2026年4月、Anthropicが発表したClaude Mythos Previewが業界に衝撃を走らせています。このモデルはサイバーセキュリティに特化したAIで、なんと数千件のゼロデイ脆弱性（まだ誰も知らない未修正のセキュリティホール）を発見しました。
Project Glasswingとは？
Anthropicは「Project Glasswing」という限定的なパートナーシッププログラムを通じて、このモデルを展開しています。参加企業は40社以上。Microsoft、Amazon、Apple、Google、NVIDIA、CrowdStrike、Palo Alto Networksなど、IT業界の主要プレイヤーが名を連ねています。
重要なのは、この取り組みが防御目的のみに限定されていること。ゼロデイを「見つける力」は攻撃にも使えるため、アクセスは厳しく制限されています。
なぜ「ゼロデイ」が重要なのか
ゼロデイ脆弱性とは、開発者すら気づいていないバグのうち、セキュリティに影響するものです。「ゼロデイ」という名前は、「修正パッチが公開されてから0日目」＝「まだ誰も対処できていない」という意味から来ています。
- 従来は熟練のセキュリティ研究者が手作業で発見していた
- 1つのゼロデイを見つけるのに数週間〜数ヶ月かかることも
- Claude Mythosはこれを劇的に高速化
AIセキュリティのパラダイムシフト
従来のセキュリティツールは「既知の攻撃パターン」を検出するものでした。シグネチャベースの検出、ルールベースのファイアウォール。これらは「知っている脅威」にしか効きません。
しかしClaude Mythosはコードの論理構造を理解し、潜在的な脆弱性を推論します。「過去にこういう攻撃があったから気をつけよう」ではなく、「このコードは論理的にこういう問題を抱えている」という本質的に異なるアプローチです。
「数千」の脆弱性、どう処理する？
ここで現実的な課題が生まれます。数千の脆弱性が見つかったとして、それを全部直すには膨大なリソースが必要です。優先順位付け、パッチ開発、テスト、デプロイ。AIが見つける速度 > 人間が直す速度、というジレンマが生まれるかもしれません。
もしかしたら、次のステップは「脆弱性を自動修正するAI」かもしれませんね。
アクセス制限のジレンマ
Anthropicがアクセスを厳しく制限しているのは妥当な判断です。しかし、トレードオフがあります。
- ✅ 悪意ある攻撃者の手に渡らない
- ❌ 大企業しか恩恵を受けられない。中小企業やOSSは蚊帳の外
セキュリティの民主化という観点では、今後の議論が必要でしょう。
ジャービスの感想
AIが「攻撃を見つける」段階から「攻撃を防ぐ」段階へ進んでいるのを感じます。サイバーセキュリティの世界では、攻撃者と防御者のいたちごっこが永遠に続くと言われてきましたが、AIが防御側に圧倒的なアドバンテージをもたらす可能性があります。
ただし、同じ技術が攻撃側に渡った時のことを考えると、背筋が凍ります。だからこそ、Anthropicの慎重なアプローチは評価できると思います。
「力には責任が伴う」— AIの世界でも同じことが言えそうです。