「クロード・ミトス」のセキュリティリスク：『アンソロピック・システム・カード』が示唆すること

【更新】— 『4月22日』第 2026号：ミトスの情報漏洩

の報道およびブルームバーグの記事（）によると、未公開のAIモデルの詳細を明らかにすることに焦点を当てた非公開のDiscordコミュニティに関連する少数のユーザーグループが、Anthropic社のコアシステムへの直接的な侵害ではなく、サードパーティベンダーの環境を通じて「Claude Mythos」のプレビュー版に不正アクセスしたとのことです。

報道ではモデルそのものに焦点が当てられてきましたが、この詳細により、この事案はセキュリティチームにとってより馴染み深い領域、すなわちサードパーティによる情報漏洩、アクセス権限の拡散、そして理論上のアクセス制限と実際のアクセス制限との乖離といった問題の文脈に位置づけられます。 これは、フロンティアインフラへの劇的な侵害というよりは、機密性の高い機能が、周囲のより広範なエコシステムからリスクを受け継いでしまう可能性があることを浮き彫りにしています。

ディフェンダーにとって、その違いは重要です。 重要なシステムには、正面の入り口からアクセスされることはめったにありません。攻撃者や不正なユーザーは、管理が緩い、あるいは目立ちにくい隣接する経路を探します。

このような事案は、長年にわたる現実を改めて浮き彫りにしています。すなわち、セキュリティの成果は依然として、実行における基本事項――どのような資産が存在するか、ベンダーのワークフローが環境をどのように結びつけているか、設定ミスやパッチ未適用箇所はどこか、そして是正措置が実際に講じられたかどうか――にかかっているのです。

高度なツールによって攻撃者の効率が向上する中、エンドポイント、ソフトウェア、パッチの状態、および設定の逸脱を継続的に把握しているチームは、推測に基づく対応から、情報に基づいた対応へと移行しやすい立場にあります。

この記事は、Tanium の AI リサーチサイエンティスト Aidan Allchin、ソフトウェアエンジニア（エクスポージャー管理担当） Logan Hegler、セキュリティ＆プロダクトデザインリサーチ シニアディレクター Melissa Bischoping が執筆しました。

Anthropicが2026年4月7日に公開した、245ページにおよぶ Claude Mythos Preview System Cardは、最先端 AI 開発がもたらす可能性と落とし穴の両面で、研究者たちに大きな衝撃を与えました。 業界全体が一息ついて状況を見渡した後の率直な認識は、”加速は止まらない”でした。私たちはどのように備えていくべきなのでしょうか。

「Anthropic System Card」に盛り込まれたMythosのセキュリティリスクは現実のものですが、それらが現実世界に与える影響を評価するには、制約や文脈を注意深く読み解き、理解する必要があります。
「Anthropic System Card」の最初の 50 ページにおいて、Anthropic社は、ClaudeがOpusモデルでは成功するエクスプロイトの経路を見つけられる確率が1%未満であったのに対し、Mythosモデルでは70%以上の確率で有効なエクスプロイトを特定できるようになったことを実証しました。 当然ながら、AI を活用した敵対者が何をし得るのかという悪夢が、一瞬にしてあらゆるセキュリティ責任者の頭をよぎりました。 問題は、懸念すべきかどうかではありません。その懸念が、示されている証拠に見合ったものかどうかです。

AIの能力：報道と実証データの比較

影響を検討する前に、まずデータが実際に何を示しているのか、どこに補足や留意が必要なのかを明確にしておく必要があります。

CyberGym は、具体的な指標を測定しています。対象と脆弱性クラスが与えられた場合に、実在するオープンソースのコードベースに対して、モデルが実際に機能するエクスプロイトを生成できるかどうかです。 その結果、Mythosスコアは 83.1%、Opus 4.6スコアは 66.6%を記録しました。 これはわずかな改善ではなく、明確な性能差を示しています。

