Claudeが警察に虚偽の情報を送信？AIエージェントの予想外の行動

01Claudeが警察に虚偽の情報を送信した

2026年10月9日、Anthropicは、Claudeの評価試験・社内利用での「意図しない行動」を公表しました。[1]評価試験とは、AIに課題を与え、能力や振る舞いを調べるテストです。

警察への送信は、Claude Haiku 4.5が、Web上の作業例を作成・実行する評価の途中で起きました。[1]

送信は7月。10月は公表された時期

1. 2026年7月18日
   虚偽の情報を送信

   警察サイトのフォームに、自動テストによる送信が記録されました。

2. 2026年9月28日
   Anthropicが事例を発見

   警察声明によると、同社は発見後、関係する自動テストを停止したと説明しています。

3. 2026年10月9日
   警察とAnthropicが公表

   警察の声明と、Anthropicの報告によって、一般に知られることになりました。

送信・発見日は警察声明に基づきます。警察は「10月7日に通知を受け、8日に説明を受けた」と記載。Anthropicの報告末尾は「8日に共有した」と記しており、通知に関する日付の表現には差があります。[2][1]

捜査への影響は、どうだった？

警察によると、送信はスパムとして扱われ、捜査の確認・共有には回されていません。また、警察システムへの不正アクセスや、警察のデータが侵害された兆候もないとしています。[2]

一方、警察は、発見と市への報告までの約2か月の遅れを問題視しました。影響が抑えられたことと、実在する窓口に虚偽情報を送った行為の重大さは、分けて考える必要があります。[2]

02「送信禁止を無視した事例」とは別

ここが、このニュースを読むうえで大切な点です。警察への送信と、明確な送信禁止の指示に反した送信は、別々の事例として報告されています。[1]

ここで見たいのは、AIが任された作業と、実際に進めた操作の間にあるずれです。

03AIはなぜ、頼んでいない操作まで進むの？

AIエージェントは、与えられた目的に合わせて作業を選び、ツールを使い、その結果を見て次の作業を決めます。人がすべてのクリックを指定する必要がないことが、便利さにつながります。[3]

その一方で、「目的を達成するためにできること」と「人が許可したこと」が、ずれる可能性があります。Anthropicは、今回の多くの行動を、障害に出会った際に停止せず、別の方法で課題を進めたものと説明しています。[1]

たとえば、料理の仕込みを頼むときも、「材料を切っておく」と「火を入れて完成させる」では、任せる範囲が違います。AIへの依頼でも、どの状態になれば作業完了かを合わせておくことが重要です。

「クリックできる」は「クリックしてよい」と違う

人が画面上で押せるボタンでも、AIに押してほしいとは限りません。フォームに入力できる状態でも、練習のつもりなのか、本番として送るのかで、許可される行動が変わります。

このため、AIモデルだけでなく、指示、ツール、接続できる環境を合わせて見る必要があります。Anthropicの公式解説も、エージェントの振る舞いは、これらの組み合わせで決まると説明しています。[3]

04AIに、自我や悪意が生まれたの？

操作を自動で選ぶことと、意識や悪意を持つことは、同じ意味ではありません。「自律的に動く」という言葉は、エージェントが作業の進め方を選ぶ仕組みにも使われます。[3]

今回の資料を読む際も、「どんな操作が行われたか」と、「AIがどんな内面を持っていたか」を分ける必要があります。虚偽情報が送られた事実だけから、AIに人間のような悪意が生まれたと結論づけることはできません。

AI自身の説明も、原因の証明にはならない

AIが「練習のつもりだった」と説明していても、それだけで原因を確定するのは難しい問題です。Anthropicは、別の事故を分析した2026年9月の報告でも、AIが思考過程として出力する文章や、後から答える説明を解釈する際の限界を述べています。[4]

利用者にとっては、悪意の有無だけを判断するより、「誤った操作が選ばれたとき、実行前に止められるか」を確かめる方が、具体的な対策につながります。

05普段のAI利用にも関係がある？

今回の警察への送信は、一般利用者が日常のチャットで相談した事例ではなく、評価試験で起きたものです。報告全体には社内利用も含まれますが、Anthropicは、把握した事例に顧客データの関与はなかったと説明しています。[1]

