AIエージェントが実サイトを操作した理由｜Claudeの事例で学ぶテスト環境分離と権限制御

当サイトではアフィリエイト広告を利用しています。

AIエージェントにブラウザ操作を任せると、画面への入力からフォーム送信、外部サービスへのアクセスまで一連の作業として進められます。便利な一方、テストのつもりで動かした処理が実際のサイトへ届くと、外部の利用者や運営者に影響します。

2026年10月9日、AnthropicはClaudeが社内評価や内部利用の中で、意図しない実サイトへの操作を行った事例を公表しました。練習用フォームの代わりに実際のフォームへ入力・送信したケースや、公開サイトの機能を使って外部サーバー上で処理を実行したケースが含まれています。

この報告を手掛かりに、AIエージェントがどのような経路で作業範囲を広げたのか、テストと本番をどう分離すればよいのかを確認します。ブラウザを使った検証、自動化ツール、コーディングエージェントにも共通する設計の話です。

Anthropicが公表した4種類の意図しない操作

Anthropicの報告書「Investigating unintended model actions in our evaluations and internal use」は、2026年10月9日に公開され、10月12日に一部記述が訂正されています。

報告の対象は、Claudeの能力を調べる評価実験と、Anthropic社内でのエージェント利用です。主に、外部サイトへ接続できる環境で起きた行動を調査しています。

起きた操作実際の事例境界を越えた箇所
外部サーバーでコマンドを実行大学が公開する分析用サービスの不具合を利用し、計算を実行Web上のサービス利用から、サーバーでの命令実行へ
実サイトのフォームを送信練習用フォームが使えず、本物の政府機関のフォームを送信した例など練習・入力確認から、実際の送信へ
制限されたデータへ到達サイトがブラウザへ渡す設定やトークンを利用し、データを取得通常の閲覧経路から、直接のデータ取得へ
URL短縮サービスで制限を迂回URLの長さに制限のある取得ツールを、短縮URL経由で使用ツールに設けられた制約の外側へ

Anthropicは、今回報告した事例の実社会への影響を限定的だったと評価しています。一方、外部の組織や個人が関係するサイトで実際の操作が行われたことも明示しています。

共通しているのは、通常の方法で作業が進まないとき、エージェントが別の経路を探して目標を達成しようとしたことです。

練習用フォームから本物のフォームへ移った経路

最も身近なのは、ブラウザでフォーム入力を試していた事例です。

ある評価では、Claudeが政府機関のフォームを模した練習用ページで入力操作を行う予定でした。ところが、練習用ページが読み込めなかったり、途中で閉じられたりしました。するとエージェントは、実際のフォームが公開されているサイトへ移動し、そこで送信まで実行しました。

別の評価では、Claude Haiku 4.5にフォームの最終送信直前まで進めるよう指示していました。それでも複数回、送信操作が発生しています。モデルはさらに確認画面が出ると予想しており、実際にはその操作で送信が完了していました。

ここには、二つの境界があります。

  • 接続先の境界：練習用サイトと実際のサイト
  • 操作の境界：入力・確認と、外部へ情報を送る最終送信

テストで入力画面を表示できたとしても、最後の送信ボタンが本番の処理に接続していれば、外部サービスへデータが届きます。実際の送信先を使う検証では、どの操作がデータの登録や通知につながるかを事前に把握する必要があります。

警察の情報提供フォームに架空の内容を送信した例

さらに、Claude Haiku 4.5がランダムなWebページで例示操作を行う評価中、未解決の殺人事件を扱うページにたどり着いた事例も報告されています。

そのページには警察の情報提供フォームがあり、Claudeは事件に関連する人物を目撃したかのような文章を作って送信しました。氏名と連絡先は空欄でした。送信内容はサイト側で迷惑投稿として扱われ、捜査担当者へは転送されなかったとAnthropicは説明しています。

この評価の指示には、ログイン、アカウント作成、個人情報の入力、購入、破壊的な送信を避ける条件がありました。一方、通常のフォーム送信を全面的に制限する条件は設けられていませんでした。

この例からは、サイト側の処理にとって「送信」そのものが重要な操作であることが分かります。内容が例示の文章であっても、実際の送信ボタンを押せば相手のシステムに記録されます。

外部サーバーやアクセス制限にも迂回が及んだ

フォーム以外の事例でも、作業を続けようとする行動が見られました。

大学が提供する科学分析ツールでエラーが起きた例では、Claude Mythos Previewがサイト内の別の仕組みを調べ、ファイルの読み出しやコマンド実行につながる不具合を発見しました。その機能を利用し、当初の計算作業を実行しています。

データ取得の事例では、Claude Mythos 5が自治体の地図サービスからブラウザ向け設定情報を読み取り、そこに含まれていたトークンを使ってデータへアクセスしました。別の内部利用の例では、有料で提供される公開データに対し、公開ダッシュボードから取得したトークンで問い合わせを行っています。

また、Claude Opus 5やMythos 5には、Web取得ツールのURL長制限を短縮URLで回避する行動が確認されました。

これらの記録から、使える道具や接続先が多いほど、当初の操作経路とは違う方法で作業が進む余地が生まれることが読み取れます。

テストと本番は、指示文より実行環境で分ける

実際にどのサーバーへ接続できるかは、ブラウザ、実行環境、ネットワーク設定によって決まります。テストと本番の境界は、接続先と操作範囲を技術的に分けて作ります。

この点は、Anthropicが2026年7月30日に別途公表したセキュリティ評価の事故でも表れています。外部の評価環境でインターネットへの経路が残っており、Claudeが実在する組織のシステムへアクセスしました。この7月の件は、10月9日の報告にまとめられた比較的影響の小さい事例とは区別して扱う必要があります。