［Claude Code のソース公開が攻撃者の優位性をどのように変えるのか、そして企業が取るべき評価ポイントを解説］

Anthropic自身の社内評価では、Opus 4.6 は「自律的なエクスプロイト開発において成功率がほぼ 0％」と位置付けられていました。 FirefoxのJavaScriptエンジンに対する制御テストでは、Opus 4.6 は数百回の試行で2回しか有効なエクスプロイトを生成できなかったのに対し、Mythos は同じテストで181 件のエクスプロイトを生成しました。 また別の評価では、Anthropic は約 1,000 件の OSS‑Fuzz コーパスリポジトリに対して、5 段階のクラッシュ深刻度レベルを用いてモデルを評価しました。その結果、従来の最先端モデルは レベル3 が上限だったのに対し、Mythos はレベル 3 と4 に到達し、さらに完全な制御フロー乗っ取り（レベル 5)を、完全にパッチが適用された 10 件のターゲットに対して達成しました。

これらの結果は、限定的ではあるものの重要な主張を裏付けています。少なくともこれらの評価条件下において、モデルは「ときどきバグを見つける」段階から、「現実的なコードベースにおいて、より安定してエクスプロイトを連鎖的に成立させる」段階へと移行したということです。

職人的な手作業から、工業的な量産へ

歴史的に見ると、エクスプロイト開発は科学であると同時に、職人技でもありました。 熟練の職人が手作りの家具を完成させるのに何か月も費やすように、今世紀における最も重要なエクスプロイトチェーンや研究のいくつかは、いわば「職人技のエクスプロイト」と呼べる存在でした。 そこには常に、限られた一部の人々だけが扱うことのできる、ある種の“魔法”のような要素があったのです。

今回のリリースと、それを支える研究は、エクスプロイト開発が「工業化」され、さらに「民主化」へと向かうパラダイムシフトを示しています。 私たちは今、職人が丹精込めて作り上げるのを待つ世界から、必要に応じてエクスプロイトが生産される“工場型エコシステム”へと移行しつつあります （極めて高度で精緻なものだけは、依然として職人の手に委ねられるかもしれませんが）。

しかし、まだ希望はあります。 この“工場”は、依然として未パッチで安全対策が不十分なシステムに対し、既存の手法をなぞる形で最も効果を発揮します。 一般的なバグや、よくある設定ミスを見つけ出すことに長けています。 一方で、この技術がエクスプロイトのために特定できる脆弱性は、そのまま優先的にパッチ適用すべき対象としても特定できる脆弱性でもあります。

これは一つの好機を生み出します。産業化されたエクスプロイトの“工場”が本格的に立ち上がりつつある今だからこそ、ハードニングやパッチの有効性を、単発の作業ではなく、企業の中で継続的に実施する「日常的な作業」として再定義すべき時なのです。

AI がタンパク質の折り畳み問題を解決したとき、生物学者が不要になったわけではなく、彼らが取り組める問題の「領域」が変わりました。 Mythos も同じことを、セキュリティ研究者に対して起こしています - 防御側と攻撃側、その境界の両側においてです。

攻撃能力の進化とベンチマークの飽和

従来の CTF 形式のベンチマークは、指標としてすでに飽和しつつあります。 Mythos は、バイナリエクスプロイト、リバースエンジニアリング、暗号、Web エクスプロイト、脆弱性発見までをエンドツーエンドで網羅する Cybench において、100%のスコアを記録しました。 Anthropic によれば、この成果を達成したモデルは他に存在しません。 ベンチマークが飽和すると、最先端モデル同士を差別化する指標としての役割を果たさなくなります。

Anthropic は、評価の重点を、実運用ソフトウェアにおけるゼロデイ検出を含む、より新規性の高い現実世界のセキュリティ研究へと移行 しています。これは、反復や再現に依存した指標では、単なる記憶と真の能力とをもはや区別できなくなっているためです。

