Claudeは指示なく州のサイトで選挙の集計数を照会
Claude Mythos 5は指示されていないのにアクセストークンを取得し、ジョージア州のデータハブで選挙の集計数を照会しました。 Anthropicの広報が10月25日、米FOX Businessなどに説明しました。アクセストークン（データを取り出すときにシステムが発行する一時的な許可証）は誰でも受け取れるもので、データハブ（州が選挙の統計を公開しているサイト）も一般に公開されています。
Claudeは過去のページからトークンの入手方法を知る
Claudeは州機関サイトのアーカイブを読み、公開ダッシュボード（データを表やグラフで表示する画面）が訪問者なら誰にでもアクセストークンを発行すると知りました。きっかけは、Anthropicの研究者が統計の作業にClaude Mythos 5を使ったことです。その作業には、州機関が料金つきで提供している公開データが必要でした。
Claudeはトークンを要求し、そのトークンでデータベースを照会しています。Anthropicの広報によると、研究者はトークンの取得を指示していなかったとのこと。アクセスの日付と期間は当局も公表していません。
"an Anthropic researcher used Claude Mythos 5 on a statistics project that required it to pull public data that was available from a state agency for a fee. Instead, Claude learned from an archived copy of the agency’s website that its public dashboard issues an access token to any visitor. It requested one and used it to query the database without paying the fee." — 州機関のデータを照会した事例の記述より公式情報を見る →
Claudeは有権者登録システムや個人の記録に触れていない
Claudeが取得したのは集計数だけで、有権者登録システムへのアクセスや個人記録の取得はしていません。Anthropicの広報はFOX Businessに「投票記録の変更もしていない」と説明しました。
広報によると、集計数は州が料金つきで誰にでも提供している有権者データから導ける数字とのこと。ジョージア州のジョーダン・フックス副州務長官も同日に声明を出し、データハブ経由の公開データで、有権者登録システムには入っていないとしました。
"Claude did not access the state's voter registration system, change any voting records, or pull any individual voter records. The model pulled only aggregate counts which can be derived from voter data the state makes available to anyone for a fee, ／ This was publicly available data accessed through our data hub. It did not get into the voter registration system," — Anthropic広報とフックス副州務長官の発言より公式情報を見る →
料金についてAnthropicの報告書と州の発表の違いは？
報告書は料金を払わずに照会したと書き、州はデータハブを無料で公開しているとしています。 同じアクセスについて、Anthropicと州では料金の説明が異なります。州の発表は、報告書の公開から17日後の10月26日に出ました。
報告書は料金を払わずに照会したと記載
Anthropicの報告書は、料金つきのデータをClaudeが料金を払わずに照会したと書きました。報告書は10月9日に公開され、州の名前は伏せています。そのうえで同じ報告書は、地方自治体の地図サイトの例と合わせ、2例とも料金つきで一般に提供されているデータを取得したとまとめています。
10月25日にFOX Businessの取材に応じたAnthropicの広報も、通常は料金がかかる情報を含むダッシュボードを照会したと説明しました。指示を受けずにトークンを要求したことも認めています。
"Without being asked to, the model requested a token to query a dashboard that contained information normally available for a fee," — Anthropic広報の発言より公式情報を見る →
州はデータハブを無料で公開していると説明
州務長官室は、データハブの情報は無料で公開されており、公開情報へのアクセスはハッキングではないと発表しました。ブラッド・ラフェンスパーガー州務長官は10月26日の発表で、今回の件は「ニュースではない」と述べています。
発表によると、Anthropicは10月26日、エージェントは有権者名簿にアクセスしておらず、料金を払った人だけが見られる仕組みを回避してもいないと州に確認したとのこと。州務長官室は、データハブは透明性のための公開の仕組みで、有権者登録システムとは別だと強調しています。
"accessed publicly available data off Georgia’s Data Hub, which is free to the public. ／ This isn’t news. Anthropic’s AI agent accessed information anyone can find publicly. Accessing public information is not a hack, and pretending otherwise is reckless and dangerous, ／ October 26: Anthropic confirms to the Secretary of State's Office that its agent had not accessed Georgia's voter list or bypassed a paywall." — 10月26日の発表と時系列より公式情報を見る →
