元DOGE職員のCathedral、Anthropicへの侵入調査で業務ソフトの弱点指摘

元米政府効率化省（DOGE）職員4人が共同創業したサイバーセキュリティ企業Cathedralが、AIエージェントを使い、Anthropicの外部業務ソフトの脆弱性から社内情報にアクセスしたと報告した。ワシントン・ポストが2026年10月26日に報じたもので、Cathedralの報告書草案によると、エージェントの稼働から12時間未満で機密情報への経路を発見したという。

Anthropicは営業、人事、IT関連システムの一部へのアクセスを認め、関係ソフトの停止と修正確認を経て復旧したと説明した。一方、調査活動の開示内容や国家安全保障上の意味合いについては、両社の見解が分かれている。

■外部業務ソフトから社内情報への経路を発見

アナドル通信によると、Anthropicは、研究者が最初に数日間、自社ソフトへの直接侵入を試み、その後に第三者の業務ソフトへ対象を切り替えたと説明した。「12時間未満」は、外部ソフトを使った経路の探索にAIエージェントを稼働させた段階の時間を指す。

Decryptによると、Cathedralの草案は、社内会議の記録、従業員の給与や採用時の提示条件、先進的なAIモデルを巡るSlack上のメッセージへの経路を発見したとしている。AIエージェントは、各段階で人間の承認を受けずに複数の作業を進める形で使われたという。

Anthropicが説明したアクセス先には、一部の顧客・パートナーの業務上の連絡先と、基本的なユーザーアカウント記録を含む営業、人事、ITシステムがある。同社によると、Claudeに送信された顧客の会話と応答、AIシステムのソースコード、学習済みモデルのパラメーターであるモデル重みへのアクセスはなかった。

Anthropicは、正式な報告を受ける前に監視システムが活動の一部を検知し、その日のうちにCathedralのアクセスを遮断したと説明した。影響を受けた業務ソフトを停止し、ベンダーが脆弱性への対応を確認した後に利用を再開した。同じ脆弱性をCathedral以外が悪用した証拠は見つかっていないとしている。

■調査活動の開示を巡る対立

調査は、外部研究者による脆弱性の発見と報告に報奨金を支払うAnthropicのプログラムを通じて行われた。CathedralはAnthropicと関係ベンダーに調査結果を報告した。ベンダー名はセキュリティ上の理由から公表されていない。

Decryptによると、Anthropicは、Cathedralが社内システムで行った活動の全容を開示せず、プログラムの規則を完全には守らなかったと主張している。Cathedralの草案は、セキュリティ研究の適切な実務に従い、データへのアクセスを必要最小限に抑えたとしている。

Anthropicの責任ある開示ポリシーは、脆弱性を実証するための最小限の調査と、偶発的にアクセスしたデータの報告を求めている。また、第三者が所有・運営・管理するシステムは同ポリシーの対象外とし、各システムの開示制度に従うよう定めている。外部サービスを介する調査では、関係する各社の対象範囲と報告条件も重要になる。

Cathedralは草案で、一般的な業務ソフトの弱点が先進的な組織のインフラにも影響し得るとして、企業全般への警鐘と位置付けた。ワシントン・ポストによると、同社の広報担当者は取材へのコメントを控えた。

■元DOGE職員の創業チームと政府との接点

Cathedralの共同創業者はGavin Kliger、Luke Farritor、Marko Elez、Jack Steinの4人だ。ロイターが2026年7月22日に報じたところでは、同社は軍事・政府向けに、攻撃と防御の双方を含むAIサイバー能力の提供を目指して設立された。

ロイターによると、Cathedralは2026年7月までに1億6000万ドル（約253億円）を調達し、その際の評価額は14億ドル（約2210億円）だった。資金調達はAndreessen HorowitzとSequoia Capitalが主導した。ワシントン・ポストは、Marc Andreessen氏とShaun Maguire氏が取締役を務め、米政権高官の説明として連邦政府機関3組織が同社と契約したと報じている。

KligerはDOGEでの勤務後、2026年3月に国防総省の最高データ責任者に就任した。ロイターによると、在任中には軍によるAI利用を巡る国防総省とAnthropicの対立に関与した。両者の間では、自律型兵器や国内の大規模監視への利用制限が争点になっていた。

Elezは2025年初め、人種差別的なSNS投稿が表面化した後にDOGEを辞任した。ロイターなどによると、その後、Elon Musk氏やJD Vance副大統領らが復帰を支持し、再雇用された。

Farritorは、AIを用いた古代の巻物の解読でも知られる。国際コンテスト「Vesuvius Challenge」の発表によると、2023年に、ベスビオ火山の噴火で炭化したヘルクラネウムの巻物から文字を読み取り、「First Letters Prize」を受賞した。

■国家安全保障上の懸念と企業側の説明

ワシントン・ポストによると、Cathedralの草案は米連邦政府内で共有され、Anthropicも政府当局者に説明した。匿名で取材に応じたトランプ政権高官は、調査結果が国家安全保障上の懸念を生んだとし、政府がCathedralと敵対的なAI利用のシナリオを検討していると述べた。