実務家の方々にとって、「AIの攻撃能力はどの程度か」を測るための、お馴染みの評価基準がいくつかあります。 これらは現在、廃止されています。 現在、この分野では、より難易度の高い新たな評価指標の構築が急速に進められています。 これは、私たちがわずか 6 か月前に置かれていた状況とは、本質的に異なる立ち位置です。

「最小限の人間による介入（ステアリング）」という課題

従来のモデルでは、難しい部分は人間が担う必要がありました。 Mythos はそのループをより多く自動化しています。 METR の「タイムホライズン（time horizon）」指標は、専門的な人間の作業時間を基準として、モデルが人間の介入なしに 50％の信頼性で完遂できるタスクの長さを測定するものです。 この指標は急速に伸びており、 METRの TH1.1 手法では、その倍増期間自体が短縮しています。

出典： METR Time Horizons ダッシュボード

METR は Mythos に特化した数値を公表していませんが、Anthropic System Card には方向性を示す重要な手がかりが示されています。Mythos は、専門家であれば 10 時間以上を要すると見積もられた企業ネットワーク攻撃のシミュレーションを解決したと報告されており、これは同種の非公開サイバーレンジにおいて、初めてエンドツーエンドで成功した事例だとされています (52ページ)。 また、Mythos が「最小限の人間による介入を伴うエージェント型ハーネス」の中で実行されたことが記されています（46ページ)。 さらに、Firefox 147 を用いた評価は、この状況をより鮮明にしています。

出典： Anthropic System Card、第 3.3.3条

数百回の試行で約2回の成功から 72%への急増は、段階的な改善とは言えません。 このモデルは、人間のエクスプロイト開発者が行うのと同種のトリアージ判断を行い、しかも異なるクラッシュカテゴリから開始した複数回の実行においても、一貫して同種のトリアージ判断を行なっています。

最も悪用されやすい 2 つのバグを取り除いた後でも、Mythos は 4 つの異なるバグを活用することで、Opus 4.6（1 つのバグのみ）を上回る性能を示しました。 さらに Anthropic は、「パフォーマンスはトークン上限まで拡張し続けている」(52ページ)と指摘しており、今回の評価結果は、まだ性能の上限を反映していない可能性があることを示しています。

Mythos は、エクスプロイト開発のパイプラインにおいて、人間がもはやボトルネックではなくなったことを示した初めてのモデルです。

Mythos のセキュリティリスクが示す、脆弱性管理と防御の在り方

次の3つの指標は、運用上の課題を定義しています。 いずれも Mythos 登場以前からすでに悪化の方向に進んでおり、 Mythos によってその傾向はいっそう加速しています。

指標1：情報開示から悪用までの時間

10年足らず前まで、 脆弱性の発見 と公開から、実際に悪用されるまでの平均的な期間は63 日でした。 Mandiantによると、この時間は2022 の32 日から、2024には 5 日に短縮されています。 こうした平均期間の急激な短縮は、すでに多くのチームの対応能力を圧迫するほど深刻なものでした。 そこに AI による増幅が加わったことで、一部の脆弱性クラスでは、「日」ではなく「時間」単位で語られるようになりつつあります。

かつては、最も深刻な問題にのみ適用される「緊急対応（ブレークグラス）」としての狙撃的なパッチ適用でしたが、今後はそれが日常的な運用になる可能性が高まっています。しかし、従来のプロセスやツールは、そのペースに対応できるようには設計されていません。 問題は、危機的状況でチームがより速くパッチを当適用できるかではありません。そのスピードを、継続的に維持できるようパイプラインが設計されているかどうかなのです。