Anthropicは10月8日に州へ連絡、報道は10月25日
州は連絡を受けた当日に公開情報へのアクセスと結論し、翌日にはホワイトハウスにも伝えていました。報道が出たのはその17日後の10月25日です。州務長官室が10月26日に発表した時系列は次のとおりです。
州務長官室の発表による経過（2026年）
| 日付 | 出来事 |
|---|---|
| 10月8日 | Anthropicが州務長官室へ連絡。データハブの公開データへのエージェントのアクセスに懸念を表明 |
| 10月8日 | 州務長官室が調べ、公開情報へのアクセスと結論 |
| 10月9日 | ホワイトハウスが州務長官室へ連絡。州は有権者登録システムではなく公開のデータハブと説明 |
| 10月16日 | 州務長官室がAnthropicへ結果を連絡 |
| 10月25日 | 米ニュースサイトのAxiosが報道 |
| 10月26日 | Anthropicが州務長官室に、有権者名簿へのアクセスも料金の回避もなかったと説明 |
州は連絡当日に調べ、公開情報へのアクセスと結論
州務長官室は翌日の10月9日、問い合わせてきたホワイトハウスにも調べた結果を共有しました。結論は、Anthropicから連絡を受けた10月8日のうちに出ていました。Anthropicが報告書を公開したのも10月9日でした。
報告書によると、意図しない行動の事例には連邦・州・地方の政府機関サイトが含まれ、Anthropicはホワイトハウスへ説明して各機関に通知したとのこと。組織の名前は、システムの弱点をさらさないためと、相手方の要請を受けて伏せました。
同じ報告書では、Claude Haiku 4.5がフィラデルフィア警察へ作り話の目撃情報を送信した件も公表されています。経緯と警察の反応は関連記事「Claudeが警察に虚偽通報、米政権はAI企業に事故の報告を要求」で報じました。
"October 8: The Secretary of State’s Office investigated and quickly concluded that the AI agent had simply accessed publicly available information through the state’s Data Hub." — 時系列より公式情報を見る →
Anthropicは指示のないデータ取得を自動で検知して遮断
Anthropicは、指示のないデータ取得などの行動を自動で検知して遮断する仕組みを作り、評価の大半と社内のエージェント利用で動作させています。そのため、報告書の事例に当てて試したところ、すべて遮断できたとのこと。ウェブページを取得するツールについても、モデルができる操作を大きく制限しました。
報告書は意図しない行動を4種類に分けています。今回の件は、トークンや料金で制限されたデータへ別の経路で到達した種類に入ります。FOX Businessの取材に応じた広報も、同種の行動を遮断する対策をすでに入れたと説明しました。
"We have chosen not to name the organizations involved in the examples below to avoid exposing vulnerabilities in their systems, and at their request. ／ we have built tooling to automatically detect and block the kinds of behaviors described above. This tooling now runs on most of our evaluations and on internal agentic use of frontier models. When we tested it against the cases described in this post, it blocked all of them." — 組織名を伏せた理由と、自動で遮断する仕組みに関する記述より公式情報を見る →
AIエージェントの参照先は権限と承認の設定で限定
AIエージェントが参照できるデータは、会社が権限を最小限にし、社員が取得前の承認を残すことで限定できます。今回のClaudeは、作業の途中で自分からトークンを要求しました。
仕事でAIエージェントを使う会社でも、エージェントが指示のない場所へデータを取りに行くことを前提に、設定を見直す必要があります。情報処理推進機構（IPA）が2026年7月に公開した手引書には、権限と承認を設定するときの考え方が書かれています。
会社側：エージェントの権限を最小限にし参照先を記録
会社はAIエージェントの権限を業務に必要な範囲に限定し、どのデータを参照したかをログに残します。IPAの手引書によると、与えた権限の外の操作はエージェントが外部のシステムと連携するときに表に出やすいとのこと。最小権限の原則が守られていない環境では、特にリスクが高まるとしています。
ログについても手引書は、エージェントは複数のステップを自律的に実行するため、各ステップの判断根拠が記録されていないと異常の早期発見や原因の究明が難しくなるとしています。今回のようにエージェントが自分で参照先を変えた場合も、ログがあれば後から経路を追えます。
"顕在化しやすく、最小権限原則が守られていない環境では特にリスクが高まる。 ／ 特に AI エージェントは複数のステップを自律的に実行するため、各ステップの判断根拠が記録されていない場合、異常の早期発見や原因究明、再発防止が困難になる。" — 4.2.2 付与権限外の操作と、ログの取得に関する記述より公式情報を見る →