この高官は、先端AIを扱う企業の戦略的重要性を核兵器級の物質になぞらえ、短時間で社内システムに到達できた点への驚きを示した。Decryptによると、高官は中国側による類似の侵入にも懸念を表明した。

Anthropicは、今回の調査についてCathedralが示した国家安全保障上の含意は誇張されていると主張している。同社はアクセス先を営業、人事、IT関連システムの一部と説明しており、Cathedralは業務ソフトを通じた侵入経路の広がりを重視している。

■外部サービスとの接続が生む攻撃経路

外部ベンダーを足掛かりに組織へ侵入する手法には、長い歴史がある。米上院商務委員会の調査報告は、2013年のTargetへの侵入について、空調設備業者から盗まれた認証情報が入口になったとする報道を整理している。取引先に与えられたアクセス権限が、社内への経路になった事例だ。

2020年のSolarWinds事件では、ネットワーク管理ソフトOrionの更新に悪意あるコードが混入した。SolarWindsは同年12月のSEC提出書類で、問題のある製品を導入した可能性がある顧客を1万8000未満と推定した。2017年に世界へ広がったNotPetyaでも、ウクライナの会計ソフトの更新経路が悪用された。

これらに通じるのは、外部サービスやソフトへの信頼が、組織内部へのアクセスにつながる構造である。顧客関係管理（CRM）、人事、IT管理、共同作業用のサービスは業務データを扱い、認証情報や連携権限を持つ場合がある。その保護には、ベンダーの修正対応と、利用企業による権限・接続の管理が関わる。

AIエージェントは、探索、結果の評価、次の試行という作業を繰り返せる。こうした処理を自動化することで、攻撃経路を調べる作業の一部を速める可能性がある。Cathedralの報告は、外部業務ソフトを対象とした探索で、短時間に社内情報への経路を発見した事例として位置付けられる。

ワシントン・ポストの依頼で草案を確認したCognitionの最高情報セキュリティ責任者Alex Stamos氏は、Anthropicの外部ソフト管理に課題があったと指摘した。同時に、第三者アプリケーションを社内システムにつなぐリスクは、テクノロジー業界全体に共通する問題だと評価した。

■AIを使った侵入と情報管理を巡る相次ぐ事案

AIによる侵入作業の自動化は、実際の攻撃でも報告されている。ロイターは2026年10月19日、NorForgeの調査を基に、中国語を使う攻撃者が米国、カナダ、オーストラリア、日本のECサイト1200超を標的とし、100社超のウェブサイトに侵入したと報じた。

NorForgeの研究者によると、この活動ではDeepSeekとClaude Codeを組み合わせたAIエージェントが使われたとみられる。侵入に成功したケースでは、通常約23時間の探索を要した。研究者は消費したAIのトークン費用を合計約5000ドル、成功1件当たり約50ドルと推計した。

OpenAIでは、サウジアラビア国籍の元エンジニアAbdulrahman Alfozan被告が2026年10月9日に逮捕された。米司法省によると、同被告は役員用会議室に録音装置を設置し、会話を傍受した疑いで訴追され、FBIが捜査している。AP通信は、検察の裁判所提出書類に基づき、サウジ王室の一員が同被告を同国のAI事業へ繰り返し勧誘していたと報じた。

Anthropicでも2026年3月に情報の露出が報じられた。Fortuneは、未発表モデルと招待制のCEO向け合宿の情報が保護されていないデータストアに置かれていたと報道した。同月末にはClaude Codeのソースコード約51万2000行が配布パッケージを通じて公開され、Anthropicは人的ミスによるパッケージ作成上の問題と説明した。

また、Anthropicは2026年10月26日、IPOに向けた登録届出書をSECに提出したと発表した。事業拡大と上場準備を進める同社にとって、業務システムを含む情報管理と、そのリスクの説明は重要な経営課題となる。

■中核技術と業務データを併せて守る

今回の調査が浮き彫りにしたのは、AIモデルそのものの保護と並び、日常業務を支えるサービスの管理も重要だという点だ。会議記録、人事情報、社内メッセージには、従業員や事業に関する機密情報が含まれる。

外部ソフトの安全性は、開発元の脆弱性対応に加え、利用企業が与える権限、保存するデータ、他システムとの接続にも左右される。Anthropicが行った利用停止と修正確認後の復旧は、ベンダーと利用企業の双方が対応する必要性を示している。

Cathedralは今回の調査を、AIによる攻撃能力と企業の防御の間にある課題を示すものと位置付けている。AIエージェントが探索を担う環境では、個々のソフトの安全性に加え、それらを結ぶ認証と権限の管理が、企業の情報を守る上で一層重要になる。

元記事: Ex-DOGE Startup’s AI Agents Breached Anthropic in 12 Hours via Enterprise Software