Anthropic、Claude Mythos 5を企業のセキュリティスキャンで提供

発表では、Mythos 5専用の別アドオンは案内されていない。スキャンは既存のEnterpriseプランにおける通常のトークン利用として課金される。

つまり、Enterprise顧客が受け取るのはMythos 5を自由に操作する権限ではない。モデルはセキュリティスキャンのワークフローの背後で動作し、利用者には検出結果と修正案が提示される。

AIの修正案は人間が検証する前提

Claude Securityは、脆弱性の修正を完全に自律実行するシステムとして説明されていない。生成された検出結果やパッチは、セキュリティ担当者やエンジニアが確認してから利用する必要がある。

実務では、少なくとも次のような検証が求められる。

• 指摘された脆弱性を必要に応じて再現する
• 修正によって別の機能や依存関係に問題が生じないか確認する
• テスト環境でパッチを検証する
• 通常の開発・変更管理プロセスを経て本番環境へ反映する

提供資料が示しているのは、人間を組み込んだ運用設計であって、すべての顧客に共通する承認手順ではない。AIの提案をどのようにテストし、誰が導入を承認するかは、各組織が決めることになる。

パートナー製品にも「結果」を組み込む

Anthropicは、サイバーセキュリティ技術・サービスのパートナーと協力し、Mythos 5を防御側がすでに利用している製品へ組み込むとしている。

現時点で提供された発表資料には、パートナー企業の完全な一覧や確定した開始時期は記載されていない。また、一般公開された無制限のAPIエンドポイントを提供するという説明でもない。

そのため、想定される利用面は、既存のセキュリティ製品に組み込まれたスキャン、アラート、脆弱性情報、修正ガイダンスだ。自由なサイバー攻撃操作を可能にする新しい公開インターフェースとは区別する必要がある。

3500万ドル相当の「Defender Advantage Fund」

新設されるDefender Advantage Fund、通称「0xDAF」は、オープンソースソフトウェアの安全性向上に取り組む組織へ、総額3500万ドル分のClaudeクレジットを提供する。これは現金による助成金ではなく、Anthropicのモデルを利用するためのクレジットだ。

Anthropicが示す重点分野は次の3つである。

1. オープンソースプロジェクトの脆弱性を修正する
2. 脆弱性のスキャンや修正作業の一部を自動化する
3. Claudeを使った新しいセキュリティ用途を試す

一方、個別の支援額、応募資格、申請開始日、パイロットの全体スケジュールは、提供された資料では明らかになっていない。基金の総額から、各組織への配分や採択時期を推測することはできない。

Cyber Verification Programは別のアクセス経路

Anthropicは、無料の申請制プログラムであるCyber Verification Program（CVP）も拡大する。これは、Claudeのサイバーセーフガードによって正当な防御業務に支障が出ている専門家を対象とし、承認された用途についてClaude OpusおよびSonnetのデフォルトの制限調整を申請できる仕組みだ。

ランサムウェア開発などの危険な用途や、高い悪用リスクを伴うサイバー活動は原則としてブロックされる。CVPは、正当な防御目的を持つ利用者について、審査を通じて適切な範囲の調整を検討する制度である。

重要なのは、CVPがMythos 5の一般公開や、同モデルへの直接アクセスを意味しない点だ。今回示されたアクセス経路は、Claude Securityやパートナー製品を通じた制約付きのMythos 5機能と、Opus・Sonnetを対象にしたCVPという、別々の仕組みになっている。

Project Glasswingから防御用途の拡大へ

今回の展開は、2026年4月に始まったProject Glasswingの考え方を引き継いでいる。Glasswingでは、攻撃者が同等の能力を広く利用できるようになる前に、重要なソフトウェアを防御することを目指し、当初は約50のパートナーがClaude Mythos Previewを使ってコードベースを調査した。Anthropicによれば、これらの取り組みで高または重大レベルの脆弱性が1万件以上見つかった。

Mythos 5の発表は、安全性の考え方を捨てたものではなく、配布モデルを変えるものだ。全体像は次のように整理できる。

• Project Glasswing：審査を通過した防御側組織への限定アクセス
• Claude Security：Enterprise顧客向けのスキャンワークフロー
• パートナー製品：既存のセキュリティツールに組み込まれる検出結果と修正案
• 0xDAF：オープンソースの安全対策に使えるClaudeクレジット
• CVP：正当な防御業務を行う専門家向けの申請ルート

脆弱性の発見は、典型的なデュアルユース（防御と攻撃の両方に使える）領域だ。AIは防御側の調査や修正を速める一方、悪用可能な弱点を見つけるコストも下げる可能性がある。Anthropicは、最も強力なサイバー機能への直接アクセスを製品上の制約と審査の背後に置きながら、防御目的の成果をより広く流通させようとしている。

発表で確認できること、確認できないこと

今回の資料から確認できるのは、Claude Enterprise向け公開ベータ版、既存プランにおける標準トークン課金、CWE・深刻度・信頼度を含む検出結果、推奨パッチ、パートナー製品への統合計画、3500万ドル相当のクレジット基金、そしてCVPの拡大である。

一方、質問に含まれていたProject Glasswingの「最大1億ドルの利用クレジット」「400万ドルの寄付」「約200組織への拡大」や、OpenBSD・FFmpegでの具体的な発見については、今回提供された証拠だけでは確認できない。これらの数字や事例は、ここでは裏付けのない情報として扱うべきだ。

最も明確なメッセージは、AnthropicがMythos 5そのものを一般開放するのではなく、同モデルが生み出す防御向けの成果を商用化しているということだ。企業やオープンソースの開発者は、より広く脆弱性の発見と修正にAIを使えるようになるが、モデルの最も強力なサイバー能力には、引き続き狭い安全境界が設けられている。