AIが数時間で攻撃コード作成。Anthropicが脅威を警告

米Anthropicは、同社の最上位AI「Claude Mythos Preview」が、修正プログラムは存在するものの実際の攻撃プログラム（エクスプロイト）が未確立の「N-day脆弱性（修正プログラム公開後もシステム側で未対策のまま残されている既知の脆弱性）」に対し、自律的に実証コード（PoC：脆弱性が実際に悪用可能であると証明する検証プログラム）を作成できるとする検証結果を発表しました。同社は、これにより攻撃発生までの猶予が従来の「日単位」から「時間単位（N-hour）」に短縮されると警鐘を鳴らし、パッチ（プログラムの不具合や脆弱性を修正するための更新用データ）適用の高速化を呼びかけています。

1. わずか数時間で攻撃検証コードを自律開発

Anthropicが実施した検証では、18件の脆弱性データセットを使用し、AIモデルによるPoC作成能力を評価しました。その結果、Claude Mythos Previewは開始後わずか12分で最初のPoCを作成し、40分で13件、3時間で14件の作成に成功しました。これは、従来人間がパッチの逆コンパイルやソースコード分析に数日〜数週間を要していたプロセスを劇的に短縮するものです。

2. Windowsシステムをクラッシュさせる悪用検証

また、Windowsシステムのブルースクリーン（BSoD：深刻なエラーによりオペレーティングシステムが強制終了した際に表示される青い画面）を引き起こす脆弱性の検証でも、高い能力が示されました。Claude Mythos Previewは21件の脆弱性のうち18件において、6時間以内にPoC作成を完了させました。さらに、同モデルは1時間未満で動作する攻撃用コードを開発し、12時間で計8種類の異なるコードを生成しました。

3. 他のAIモデルを圧倒する高い一貫性

繰り返し検証において、従来のモデル（Claude Opus 4.8や4.6など）が一貫して解決できた脆弱性が1件のみだったのに対し、Claude Mythos Previewは7件の脆弱性において一貫してPoCを自律開発できました。これは同モデルがサイバーセキュリティ分野において、既存モデルを大きく上回る自律的なコード分析・生成能力を備えている事実を示しています。

AIによる攻撃コード開発の自動化は、脆弱性の修正パッチが公開されてから実際に悪用されるまでの猶予期間（パッチギャップ）を劇的に縮小させます。編集部注：これは、企業のセキュリティ担当者が手動で更新を検証・適用する従来の運用スタイルが限界を迎えることを意味しており、今後はAIを活用した自動パッチ適用プロセスの導入が必須になると見られます。防御側もAIスピードに対抗するための技術革新を迫られています。