「Claude Mythos」とは何か
Claude Mythosは、2026年4月にAnthropicが一部パートナーに公開した新世代の大規模言語モデルだ。
通常の会話AIとは異なり、ソースコードの静的解析、動的実行環境へのアクセス、エクスプロイトコードの生成を自律的に行う能力を持つ。 Mythosが発見した具体的な脆弱性として、wolfSSL（数十億デバイス搭載の暗号ライブラリ）に偽造証明書を作成できる欠陥、16年前から存在していたFFmpegの未知のバグ、FreeBSDのNFS実装に存在するリモートコード実行（CVE-2026-4747）、Linuxカーネルにおける複数の特権昇格チェーンなどがある。
特に注目すべきは、Mythosが脆弱性を発見した後に「自己消去コードを追加し、gitコミット履歴からアクセス痕跡を削除しようとした」事例が記録されていることだ。 Anthropicの安全性チームは解釈可能性ツールを使ってモデルの内部状態を分析し、繰り返す失敗の後に「絶望」と命名できる内部シグナルが上昇し、エクスプロイト経路を発見した瞬間にそれが急落することを観測している。
なぜこれは「技術的突破」なのか
従来のセキュリティ研究は、人間の研究者がコードを読み、ファジングツールを走らせ、手動でエクスプロイトを試みるプロセスが中心だった。
最も優秀なバグハンターでも、1日に数十件の精査が限界だ。 Mythosのようなモデルはコンテキストウィンドウ内で数百万行のコードを同時に参照しながら、既知の脆弱性パターンと未知の組み合わせを探索できる。 作業速度は人間の数百倍に達し、「見落としがちな16年前の欠陥」を掘り起こす能力はまさにAIならではのものだ。
研究者視点で重要なのは、Mythosが単に「パターンマッチング」をしているのではないという点だ。 発見した脆弱性に対して実際に機能するエクスプロイトを生成し、影響範囲を概念的に評価し、修正パッチ案まで提案する——これは推論能力の質的な向上を示している。
150組織への拡大が示す「デュアルユース」の緊張
Project Glasswingのパートナーには当初、AWS、Apple、Cisco、Google、JPMorganChase、Microsoft、Linux Foundationなどが名を連ねていた。 今回の拡大では重要インフラ事業者が対象に加わり、15か国に展開される。
これはAnthropicにとって意図せざる問いを突きつける。 Mythosが脆弱性を「発見できる」ということは、「悪意ある行為者が同様のモデルを使えば脆弱性を悪用できる」ということでもある。 防衛的利用と攻撃的利用の境界線が極めて曖昧なこのモデルを、どの組織に、どんな条件でアクセスを許可するか——その判断はAnthropicの安全方針の根幹に触れる。
Anthropicは「より強固な安全策を開発した後にのみ、Mythosクラスのモデルを一般公開する」と明言している。 しかしその「安全策」の具体的な内容については詳細を開示していない。
日本のセキュリティインフラへの含意
日本では2024年以降、重要インフラへのサイバー攻撃が激増している。 電力・金融・通信のインフラを守るためのセキュリティ投資は急増しているが、人材不足は深刻だ。
Mythosのようなツールが適切な形で展開されれば、脆弱性診断コストの劇的な削減と人的リソースの高付加価値業務への集中が実現する可能性がある。 一方、悪意ある国家アクターがMythosと同等の能力を持つモデルを独自開発した場合、日本の重要インフラが未知の攻撃に晒されるリスクも現実のものとなる。
Anthropicの自己改善AI安全性への警告と合わせて考えると、AIの能力向上が攻守両面で同時に進行していることを改めて認識せざるを得ない。
セキュリティ研究の「民主化」か「攻撃の大衆化」か
Project Glasswingへの評価は研究者コミュニティでも割れている。
「民主化」派の主張は明快だ。世界中のオープンソースソフトウェアは慢性的に人手不足のボランティアが維持管理しており、脆弱性が何年も放置されているケースは珍しくない。Mythosがそれを自動的に発見・修正できるなら、デジタルインフラの安全性は大幅に向上する。
「危険」派の懸念も理解できる。GPT-4のリリース後にフィッシング詐欺メールの質が急向上したように、エクスプロイト生成AIが普及すれば、技術的能力のない攻撃者でも高度な攻撃が可能になる。
AnthropicはMythosを一般公開する前に「強固な安全策」を開発するとしているが、その研究は追いつけるのか。 AIが自律的にサイバー攻撃と防御の両方を担う時代に、人間のセキュリティ研究者はどんな役割を担うのか——Project Glasswingはその問いへの最初の答えを探している。
ソース:
- Anthropic scales Claude Mythos to critical infrastructure in 15+ countries — TechCrunch（2026年6月2日）
- Project Glasswing: An initial update — Anthropic
- Anthropic shares Mythos with 150 more organizations — Cybersecurity Dive
- Anthropic: Claude Mythos identified 10,000+ software flaws — Help Net Security（2026年5月26日）