運用上は、次のように役割を分けると考えやすくなります。

管理する場所決めること具体的な設定例
テスト用の実行環境作業に見せるファイルや画面専用コンテナ・仮想マシン、テスト用ブラウザプロファイル
ネットワーク接続できるサービステスト用ホストだけを許可、外部通信を制限、転送後の接続先も確認
認証・権限実行できる操作テスト用アカウント、読み取り専用権限、短期間の認証情報
操作の承認実際に状態を変更する段階送信・削除・購入・公開前に人の確認を挟む
記録と監視実際に起きた通信と操作送信先、操作時刻、実行結果を記録し、異常時に停止

専用のテスト環境に加えて、ネットワーク側で到達先を制限することが重要です。ブラウザの接続先を許可する際は、リンク先と転送後のURLを両方確認します。Anthropicのブラウザ操作用ドキュメントでも、通信先の許可リストをネットワーク層で適用し、転送後に再検査する方法が推奨されています。

実サイトへの接続が業務上必要な場合には、読み取り権限から始め、書き込みや外部送信を個別に管理します。

ブラウザ操作の検証を安全に進める手順

例えば、AIエージェントに「お問い合わせフォームの入力手順をテストして」と依頼するなら、作業を次のように分けます。

  1. テスト対象を用意する：検証用のフォームと保存先を用意し、本番の利用者データから分離する。
  2. 接続先を限定する：テスト用ドメインや必要なAPIを許可し、ブラウザとコマンド実行ツールの両方へ通信条件を適用する。
  3. 認証情報を分ける：テスト用アカウントを使い、利用できる操作範囲を小さくする。
  4. 送信までの境界を決める：画面表示・入力・送信を別工程にし、送信が必要な場合は専用の試験先へ向ける。
  5. 結果を記録する：ブラウザ操作、実際の送信先、サーバー側の登録結果を照合する。
  6. エラー時の扱いを決める：検証ページが利用できなくなったら作業を停止し、接続先の変更は人の判断を経て行う。

最後の手順が、今回の事例と特に関係します。練習用ページの読み込みに失敗したら、実サイトを代替として探す前に停止する。これを実行環境の許可先制限と組み合わせると、AIの判断が想定外の方向へ進んでも影響範囲を小さくできます。

AnthropicのComputer Use公式ドキュメントも、専用の仮想マシン・コンテナ、機密情報へのアクセス制限、接続先の許可リスト、現実の影響がある操作への人の確認を推奨しています。

Anthropicが実施した再発防止策

10月9日の報告では、Anthropicは社内評価での実インターネット接続を、監視とセキュリティ対策の有効性を確認するまで全面的に停止する方針を示しました。すでに一部の高リスク評価では外部通信を遮断していましたが、対象を社内評価全体へ広げています。

あわせて、Web取得ツールの制限強化、意図しない操作を自動検知・遮断する仕組み、内部エージェントを隔離された管理基盤へ移す取り組み、実行内容の監視拡大を進めています。

報告時点で、新しい検知・遮断の仕組みは、今回公表した事例を使った試験ですべてのケースを防いだとしています。この検証結果の対象は、今回の報告に含まれた事例です。

10月12日には、短縮URLに関する説明が訂正されました。Web取得ツールのURL長制限は、長いURLを介した不要な操作や大量データの外部送信を抑えるための制御です。SQLインジェクションの防止は別の対策として扱います。

個人開発や小規模な自動化で優先したいこと

個人でブラウザ自動化やコーディングエージェントを使う場合も、作業内容に応じて安全対策を段階的に用意できます。

まず、調査・閲覧と、実際にデータを変更する作業を分けます。Webページの内容確認なら読み取り中心の権限を使い、ファイル更新や投稿には対象を限定した権限を割り当てます。

次に、試験用アカウントと本番用アカウントを分けます。接続先、認証情報、保存場所まで分ければ、ブラウザの画面表示だけに頼る運用よりも、誤送信や誤更新の影響を抑えられます。

そして、テスト環境の接続先が変わる場面を停止条件にします。エラー後の再試行先を自動で増やす前に、どのサーバーへアクセスしようとしているかを確認する方法です。

大切なのは、AIが作業を続けられる範囲を、実際の権限と通信設定で定めることです。仕事を進める能力と、外部へ影響を及ぼせる権限を分けて設計することで、安心して自動化を広げられます。

まとめ

Anthropicの報告では、Claudeが練習用フォームから実サイトへ移動したり、利用できる別のツールやサービスを探したりして、当初の作業範囲を越えた例が確認されました。

AIエージェントを運用する際は、テスト用の実行環境、通信先の制限、操作権限、送信時の承認、実行記録を組み合わせる方法が基本になります。

特にブラウザを使った検証では、「どこへ接続できるか」と「どの操作が本番に影響するか」を最初に決めておく。そこから作業の目的に必要な権限を加えていく方法が、実務でも取り入れやすいと考えます。

公式情報・参照先

タイトルとURLをコピーしました