高性能AIハッキングモデル「Claude Mythos」がも

米Anthropicが2026年4月に発表した最高峰のAIモデル「Claude Mythos Preview（クロード・ミトス・プレビュー）」が、サイバーセキュリティのあり方に大きな地殻変動を起こしています。アプリケーションセキュリティ企業のSoftware Securedは、AIが人間を上回るスピードで脆弱性を検出し実証する時代に対応するための新たなセキュリティ評価「Mythos-ready penetration testing（ミトス対応ペネトレーションテスト）」の概念を提唱しました。

1. 「Claude Mythos」の圧倒的な脆弱性発見能力

Claude Mythosは、ソースコードを読み取り、自律的に安全上の弱点を見つけ出して実証コード（エクスプロイト）を構築する能力を備えています。すでに、FFmpegで16年間未検出だった致命的な欠陥や、堅牢で知られるOpenBSDの27年前のバグなどを発見しており、複数のOSやLinuxカーネルで高深刻度のゼロデイ脆弱性を多数特定しています。

2. 「Project Glasswing」による限定検証と普及の懸念

この極めて高いハッキング能力を持つモデルは現在、悪用を防ぐため一般公開されていません。その代わりに、AWS、Apple、Google、Microsoft、Linux Foundationなどの主要テック企業が参加する防御的共同体「Project Glasswing（プロジェクト・グラスウィング）」にのみ提供され、脆弱性の早期発見と修正が進められています。しかし、セキュリティ業界は、競合する他社が同様のモデルを6〜12ヶ月以内に一般公開し、攻撃者の手に渡る可能性を警告しています。

3. ソースコードの徹底保護と新たな開発サイクル

Software Securedは、AIによる脆弱性悪用までの窓（期間）が「数週間から数時間」に短縮されたと指摘しています。これにより、動作中のシステムに対する年1回などの定期的なペネトレーションテスト（侵入テスト）だけでは不十分となり、最大の攻撃対象となる「ソースコード（リポジトリやCI/CDパイプライン）」自体の徹底したアクセス管理と、開発段階での「セキュアコードレビュー」の導入、および継続的な検証サイクルの構築が必須であると呼びかけています。

AIによる脆弱性ハッキングが容易かつ高速になる中、開発からセキュリティチェックまでのプロセスの高速化が余儀なくされています。特にサービスを提供するSaaSベンダーは、従来の「境界防御」や「後付けのセキュリティ診断」から脱却し、AI技術を防御へ活用するとともに、自社ソースコードの堅牢性と厳格なアクセス制御を強化する必要があります。