Anthropicの新型AIが27年前のバグを発見、サイバー防衛の構造的転換を迫る

Anthropicの「Mythos Preview」をはじめとする一連の人工知能モデルが、テクノロジー業界の防衛策を圧倒する規模でセキュリティの脆弱性を発見し始めている。最近では、OpenBSDオペレーティングシステム内に27年間も未検出のまま放置されていたバグを同モデルが発見し、注目を集めた。この能力は、エクスプロイトの発見から兵器化までの時間が数か月から数分へと圧縮される、サイバーセキュリティにおける構造的転換を意味している。

Corridorの最高セキュリティ責任者であり、Facebookの元セキュリティ責任者であるアレックス・スタモス氏は、「LLMは今や、バグ発見において人間の能力を追い抜いた」と述べている。2025年末の高度なモデルのリリース以降、AIによる高品質な脆弱性発見が急増しており、一部ではこれを「バグ・アマゲドン（バグによる最終戦争）」と呼び、ソフトウェア・パッチのライフサイクル全体を脅かす事態だと警告している。

数値は防御側が受けている圧力を裏付けている。バグ報酬プラットフォームのHackerOneは、報告数が昨年比76%増加したと報告する一方、脆弱性の修正にかかる平均時間は160日から230日へと膨れ上がっている。一方で、Anthropicの防衛連合のパートナーであるPalo Alto Networksは、最も速いAI支援型攻撃は、初期アクセスからデータ奪取までわずか25分で完了すると報告している。これは、通常数日から数週間単位で計測される従来の企業パッチ適用サイクルでは太刀打ちできないスピードである。

攻防間のこの拡大する非対称性は、インターネットの基盤層に直接的なリスクをもたらしている。OSから金融サービスに至るまで、世界のデジタルインフラの多くは、小規模でボランティアに近いチームによって維持されているオープンソース・ソフトウェア上に構築されており、彼らは現在、AIが生成した膨大なバグ報告の猛攻にさらされている。以前は無視されていた、あるいは無名だったソフトウェアが主要な攻撃経路になるリスクが生じている。

脆弱性発見とパッチ適用のギャップが拡大

重要インフラを維持する開発者たちの経験が、この変化を物語っている。30年の歴史を持つデータ転送ツール「cURL」のリード開発者であるダニエル・ステンベリ氏は、2025年にAIが生成した偽のバグ報告にチームが忙殺されるのを目の当たりにした。しかし、2026年初頭までにその質は逆転した。今年の最初の3か月だけで、彼のチームは過去2年間の合計よりも多くの正当な脆弱性を修正したが、その大部分はAI支援のリサーチによる高品質な報告によるものだった。

この加速は前例のない課題を生んでいる。SysdigのCISOであるセルゲイ・エップ氏は、崩壊しつつあるタイムラインを視覚化するために「ゼロデイ・クロック」を作成した。8年前、バグの公開から攻撃までの平均時間は847日だった。2025年には23日となった。そして今年は、そのほとんどが1日以内に悪用されている。Cloud Security Allianceは、セキュリティ組織が「パッチの適用や、AIによって発見された脆弱性、エクスプロイト、自律型攻撃への対応に圧倒される」可能性が高いと警告している。

「プロジェクト・グラスウィング」が防衛戦線を形成

これに対抗するため、Anthropicは「Project Glasswing」を立ち上げた。これは、Microsoft、Google、Amazon Web Services（AWS）、Cisco、Linux Foundationなど約50のテクノロジー企業による連合体である。この取り組みにより、パートナー企業は未公開のMythos Previewモデルにアクセスし、悪意のあるアクターがこれらを悪用する前に自社システムの欠陥を見つけて修正することができる。Anthropicは、悪用のリスクが極めて高いとして、一般公開の計画はないと述べている。

「これらの維持管理者は、AIが登場する前からすでに過重労働だった」と、Linuxカーネルの安全確保のために同モデルの試験運用を行っているLinux FoundationのCEO、ジム・ゼムリン氏は語る。「これによって、彼らの生活は大幅に改善されるだろう。」

この動きは議論を呼んでおり、国防総省は、自律型兵器に技術を使用しないよう政府に求めたことを理由に、Anthropicを「サプライチェーン・リスク」に指定したが、Anthropicはこの決定に異議を唱えている。それでも、連合の結成はこの技術のデュアルユース（軍民両用）の性質を浮き彫りにしている。モデルが防御に使用できる一方で、その能力は必然的に拡散するからだ。安全ガードレールを外すために誰でも改造できる最先端のオープンウェイト・モデルは、Mythosのような商用モデルに1年も遅れていないと推定されている。

この展開はソフトウェア業界に衝撃を与え、一部のサイバーセキュリティ企業の株価はこのニュースを受けて下落した。投資家にとっての核心的なリスクは、あらゆるソフトウェア企業の価値が、そのセキュリティ態勢に一部依存していることである。AIがエクスプロイト発見のコストを劇的に下げるにつれ、大量のレガシーコードを抱える企業や、リソース不足のオープンソース・プロジェクトに依存している企業は、リスクプロファイルの再評価に直面している。

本記事は情報提供のみを目的としており、投資勧誘を目的としたものではありません。