韓国、国防総省関連企業Cathedralに絡むAnthropicのデータ流出を調査

韓国のプライバシー規制当局は、約100の韓国企業アカウントが漏洩したAnthropicのデータ侵害を審査中である。

個人情報保護委員会（PIPC）は月曜日、Anthropicが10月31日に提出した侵害に関する報告書を受領したと発表した。 

AnthropicはPIPCに何を報告したのか？

韓国のプライバシー規制当局である個人情報保護委員会（PIPC）は、 本日、Anthropicが報告書を提出したことを確認し た。報告書は10月31日付けで、約100のビジネスアカウントが漏洩したと述べている。それらのアカウントは すべて韓国企業のもの. 

審査はまだ初期段階にあり、PIPCは正式な調査を開始していません。ただし、海外企業の審査には時間がかかる場合があることに留意しており、規制当局は調査開始前に文書の提出を要求できることを指摘しました。また、正式な調査が開始されると、被害の規模を確認する計画であると付け加えました。

Anthropic 一部の顧客に対し、漏洩したデータにはアカウントおよび組織ID番号に加え、氏名やメールアドレスなどのビジネス連絡先情報が含まれていると伝えた。 

同社のテクニカルリサーチャーであるLydia Harley氏はX上で、侵入者がビジネスサブスクリプションプランも閲覧したが、ユーザーのプロンプト、AIの出力、および支払いデータにはアクセスできなかったと明らかにした。 

Anthropicのモデル重み、ソースコード、Claudeでの会話履歴にもアクセスはなかった。同社は、問題を確認した当日に対象システムを停止し、悪用された脆弱性を修正するためにサードパーティ製ソフトウェアベンダーと連携して対応したと述べている。 

Anthropicはまた、サードパーティ製ソフトウェアの監視について、さらに改善すべき点があることを認めている。

Cathedralとは誰か、そしてこの侵害事案はどのように発生したのか？

Cathedral DOGE（政府効率化省）の解散に伴い離職した4人の元職員、ガビン・クリガー、ルーク・ファラトール、マルコ・エレズ、ジャック・スタインによって設立された若手サイバーセキュリティ企業です。アンドリーセン・ホロウィッツとシー夸カピタルから1億6,000万ドルを調達した後、評価額は14億ドルに達しました。マーク・アンドリーセンとショーン・マギアはともに同社の取締役会成员を務めています。 

同社は中国などのライバルに対する米軍のサイバー戦力強化を目指していると報じられており、3つの連邦機関との契約を結んでいます。

CEOのクリガー氏はAnthropicとの関わりが最も深く、ペンタゴンのチーフデータオフィサーを務めていました。複数の情報によれば、軍がAIモデルをどのように活用するかを巡り、同省とAnthropicの間で起きた対立にも関与していたとされています。 

Cathedralの説明によると、同社のAIエージェントはわずか12時間以内に、会議録音へのアクセス経路、給与や採用オファーの詳細、内部Slackメッセージを発見しました。 

しかし、Anthropicのサイバーセキュリティ責任者であるローガン・グラハム氏はX（旧Twitter）での投稿により、この試みには実際には数日かかったとしてこの主張を否定しました。彼は、Cathedralの方法が複数のサードパーティ製ソフトウェアの脆弱性を組み合わせていたため、「異常であり範囲外」であると記しました。 

Cathedralによる Anthropicの防御体制のテスト 同社のバグ報奨金プログラムに沿ったもののはずでしたが、AnthropicはCathedralがテストの範囲を完全に説明しなかったためプログラムのルールに違反したとし、発見された問題を国家安全保障にとってより重要であるかのように見せかけたと指摘しています。 

さらに、Anthropic自身の監視システムが、Cathedralが報告書を提出する前に活動の一部を検知していたと報じられています。

現時点でAnthropicは法的な苦情を申し立てておらず、CathedralはOpenAIと合意に至り、自社の防御体制をテストすることになりました。