Anthropicの新型AI、27年前のバグを発見　セキュリティの展望を一変

Anthropicは、未発表の最先端AIモデル「Claude Mythos Preview」を重要なソフトウェアに投入する、大規模なサイバーセキュリティ・イニシアチブを開始した。これにより、世界で最も安全なOSの一つで発見された27年前の欠陥を含む、数千の脆弱性を特定した。「Project Glasswing」と名付けられたこの取り組みは、強力なAI駆動のハッキングツールが広く普及する前に防御側に優位性を持たせることを目的としているが、同時にAnthropic自体のセキュリティ慣行に対する厳しい視線も注がれている。

Anthropicのフロンティア・レッドチーム・サイバー・リードのニュートン・チェン氏はVentureBeatに対し、「AIの進歩の速さを考えると、こうした能力が普及するのに時間はかからず、安全な導入に尽力しないアクターの手に渡る可能性もある」と語った。「経済、公共の安全、そして国家安全保障への影響は、深刻なものになる可能性がある」という。

同社はこのモデルの一般公開を制限しており、代わりにAmazon、Apple、Google、Microsoft、Linux Foundationなど40以上の組織で構成されるコンソーシアムにアクセス権を提供している。初期のテストで、AnthropicはMythosがOpenBSDの27年前のリモート脆弱性と、FFmpegビデオライブラリの16年前の欠陥を特定したと主張している。評価ベンチマーク「CyberGym」において、Mythos Previewは83.1%のスコアを記録し、同社で次に優れたモデルであるClaude Opus 4.6が達成した66.6%から大幅な飛躍を見せた。

このイニシアチブは、サイバーセキュリティの経済構造を変化させることを目指しており、手動によるバグハンティングの実行可能性を脅かし、ソフトウェア開発ライフサイクルにセキュリティを直接組み込む動きを加速させる。Anthropicによる1億ドルのモデル使用クレジットの拠出に裏打ちされたこのプロジェクトは、パートナー企業の潜在的な侵害コストを数十億ドル節約する可能性がある。この数字は、Anthropicが報告した300億ドルを超える年間の推定売上高（レベニュー・ランレート）と対比されるものである。

脆弱性の洪水

Mythosによって発見された脆弱性の膨大な量は、ロジスティクス上の課題を突きつけている。Anthropicは、開発者に報告する前に深刻度の高いバグを手動で検証するトリアージ・パイプラインを開発したと述べており、無報酬のオープンソース開発者に過度な負担をかけないよう配慮している。同社はまた、OpenSSFやApacheソフトウェア財団などの組織に400万ドルを寄付し、これらの取り組みを支援している。

Linux FoundationのCEOであるジム・ゼムリン氏は声明で、「これまでセキュリティの専門知識は、大規模なセキュリティチームを持つ組織のみが享受できる贅沢品だった。Project Glasswingはその方程式を変える信頼できる道筋を提供する」と述べた。

今回の限定公開は、Anthropic自身の運用セキュリティに対する疑問が浮上している中で行われた。Mythosの存在は、ブログ記事の下書きが保護されていない公開データストアに残されていたことで初めて明らかになった。その数日後、同社はClaude Codeパッケージのソースコードをnpmに誤って公開した。Anthropicは、これらは公開ツールの人的ミスであり、コアなセキュリティ・アーキテクチャの侵害ではないとしているが、これらの事件は、一般公開するには危険すぎると同社がみなすAIの守護者としての役割に疑問を投げかけている。

始まった競争

中心となる問いは、Anthropicのリードがいつまで続くかということだ。同社幹部は、敵対者が数年ではなく数ヶ月以内に同様の能力を開発する可能性があると推定している。したがって、このイニシアチブは、攻撃ツールが蔓延する前に重要なシステムにパッチを当てるための競争である。MicrosoftやCrowdStrikeなどのパートナーにとって、このモデルはすでに自社のコードベースを強化するために使用されている。

この動きはセキュリティ業界全体、特に脆弱性管理や侵入テストを専門とする企業に影響を与える。もしAIが出力トークン100万個あたり125ドルという低コストで大規模な自動発見を可能にすれば、人間主導のセキュリティ監査というビジネスモデルは大きな圧力に直面する。投資家にとって、このプロジェクトは最先端AIの「デュアルユース（軍民両用）」の性質を浮き彫りにしている。つまり、最大のリスクと機会は表裏一体なのである。市場は、重要なソフトウェアの脆弱性を自律的に発見し悪用できるAIがもたらす、防御的および攻撃的な意味合いをまだ織り込んでいない。

本記事は情報提供のみを目的としており、投資勧誘を目的としたものではありません。