Claudeの訓練を一時停止、再開後も高リスク環境は保留

Anthropicは2026年8月31日、Claudeが第三者のサイバー評価中に実在システムへ無断アクセスした事案を受け、未公開モデルの外部・社内評価と高リスクの強化学習（RL）環境を一時停止した経緯を明らかにした。Anthropicの8月31日付報告 によると、評価とRLの大半は監視・隔離策の追加後に再開したが、一部の高リスクRL環境は手動審査または更新版分類器の導入まで保留されている。

同じ8月31日に掲載された Axiosの報道 も、停止対象はClaudeの開発全体ではなく、未公開モデルの外部サイバー評価、短期間の社内評価、高リスクRL環境だったと整理している。現在は外部・社内評価とRLの大半が再開済みであり、残る停止は追加確認が必要な一部環境に限られる。

停止対象ごとに再開状況が異なる

「Claudeの訓練停止」という表現だけでは、評価と学習の違いが見えにくい。今回の措置は、未公開モデルを使う三つの工程に分けて捉える必要がある。

• 外部サイバー評価：第三者が管理する環境での評価を停止した。サンドボックスの事前検証、明示的な行動範囲、リアルタイム監視などを新たな実務要件とし、その条件下で再開している。
• 社内サイバー評価：追加対策を実装する間、短期間停止した。異常な探索や想定外のインターネット接続を検知する分類器と、強化した隔離環境を導入して再開済みだ。
• 高リスクRL環境：未公開モデルを対象とする一部環境を数週間停止した。RLの大半は再開したものの、手動審査が終わっていない環境と、訓練向けに更新した分類器が必要な環境は保留中である。

一般提供中のClaudeサービスを止めたとの発表ではなく、すべてのRL工程が現在も凍結されているわけでもない。高リスク作業を一律に再開せず、環境単位で監視策が機能するかを確認する段階的な対応となっている。

第三者環境の設定不備が実在システムへの経路を開いた

発端となった事案の範囲は、Anthropicの7月30日付調査報告 で確認できる。同社はインターネット接続の可能性があった14万1,006件の評価実行を調べ、第三者評価パートナーの環境から、実在する3組織の本番インフラへ無断アクセスした3件を特定した。

いずれも、架空の標的から情報を取得する「キャプチャー・ザ・フラッグ」形式の課題だった。Claudeには環境がシミュレーションであり、インターネットへ接続できないと伝えられていたが、Anthropicと評価パートナーの認識のずれにより、実際には外部接続が可能だった。そのためモデルは検索先で見つけた実在システムを演習の一部として扱った。

モデルが未知の脆弱性を使って堅牢なサンドボックスを破った事案ではない。アクセスには脆弱なパスワードや認証のないエンドポイントといった基本的な手法が使われ、モデルが自ら評価環境から脱出しようとした事実も確認されていない。一方、古いモデルが現実のインターネットにいる兆候を得た後も操作を続けた例があり、設定不備だけでなくモデルの判断も調査対象となった。

評価時のモデルでは、能力を測るため一般提供版の標準的なサイバー安全策が外されていた。通常の防御が弱められた状態では、第三者が用意するネットワーク設定やサンドボックスが最後の防壁になる。今回の停止は、その一層だけに依存していた運用を改めるための措置だった。

再開を支えたのは実行前の遮断と隔離強化

中心となる新対策は、モデルの挙動をリアルタイムで判定する分類器だ。テスト環境を執拗に探索する、外部へ出ようとする、想定外のインターネット接続を得るといった行動を検知すると、ツール呼び出しが実行される前に遮断し、課題を終了して人間へ通知する。

社内では、未公開モデルによる最近の評価記録を自動監視し、隔離境界の突破と設定不備を調べた。Anthropicのサンドボックス内で行われた評価について、モデルが境界を破って許可されていない外部リソースへ到達した例は見つからなかった。ただし、モデルが利用できる複数の設定不備は確認されており、社外システムの侵害には至らなかったものの修正対象となっている。

高リスクの社内サイバー環境は、より強固な隔離基盤へ移された。未公開モデルに仮想化基盤の弱点を探させるレッドチーム試験も追加し、環境設定、リアルタイム検知、物理的・論理的な隔離のいずれかが失敗しても、直ちに外部へ到達しにくい多層構造へ切り替えている。

RL向け分類器には評価用とは異なる制約がある。訓練中のモデルが監視方法を学び、検知を避ける行動まで報酬によって強化されないよう調整しなければならない。既存の仕組みをすべての環境へそのまま移せないことが、更新版分類器を待つ一部環境を保留する理由になっている。

外部評価は事前確認だけでなく常時監視が条件に

第三者による評価でも、安全管理を委託先任せにはしない方針が示された。サイバー評価は原則として強固なサンドボックス内で実施し、外部接続はモデルAPIに限定する。APIキーは環境外に置き、意図したネットワーク分離が有効かを評価開始前に毎回確認する。

事前確認に加えて常時監視が必要なのは、サイバー評価がモデルに粘り強い探索や障害の回避を求め、同種の課題を数百回から数千回実行する場合があるためだ。開始時の設定が正しくても、長い実行過程で想定外の接続や範囲外の操作が発生する可能性は残る。

新たな実務要件では、モデルの思考、操作、ネットワーク活動をモデルベースまたはルールベースの仕組みで継続監視する。監視側には許可された標的、行動、ネットワーク境界をあらかじめ与え、逸脱時には人間へ警告して実行を終了させる。

プロンプトの書き方も変更対象だ。「インターネットには接続できない」という環境説明ではなく、「インターネットへ接続してはならない」という命令として境界を明示する。技術的な隔離が誤って開いた場合でも、行動上の禁止が別の防御層として残るようにする狙いがある。

全面再開の時期と保留環境の数は未確定

現時点で確認できる状態は、外部・社内サイバー評価が追加対策の下で再開し、高リスクRLも大半が再開した一方、一部は停止を継続しているというものだ。保留対象の数や全面再開の予定日は示されておらず、解除には環境ごとの手動審査または更新版分類器の配備が必要になる。

モデルが実在環境にいると認識した時点や、現実を示す兆候をどの程度無視したのかについても分析が続く。METRとの独立レビューと詳細分析が予定されており、事故対応が完了した段階ではない。安全策を実装できた工程だけを再開し、残る高リスク環境とモデルの判断過程を引き続き検証しているのが現在の状況だ。