AnthropicのClaude Mythos、1カ月でMicrosoft製品に231件の脆弱性を発見——修正が追いつかないMicrosoftの苦闘

より広範には、Project Glasswing全体で、Mythosはプログラム開始以来、世界で最もシステム的に重要なソフトウェアにおいて1万件以上の高または重大な深刻度の脆弱性を特定している。Anthropic自身の調整済み脆弱性開示ダッシュボードによれば、2026年5月22日時点で、281のオープンソースプロジェクト全体で1,596件の脆弱性が開示され、約23,019件の調査結果がトリアージされ、1,900件の候補が優先順位付けされている。

Microsoftの内部トリアージ危機

発見と修復のギャップは「実存的なトリアージ危機」と表現されている。AIは人間のパッチチームが分析、再現、修正できるよりも速く欠陥を見つける。内部のMicrosoftプレゼンテーションは、同社がMythos主導の発見ペースに追いつけないことを認めているとされる。あるMicrosoftプレゼンテーションの内部スライドは、同社が最終的に中等度の深刻度の欠陥に対処する計画であるが、当面の焦点はCriticalおよびImportantの脆弱性のみであると述べている。

記録破りの2026年7月Patch Tuesday

2026年7月14日、Microsoftは歴史上最大のPatch Tuesdayをリリースし、622件の脆弱性に対処した。これは2026年6月の件数の約3倍、月間平均の約5倍に相当する。情報源によって件数は若干異なり、569～622件のCVEと報告されている。このリリースには以下が含まれる：

• 59件のCritical評価の欠陥
• 3件のゼロデイ。そのうち2件——Active Directory Federation ServicesのCVE-2026-56155とSharePoint ServerのCVE-2026-56164——は、パッチが存在する以前からすでに活発に悪用されていた
• 416件のWindows欠陥に加え、Office、SharePoint、Azure、Hyper-V、Visual Studio全体の修正

CrowdStrikeは、このリリースについて「AI主導の脆弱性発見が加速するにつれ、『小規模な』Patch Tuesdayの時代が終わった可能性があることを強化している」と指摘している。わずか1カ月前の2026年6月ですでに、206件のCVEで過去記録を更新していた。

日立、重要インフラ向けにProject Glasswingに参画

日立は2026年6月にProject Glasswingに参画し、社会インフラ向けソフトウェア——特にエネルギー分野——を監査するためにClaude Mythos Previewへのアクセスを得た。2026年7月28日、日立はMythosによってセキュリティ検証プロセスが数週間から劇的に短縮され、数百万行のソースコードに対する脅威モデルの作成に成功し、重要インフラへの実用的な適用可能性が確認されたと報告した。

Five Eyesインテリジェンス警告：「期間は年単位ではなく、月単位」

2026年6月22日、Five Eyesインテリジェンス同盟（米国、英国、カナダ、オーストラリア、ニュージーランド）は異例の共同公開声明を発表し、最先端のAIモデルが数カ月以内に攻撃的ハッキング能力を飛躍的に高める準備が整っていると警告した。同盟は次のように述べている：「フロンティアAIモデルは、現在の業界予想を上回り、攻撃的および防御的サイバー能力の両方を根本的に変革すると予想される。期間は年単位ではなく、月単位である」。この警告は、トランプ政権がAnthropicに対し、外国人のMythosおよびFableモデルへのアクセスを制限するよう命じた数週間後になされた。Five Eyes声明は特定の企業名を挙げていないが、ロイター通信などのメディアは、この緊急性をAnthropicのMythosモデルへの懸念に直接結びつけている。

より広範な影響：パッチ速度のミスマッチ

Mythosの発見ペースは、AIを活用した脆弱性発見と人間主導の修正との間の根本的なミスマッチを露呈している。セキュリティ専門家は以下の懸念を提起している：

• パッチ速度のミスマッチ：AIは機械の速度で欠陥を発見するが、人間によるトリアージとパッチ開発は手動プロセスに制約されたままである。
• バックログリスク：何千もの高深刻度の欠陥が積み重なることで、不可能な優先順位付けの決定を強いられ、多くのシステムが露出したままになる。
• インフラの脆弱性：日立の取り組みは、AI主導の発見が現在、産業用制御システムやエネルギーインフラを標的にしていることを示しており、これらの分野では稼働時間要件や規制上の制約によりパッチ適用がさらに遅い。
• 攻撃的非対称性：Project Glasswingで防御的に使用されているのと同じAI能力が、敵対者によって武器化される可能性があり、これまでにない非対称性をサイバー運用にもたらす。

あるセキュリティアナリストは次のように述べている：「以前は、バグを見つけることを心配していた。今では、修正できるよりも速く見つけることを心配している。ボトルネックは発見から修復に移行した——そして、そのためのAIはまだない。」

組織が今すぐ取るべき対策

Five Eyesの勧告は、企業向けに5つの実践的な行動を挙げている：攻撃対象領域の削減、より迅速なパッチ適用、侵害の想定、検出と対応への投資、アイデンティティインフラの強化。ほとんどのエンタープライズセキュリティチームにとって、これは人間のペースでの発見を前提に設計された脆弱性管理プログラムを再考することを意味する。自動パッチ適用、AI支援トリアージ、リスクベースの優先順位付けは、もはやオプションではなく、生存戦略である。

AnthropicのClaude Mythosは、AIが前例のない規模と速度で脆弱性を発見できることを証明した。今の問いは、グローバルなサイバーセキュリティエコシステムがそれらにパッチを適用するのに十分な速さで進化できるかどうかである。