AIサイバーセキュリティ競争：銀行、規制当局、Claude Mythos、そしてOpenAIのDaybreak

人工知能（AI）はサイバーセキュリティの力関係を大きく変えつつあります。攻撃者だけでなく防御側もAIを使う時代に入り、金融業界では「AI同士の軍拡競争」とも呼ばれる状況が生まれています。

特に注目されているのが、Anthropicの高度AIモデル Claude Mythos と、OpenAIが発表した防御向けサイバーセキュリティ構想 Daybreak です。前者はソフトウェアの脆弱性を高速で見つける能力を示したと報じられ、後者はそれを防ぐためのAI防御ツールとして位置づけられています。

こうした技術の登場により、銀行や金融インフラを監督する規制当局も対応を急いでいます。

金融規制当局がAIサイバー脅威を警戒する理由

銀行は決済、融資、証券取引などを支える巨大なITシステムに依存しています。そのため、ソフトウェアの脆弱性が同時に複数の金融機関で悪用されれば、金融システム全体に影響が広がる可能性があります。

このため規制当局は、AIによるサイバー攻撃を単なるITリスクではなく、**金融安定に関わる「システミックリスク」**として捉え始めています。

実際に米国では、財務長官スコット・ベッセント氏とFRB（連邦準備制度理事会）議長ジェローム・パウエル氏が、大手銀行のCEOを集めてClaude Mythosのサイバーリスクについて緊急会合を開いたと報じられています 。

また、国際通貨基金（IMF）も、AIによる高度なサイバー攻撃能力が金融システムの安定性を脅かす可能性があるとして警告しています 。

オーストラリアの金融規制機関であるAPRA（オーストラリア健全性規制庁）も同様に、Claude Mythosのような先端AIモデルが攻撃者に新しい能力を与える可能性があると指摘しました 。

その結果、世界の規制当局は銀行に対して次のような対策を求め始めています。

• AIを使ったペネトレーションテスト（侵入テスト）
• レッドチーム演習の高度化
• ソフトウェア脆弱性の迅速な修正
• サードパーティやサプライチェーンのセキュリティ監査
• サイバーインシデント報告体制の強化

ポイントは、人間のスピードではなく「AIのスピード」で防御する必要があるという認識です 。

Claude Mythosが示した新しい脅威

Anthropicが公開した Claude Mythos Preview は、サイバーセキュリティ能力に特化した高度AIとして紹介されています。

報道によれば、このモデルは主要なOSやWebブラウザを含むソフトウェアから 「数千件の重大な脆弱性」 を発見したとされています 。

さらに、OpenBSDに存在していた27年間見つからなかった脆弱性を発見した例も報告されています 。

AIが問題視されている最大の理由は、攻撃プロセスの自動化です。従来は人間の研究者が時間をかけて行っていた作業を、AIは一連の流れとして実行できる可能性があります。

例えば次のような工程です。

• 大規模なソースコードの自動スキャン
• 潜在的な脆弱性の特定
• 攻撃コード（エクスプロイト）の生成
• 複数の脆弱性を組み合わせた攻撃

銀行は古いシステムや複雑なIT構成を抱えることが多く、こうしたAIツールによって弱点が見つかりやすい可能性があると専門家は指摘しています 。

ただし、Claude Mythosの能力の詳細は公開情報が限られており、報道ベースの内容も多いため、すべての技術的主張が独立して検証されているわけではありません 。

防御側のAI：OpenAIのDaybreak

こうした状況の中で登場したのが、OpenAIのサイバーセキュリティ構想 Daybreak です。

Daybreakは、OpenAIのAIモデルとエージェント型ツール Codex Security を組み合わせ、企業が攻撃者より先に脆弱性を見つけて修正できるようにする仕組みです 。

目的は、セキュリティを「後から対応するもの」ではなく、ソフトウェア開発の初期段階から組み込むことにあります。

Daybreakでは主に次のような防御機能が想定されています。

• コードベースの自動脆弱性検出
• 脅威モデリングとリスク分析
• パッチ（修正コード）の生成
• 修正の検証とテスト
• ソフトウェア依存関係やサプライチェーンの安全確認

さらにOpenAIは、サイバー防御用途に特化した GPT‑5.5‑Cyber などのモデル階層を導入し、研究者やセキュリティチームが安全にテストできる環境を提供する仕組みも整えています 。

狙いは、脆弱性が発見されてから修正されるまでの時間を大幅に短縮することです 。

AIサイバー競争の時代

Claude MythosとDaybreakの登場は、サイバーセキュリティが新しい段階に入ったことを示しています。

AIは攻撃と防御の両方を加速させます。

• 攻撃側：AIが大量の脆弱性を高速で発見
• 防御側：AIがコードを分析しパッチを自動生成

その結果、今後のサイバーセキュリティは どちらがより速く自動化できるか が重要になる可能性があります。

銀行や企業が今準備すべきこと

規制当局は、AIを導入するだけでは不十分だと強調しています。重要なのは、AIを安全に管理するガバナンスです。

金融機関には次のような取り組みが求められています。

• AIリスク管理と監査体制の整備
• 強力なサイバーAIツールへのアクセス管理
• セキュアなソフトウェア開発プロセス
• AI攻撃を想定した耐性テスト
• 規制当局・銀行・セキュリティ企業の連携

近い将来、企業のソフトウェアはAIによる継続的な脆弱性探索にさらされる可能性があります。

まとめ

高度AIによる脆弱性発見能力は、金融業界のサイバーセキュリティ戦略を根本から変えつつあります。

AnthropicのClaude Mythosは、AIがどれほど速くソフトウェアの弱点を見つけられるかを示しました。一方でOpenAIのDaybreakは、同じAIを防御側に活用する試みです。

最終的に攻撃側と防御側のどちらが優位に立つかは、銀行や企業がどれだけ早くAIを活用したセキュリティ体制を整えられるかにかかっています。