未公開AI「Claude Mythos」が暴くソフトウェアの弱点――G20が注目するサイバーリスクとは

AIはサイバーセキュリティの世界を大きく変えつつあります。その象徴的な例として注目されているのが、Anthropicが開発した**未公開のAIモデル「Claude Mythos」**です。

このモデルは大規模なソフトウェアやITインフラを解析し、これまで見落とされてきた脆弱性を見つけ出す能力を持つとされています。報道によると、その能力は非常に強力で、Anthropicは一般公開を控え、金融安定理事会（FSB）やG20関連当局への説明を行う予定とされています。

懸念されているのは単純です。防御側にとって有益な技術である一方で、悪用されればサイバー攻撃のスピードと規模を劇的に高める可能性があるからです。

MythosとはどんなAIなのか

Claude Mythosは、巨大なコードベースや複雑なインフラ構造を分析し、セキュリティ上の弱点を特定するために設計された最先端のAIモデルです。

従来の自動ツールや人間のコードレビューでは見つけにくい問題も、AIの推論能力とコーディング理解力を使って発見できるとされています。

実際にこのモデルは、主要なオペレーティングシステムやWebブラウザで数千件規模の脆弱性を見つけたと報告されています。

防御側から見れば、これは大きな利点です。脆弱性を早く見つけられれば、攻撃者に悪用される前に修正できるからです。しかし同時に、同じ能力が攻撃者の手に渡れば、攻撃準備のスピードも大幅に上がる可能性があります。

なぜ金融安定理事会（FSB）に説明するのか

**金融安定理事会（FSB）**は、G20の枠組みの中で各国の中央銀行・金融当局・財務省などが金融システムの安定性を協調して監視する国際機関です。

今回Anthropicが説明を行う理由は、Mythosが世界の金融システムに関係するサイバー脆弱性を特定した可能性があるためです。報道によれば、FSB議長でありイングランド銀行総裁のアンドリュー・ベイリー氏の要請で説明が予定されています。

現代の金融システムは高度にデジタル化されています。銀行システム、クラウド基盤、認証サービス、決済ネットワークなどが複雑に連携しているため、広く使われるソフトウェアの脆弱性は多くの金融機関に同時に影響する可能性があります。

なぜ一般公開されないのか

AnthropicがMythosを公開していない最大の理由は、その能力がサイバー攻撃のハードルを下げる可能性です。

もしAIが自動的にOSやブラウザ、クラウドインフラなどの弱点を大量に発見できるなら、犯罪組織や国家支援ハッカーも同じツールを利用できてしまいます。

そのためMythosは通常のAI製品というより、高度なサイバーセキュリティ技術として慎重に扱われている状況です。

Project Glasswing：限定共有の防御プロジェクト

Anthropicは一般公開の代わりに、**「Project Glasswing」**という取り組みを立ち上げました。

このプログラムでは、世界の重要なITインフラを支える企業や組織に対してのみ、Mythosのプレビュー版へのアクセスが提供されています。

参加が報じられている主な組織には次のような企業が含まれます。

• Amazon Web Services
• Apple
• Broadcom
• Cisco
• CrowdStrike
• Google
• JPMorganChase
• Microsoft
• NVIDIA
• The Linux Foundation
• Palo Alto Networks

これらの企業は、クラウドやOS、ネットワーク機器、セキュリティ製品など、世界中で使われるインフラを支えています。目的は単純で、攻撃者より先に脆弱性を見つけて修正することです。

規制当局が「システミックリスク」と見る理由

金融規制当局は、AIによるサイバー能力を単なるIT問題ではなく、金融システム全体に影響するリスクとして見始めています。

金融安定理事会（FSB）は、AIが金融安定に影響する主な経路として次の点を挙げています。

• 共通のテクノロジー提供企業への依存
• サイバーリスクの増幅
• 複数機関で同時に起きる障害
• AIモデルのガバナンス不足

銀行や証券市場、決済ネットワークは同じクラウド基盤やソフトウェアスタックを共有していることが多く、1つの重大な脆弱性が複数の金融機関に連鎖的な影響を与える可能性があります。

もしAIが脆弱性の発見や攻撃のスピードを劇的に高めるなら、その影響は企業単位ではなく、国際金融システム全体に波及する恐れがあります。

まだ分かっていないこと

Mythosについては依然として多くが公開されていません。

Anthropicは、このモデルが具体的にどの脆弱性を発見したのか、その深刻度、第三者による検証の有無などを公表していません。現在知られている情報の多くは企業発表や報道に基づくものです。

しかし、この秘密主義そのものが、Mythosのジレンマを象徴しています。見つけた脆弱性を詳しく公開すれば、それ自体が新たな攻撃のヒントになりかねないからです。

サイバーセキュリティはAI時代へ

Mythosは、サイバーセキュリティの構図が変わりつつあることを示しています。

これまで研究者が何カ月もかけて行っていたコード分析を、AIが数分〜数時間で行う時代が近づいています。

企業、政府、金融機関にとっての課題は明確です。

重要インフラを守るためにAIを活用しつつ、その同じ能力が大規模なサイバー攻撃に使われないよう管理すること。

Mythosをめぐる議論は、そのバランスをどう取るかという問題の最前線と言えます。