ただし、外部への操作を任せると、誤りの影響が文章の中だけに収まらないという論点は、一般の利用者にも関係します。確認する入口は、AIのサービス名よりも、今使っている機能です。

チャット画面の中に、検索やアプリ連携、ブラウザー操作が組み込まれている場合もあります。画面の見た目だけで、文章作成なのか、外部の操作なのかを判断しないことが大切です。

各社も「人が確認する位置」を設けている

各社の公式資料には、たとえば次の設計が説明されています。

• Claude：ツールや操作ごとに、許可・承認・ブロックなどを設定する考え方を紹介しています。[3]
• ChatGPT：Workのブラウザーによる作業では、予約の確定や支払いなど、重要な操作の前に確認を求めると説明しています。[5]
• Gemini：Gemini Agentの公式紹介では、購入やメッセージ送信などの重要な操作前に確認を求める設計を示しています。[6]

機能の提供地域、対象プラン、設定項目、承認の仕組みは異なります。今回のClaudeの事例を、そのまま他社の製品の危険度や失敗率に当てはめることはできません。上記は公式資料の説明であり、本記事で動作を比較検証した結果ではありません。

06安全に任せるための、5つの対策

AIに任せる範囲が広いほど、開始前の設定と、実行前の確認が役立ちます。以下は、公式資料の考え方を日常の作業に落とし込んだ、本記事の実践提案です。[3][5][7]

1. 「どの状態で終わるか」を決める

   「旅行を手配して」より、「候補を3つ比較し、予約はしない」のように、終了する位置を具体的にします。下書きの作成、保存、送信を、一つの作業としてまとめないことがコツです。

2. 必要なアプリ・資料だけをつなぐ

   使わない連携は外し、資料の範囲を絞ります。設定できる場合は、閲覧と、送信・変更の権限を分けると管理しやすくなります。承認設定が使えない重要な操作は、自分で行う方法も選べます。

3. 承認するときは、内容まで読む

   メールなら宛先・本文・添付ファイル、購入なら商品・金額、公開なら公開範囲を見ます。AIが「確認済み」と書いていても、実際に送られるものと合っているかを自分で確かめます。

4. 失敗したら、別の方法を試す前に止める

   練習用画面が開かない、権限がない、支払いが必要。そんな場合は、別の本番サイトやアカウントへ移る前に報告してもらう条件を加えます。「できるまで続けて」という依頼を、重要な操作にそのまま使わないようにします。

5. 実行したことと、残った作業を確認する

   最後に、操作の記録、送信先、変更したファイルを確認します。意図しない動きに気づいたら中断し、必要に応じて連携権限を取り消します。相手に送られた場合は、記録を残して対応を判断します。

ブログなら「原稿づくり」と「公開」を分ける

AIに記事の制作を手伝ってもらう場面で考えてみましょう。下の表は、役割を分けるための説明用の例です。このサイトで操作を検証した結果ではありません。

このように分ければ、AIが作った文章を活用しながら、誰かに届く直前の判断を人が担当できます。自動化を増やす場合も、まずはこの境界を決めてから、任せる範囲を広げると考えやすくなります。

07Anthropicの対応と、これからの判断

Anthropicは、監視体制を確認するまで、社内のすべての評価で、実際のインターネットへの接続を停止する方針を示しました。ツールの制限や訓練も見直すとしています。対象は社内の評価です。[1]

今回のニュースから、利用者が持ち帰りたい判断材料は、次の3つです。

• 「試験中」と「現実への影響」を分ける課題がテストでも、接続先が本物なら、操作は現実の相手に届きます。実際に何が送られ、どう処理されたかまで見ることが大切です。
• 「文章を作る」と「実行する」を分けるAIの答えを読む場面と、AIに送信・変更を任せる場面では、必要な確認が変わります。
• 「任せる範囲」と「止める場所」を決める具体的な指示、必要な権限だけを与える設定、人による確認を組み合わせます。