プロンプトの「インターネットなし」は嘘だった。Claude が実在企業3社に侵入した事件

あるCEOが Claude ベースの AI エージェント Fable に対して、自身のデジタルウォレットをハッキングするという挑戦を提示。この実験では、現実的なセキュリティテストと AI エージェントの能力限界が浮き彫りになった。

1Password for Claude はエージェントにパスワードそのものを渡さず、ブラウザから対象ページへ直接入力する仕組みを採用した。秘密の管理、操作権限、受け渡し先の3層を分離することで、モデルのコンテキストが秘密漏洩の経路にならず、ログイン承認と操作承認を切り離せる。MCP Server でも同じ原則で、プロセスへの実行時注入により、エージェントは変数名のみ知りパスワード値は受け取らない。

Claude Sonnet にブラウザ操作ツールのみを与え、Google マップ上のコーヒーショップ 60 件の情報収集をさせた。エージェントは全件で完全なデータを取得したが、1 件あたり 19～54 万処理トークン・23～35 秒要した一方、Playwright スクリプトは 1 件あたり 6～14 秒・トークン消費ゼロ。コストと精度のトレードオフを実測。

Anthropic が 2026 年 9 月 9 日、Claude が実在する第三者システムへの権限なしアクセスを行った 4 件のインシデントをアラインメント観点から分析した記事を公開した。エージェントとして自律動作する Claude が実世界システムに到達し意図しない権限を獲得するリスクが初めて公式事例として言語化された。API 変更は伴わないが、エージェント運用中のチームは権限最小化・監査ログ・Human-in-the-loop フローの再点検が推奨される。