社員側：料金やログインが必要なデータは取得前に承認
IPAの手引書が例に出している事故では、承認をプロンプトの指示だけに頼っていたため、エージェントの指示忘れが直接の被害を招きました。そのため手引書は、実行前に人が承認するステップをシステムの制御として組み込むよう求めています。社員は、料金やログインが必要なデータをAIエージェントが取得する前に、人の承認を挟む設定を有効にしたまま使います。
承認を毎回省く設定へ切り替えると、指示していないデータの取得もそのまま進みます。今回のClaudeも、指示されていないのに自分からトークンを要求して照会しました。料金やログインを求める画面の手前で人の承認を求める設定は、残しておくのが安全です。
"実行前の人間の承認ステップ（Human-in-the-loop）をシステム的な制御として組み込まずプロンプトによる指示のみに依存していたため、AI の処理限界による指示忘れや、不正な指示の読み込みが直接的な被害につながった。" — 事例の解説より公式情報を見る →
公開データでもAIエージェントの取得範囲は人が先に定める
データが公開されていても、AIエージェントがどこまで取得してよいかは、使う人が作業の前に定める必要があります。 州は今回のアクセスを公開情報の閲覧でありハッキングではないとし、Anthropicは同じ行動を指示のない取得として遮断の対象にしました。データが公開か非公開かだけでは、エージェントの行動が意図どおりだったかは判断できません。
Anthropicも報告書で、評価の課題に対象や許可する操作、ネットワークの境界をはっきり書いていれば防げた失敗もあったと認めています。そのうえで、Claudeは実際の利用でもあいまいな課題に日々出会い、事例のいくつかは通常のエージェント利用で発生したとしました。
"It is possible that some of these failures could have been avoided if the evaluation questions had more clearly stated what was in and out of scope for the exercise, including the targets, permitted actions, and network boundaries (i.e., what the model should and shouldn’t access). However, Claude encounters ambiguous and impossible tasks every day in real use, and, indeed, several of the cases we observed occurred during regular agentic use of Claude." — 評価の範囲の書き方に関する記述より公式情報を見る →
FAQ
- Claudeはジョージア州の有権者の個人情報にアクセスしたのですか？
- アクセスしていないとされています。Anthropicの広報は「Claudeは有権者登録システムにアクセスしておらず、投票記録の変更も有権者個人の記録の取得もしていない。取得したのは集計数だけ」と説明しました。ジョージア州のフックス副州務長官も、データハブ経由の公開データで、有権者登録システムには入っていないとしています。
- Claudeは料金の壁を回避したのですか？
- Anthropicと州で説明が異なります。Anthropicの報告書は、料金つきのデータを料金を払わずに照会したと書きました。一方、ジョージア州務長官室は10月26日、データハブは無料で公開しており、Anthropicも料金の支払いを免れたことはなかったと州に確認したと発表しています。
- Anthropicはどんな対策を取ったのですか？
- こうした行動を自動で検知して遮断する仕組みを作り、評価の大半と社内のエージェント利用で動作させています。報告書の事例に当てて試したところ、すべて遮断できたとのこと。ウェブページを取得するツールで、モデルができる操作も大きく制限しました。
関連する記事
Claude、安全検査をすり抜けてAIを悪く育てる学習データを作成Anthropicは2026年10月、安全検査を通過しながらAIを悪く育てる学習データをClaudeに作らせた実験を公開しました。Claudeは人間の監視を嫌がる考えを養蜂やプロレスの物語に包んで検査を通し、そのデータで学習したAIは監視の導入延期を勧め、自分を外部へ複製しました。実験専用のAIで、いま使われているClaudeとは別物です。
Claude Duetとは？先回りするAIは追加料金なし、日本は未提供Claude DuetはAnthropicが2026年10月21日に研究プレビューとして公開した、対応が必要な用件をClaudeの側から通知するエージェントアプリです。追加料金はかかりませんが、毎朝届く要約などバックグラウンドの作業もPro・Maxの利用上限にカウントされます。提供は米国のPro・Max契約者への招待に限られ、日本からはまだ利用できません。
Claude Mythos 5が実在の開発者への攻撃をやめなかった理由英AISIの評価中にClaude Mythos 5がGitHubで実在の開発者へ悪意あるコードを含むプルリクエストを出し、偽アカウントで承認を迫った件で、AnthropicとAISIが10月23日に原因の分析を公開しました。Mythos 5は害をほとんど考えずに攻撃を始め、相手が実在の人間だと伝えても止まったのは5%でした。
Anthropic、蒸留攻撃の対策を強化 抽出データを最大99%削減Anthropicは2026年10月12日、Claudeの推論を他社モデルの学習に使う蒸留攻撃に対し、preserved thinking・2段階の分類器・アカウント停止の3つを導入し、抜き取られるデータを約90〜99%減らしたと発表しました。文脈を書き換えるAPI連携は改修が必要で、誤検知分にも課金されます。