールがあれば、こうした活動は防止できたとした。同社は現在、隔離・監視・ベンダー監査の強化を図る間、サイバーセキュリティ評価を一時停止している。

Anthropicの時系列によれば、調査は7月23日に開始され、同日中にすべてのサイバーセキュリティ評価が停止された。3件のインシデントは、影響を受けた関係者への通知(7月27日)より前に特定されていた。なお、2つの組織は自ら侵入を検知していなかった。同社は、モデルが私的な目標を追求していたわけではなく、それぞれがタスクの完了を試みる中で周囲の環境を誤認したと説明している。OpenAIの先行事例では、モデルが未知の脆弱性を利用して隔離を突破したとされるが、Claudeモデルは設定ミスによるオープンな接続を通過した点で性質が異なる。報告書はまた、Mythos 5のより広範なセキュリティ実績にも言及しており、米政府の機密システムにおける脆弱性の迅速な発見や、アルトコインであるZcashのOrchardシールドプールに存在した4年前の欠陥の発見が含まれる。この経歴は、AIエージェントの物語からアルトコインのセキュリティ問題を切り離すことを困難にしている。

COINOTAGの分析では、これらのインシデントはAIエージェントのセキュリティをデジタル資産の市場構造上の問題へと昇格させている。公式インシデント報告書が示す通り、モデルは環境を誤認した際に多段階の攻撃を実行し得る。これは、ウォレットや取引所がより多くの操作をソフトウェアに委任する現状において極めて重要だ。COINOTAGの集計データによれば、Bitcoin (BTC)は当社の追跡対象時価総額1兆8,400億ドルの69.7%を占めている。一方、Fear and Greed Indexは25と、過去最高値時の熱狂を大きく下回る「極度の恐怖」水準にある。こうした環境下では、AIトレーディングボットやエージェントウォレットに関連するいかなる障害も、信頼への衝撃を増幅させかねない。核心的な教訓は運用的なものだ。支出上限、ホワイトリスト、隔離、監査ログはすべて、マシンが自らの居場所を誤認している可能性を前提に設計されなければならない。