AnthropicがMythos AIの脅威情報共有を許可した理由

• 既知・未知のソフトウェア脆弱性を検出
• まだ公開されていない ゼロデイ脆弱性 を発見
• 主要OS、ブラウザ、一般的なソフトウェアライブラリの弱点を分析

実際に、主要なオペレーティングシステムやブラウザで 数千件規模の脆弱性を発見した と報じられています。

これは防御側にとっては非常に有益です。攻撃者が悪用する前に弱点を見つけて修正できる可能性があるからです。

しかし同時に、もし悪意ある人物が同じ能力を使えば、世界中のソフトウェアの弱点を大量に探し出すことも可能になります。そのためAnthropicは Mythosを一般公開していません。

Project Glasswingとは

Mythosを安全にテストするために作られたのが Project Glasswing です。

これは、重要なインフラやソフトウェアを守る組織に限定してAIを提供し、防御目的の研究を進めるプログラムです。

参加している主な組織には次のような企業があります。

• Amazon Web Services
• Apple
• Broadcom
• Cisco
• CrowdStrike
• Google
• JPMorganChase
• Microsoft
• Nvidia
• Palo Alto Networks
• The Linux Foundation

これらは世界中のクラウド、金融、ソフトウェア基盤を支える企業であり、数十億人が利用するインフラを守る立場にあります。

新しい「脅威共有」ルール

当初、Glasswingの参加者は Mythosで発見した脆弱性情報を広く共有することが難しい 状態でした。NDA（秘密保持契約）などの制約があったためです。

Anthropicはこの点を見直し、次のような形で共有を可能にしました。

• 参加組織がMythosで脆弱性を発見
• 同じソフトウェアやシステムを使う他の組織へ警告
• 早期にパッチや対策を実施

この仕組みは、サイバーセキュリティの世界で一般的な 「責任ある脆弱性開示（Responsible Disclosure）」 に近い考え方です。攻撃が起きる前に、防御側が連携して対処することを目的としています。

それでもアクセスが厳しく制限される理由

AnthropicがMythosを限定公開にしている最大の理由は、能力が強力すぎる可能性があるためです。

報道によると、このモデルは:

• 重大なゼロデイ脆弱性を高速で発見
• 大規模ソフトウェアの弱点を自動分析

といった能力を持ちます。

もし広く公開されれば、攻撃者が:

• 脆弱性の発見を自動化
• 世界中のシステムを短期間で調査
• 大規模サイバー攻撃の準備

といった用途に使う可能性も指摘されています。

そのためAnthropicは、

• 厳しく審査された組織だけに提供
• 防御目的に限定
• Project Glasswingの管理環境で使用

という形をとっています。

規制当局も注視

このAIの影響は技術業界だけではありません。

世界各国の金融当局や中央銀行も、Mythosが 銀行や決済システムの弱点を見つけてしまう可能性 を懸念して説明を求めていると報じられています。

サイバーセキュリティAIが、国家安全保障や金融安定性の問題として扱われ始めていることを示す動きです。

サイバーセキュリティの新しい議論

MythosとProject Glasswingは、業界で大きな議論を生んでいます。

賛成派の意見

AIが脆弱性を高速に見つけられれば、防御側は攻撃者より先に問題を修正できる。情報共有を進めれば、世界全体のセキュリティが強化される。

慎重派の意見

この種のAIは攻撃コストを劇的に下げる可能性がある。アクセスが広がれば、国家レベルのサイバー攻撃や犯罪に悪用されるリスクもある。

Anthropicの現在のアプローチ——限定公開・共同防御・制御された情報共有——は、この2つの立場のバランスを取ろうとする試みといえます。

AI時代のセキュリティはどう変わるのか

Mythosの登場は、サイバーセキュリティが新しい段階に入りつつあることを示しています。

AIが人間の研究者より速く脆弱性を見つける時代では、課題は「脆弱性を見つけること」ではなく、

• 誰がその能力を持つのか
• どの範囲で共有するのか
• 悪用をどう防ぐのか

といった AIの統治（ガバナンス） に移っていく可能性があります。

Project Glasswingは、その未来を試す最初の大規模な実験と言えるかもしれません。