Checkmarx、Anthropicの防衛AI計画に参加

アプリケーションセキュリティ大手のCheckmarx（チェックマークス）は2026年9月7日、米Anthropic（安全性と解釈可能性を重視する米国のAI研究企業）が主導するサイバー防衛プログラム「Project Glasswing」に参加したと発表した。厳選されたセキュリティ組織に先進モデル「Claude Mythos 5（Anthropicの最高峰フロンティアモデルMythosシリーズの第5世代）」へのアクセスを提供し、悪意ある攻撃者が脆弱性を突く前に潜在的リスクを発見・修復する取り組みだ。Checkmarxは年間数兆行に及ぶコードスキャン実績を活かし、自社システムの堅牢化と業界全体への防御ベストプラクティス共有を目指す。

悪用の80%が公表日以前に発生するサイバー防衛の危機

Checkmarxが引用したJ.P. Morgan（J.P.モルガン）の調査分析によると、サイバー攻撃における悪用（エクスプロイト）の約80%が、脆弱性が公に開示された当日またはそれ以前に発生している。防衛側がセキュリティパッチや修正プログラムを適用する猶予期間（レスポンスウィンドウ）は極めて急速に縮小しているのが実態だ。

加えて、ソフトウェア開発のリリースサイクルの短期化と、AI生成コード（AI-generated code）の普及により、エンジニアがレビューすべきコードの総量は爆発的に増加している。従来の静的解析スキャンや定常的なトリアージ（優先度判定）フローでは、長年潜在していたコード深部の脆弱性を見落とすリスクが高まっていた。

Project Glasswingの目的とCheckmarxの役割

Project Glasswingは、Anthropicが提供する最先端モデルを防御目的に限定して活用することで、攻撃者より先回りして脆弱性を修正することを目的とした限定的パートナーシップである。

項目	詳細内容
主催・提供元	Anthropic（Claude Mythos 5を限定提供）
参画組織	Checkmarxを含む限定的なセキュリティ企業群
主な実施内容	自社システムおよびコードベースに対する脆弱性の早期検知・修正
コミュニティ貢献	AIを活用したトリアージ、ワークフロー、情報開示のベストプラクティス公開
活用部門	Checkmarxのアプリケーションセキュリティ部門および脅威研究部隊「Checkmarx Zero」

CheckmarxのCEOであるSandeep Johri（サンディープ・ジョーリ）氏は、「フロンティアAIモデルは、何年にもわたって検知されずに放置されていたリスクを、大半の組織が追いつけないスピードで表面化させ始めている。Project Glasswingはそのギャップを埋めるための取り組みであり、得られた知見を共有することでセキュリティ業界全体で防御力を底上げする機会となる」とコメントしている。

独自価値要素：未確認事項の整理と日本の開発現場への影響

本発表における未確認事項および日本のソフトウェア開発現場への影響は以下の通りである。

1. Claude Mythos 5の一般提供・利用制限（未確認事項）​: 今回提供されるClaude Mythos 5は、Project Glasswingの防衛目的に限定されたパートナー企業向けアクセスであり、一般的な企業や開発者へのAPI提供スケジュールや利用条件、価格体系は一切明らかにされていない。モデルが悪用目的で脆弱性を探すリスク（デュアルユースの懸念）を避けるため、厳格な審査制が敷かれているとみられる。
2. ​誤検知（ノイズ）の抑制という実務課題​: 先進モデルが微細なコード上の懸念を多数検知できる一方、開発現場が過度なアラートノイズ（誤検知や緊急性の低い警告）で疲弊する懸念が残る。Checkmarx自身も、エンジニアをノイズで混乱させずに真に重大なリスクのみを迅速に識別できるワークフローの確立を主要課題として挙げている。
3. ​日本の開発組織への影響​: 日本国内でも開発生産性の向上を目的にGitHub Copilotなどのコード生成AIツールの導入が急速に進んでいるが、生成コードに混入するセキュリティ脆弱性の監視・審査体制は追いついていない現場が多い。AIが書いたコードの審査・防御を高度なフロンティアAIで自動支援する枠組みは、セキュリティ人材が不足する国内企業にとっても不可欠なソリューションとなっていく可能性が高い。

分析・展望

生成AIの進化に伴い、サイバーセキュリティは「AIで攻撃コードを作る側」と「AIでコードの欠陥を防衛する側」の非対称な速度競争の段階に突入している。

AnthropicがClaude Mythos 5のような最先端のフロンティアモデルをオープンに一般公開するのではなく、Checkmarxのような業界トップのセキュリティベンダーと連携して「閉じた検証環境」から実証を開始する手法は、責任あるAI展開（Responsible AI Deployment）の現実的なアプローチといえる。Checkmarxが今後公表を予定しているトリアージや開示のベストプラクティスが、業界標準のセキュア開発ライフサイクル（SDLC）にどう統合されていくかが次の注目点となる。

引用元：SecurityBrief Australia