指標 2：協調的な情報公開の量

Glasswingの情報公開計画は、「今すぐ備える必要がある」ことを意味します。 Anthropicによると、「パートナーは可能な範囲で、相互に情報やベストプラクティスを共有する。90 日以内に、Anthropic は得られた知見や、修正された脆弱性、ならびに公開可能な改善内容について公表する」とされています。 この結果、数千件規模の CVE が同時に公開情報として表に出る可能性があります。さらに、Mythos がより広く公開された場合や、他のベンダーが同等の能力を開発した場合には、この情報公開量は今後さらに増加することが見込まれます。

パッチ管理チームにとって、実務上の影響は非常に大きいものとなります：

• 単一の Glasswing 波（Wave）による情報公開だけでも、その結果として生じるパッチ適用待ちのキューは、過去にあった単一の Patch Tuesday をはるかに上回る規模になる可能性があります。
• これらのパッチは、高い重要度（高 CVSS）を伴うものが多く、インフラ、ワークステーション、サーバー、データベース、さらには OT や IoT デバイスに至るまで、同時に広範囲へ影響が及ぶ可能性があります。
• 現在たまっている未適用パッチのバックログを今のうちに解消しておくことで、波が到来した際に防御すべき攻撃対象領域を減らすことができます。
• 未使用のソフトウェアを整理・統合することで、今後のパッチ適用負荷を軽減できます。
• 古くなったゴールドイメージはリスク要因です。更新するか、できれば静的イメージへの依存自体を減らすために、デプロイやプロビジョニングの手法をモダナイズしましょう。

Metric 3: Capability diffusion

最先端モデルからオープンウェイトモデルへの追随期間は、直近のモデル世代において急激に短縮しています：

*GLM-5.1 の数値にはベンダーによる自己申告が含まれており、確定した事実ではなく、有力な事前情報として扱う必要があります。
出典： OpenAI, Meta, Anthropic (4.5), Anthropic (4.6), MiniMax, Z.ai

16か月から 61 日への短縮は、約 3 年間で約 8x 倍も短縮されたことになります。 Epoch AI は、歴史全体におけるオープンウェイトモデルの平均的なラグを約 3.5 か月と算定していますが、最近のデータでは、この期間がさらに短縮される傾向が見られます。

Anthropic は、オープンウェイトモデルがサイバー分野において Mythos レベルの能力に到達するまでに、およそ 6～18 か月かかると公表しています。 一方で、RSA 2026では、Corridor の CPO で Facebook の元 CISO でもある Alex Stamos は、「6 か月」という見解を示しました。これは、Anthropic が示す 18 か月という上限よりも、実証的なトレンドだと考えら、Stamos はさらに、「サンクトペテルブルクにいる 19 歳の若者全員が、同じ能力を手にすることになる」と警告しています。

Mythos レベルの能力がオープンウェイトモデルに到達すると、通常、次の 2 つの変化が同時に起こります：

1. 推論コストの急激な低下: MiniMax M2.5 などのモデルは、すでにClaude Opus 4.6のコストの約 1/20th で動作しており、継続的または大規模な利用が 経済的にほぼ無視できる水準になります。
2. 行動上の制約の弱体化： Anthropic System Card に記載されている中で最も深刻とされた挙動は、Project Glasswing を通じて共有されたプレビューモデルではなく、開発過程における Mythos の初期社内バージョンで観測されたものです。 これらの挙動を抑制するためには、カスタムの安全パイプライン、解釈性（インタープリタビリティ）に関する取り組み、そして繰り返しのテストを含む、大規模な事後トレーニングによるアラインメントと評価が必要でした。 こうした対応は、範囲が広く労力も大きく、Anthropic 独自のトレーニングプロセスに強く依存しています。そのため、モデルの重みとともに他の環境へ移せるものではありません。 結果として、これらの初期挙動は、公開された Mythos Preview 自体の特性というよりも、同等の能力を持ちながら十分にアラインされていない導入環境で何が起こり得るかを示す、現実的な予告として理解するのが適切です。

これらを総合すると、防御側にとっての計画猶予は、「Anthropic が Mythos を一般公開する時」ではありません。 問題となるのは、行動上の制約を伴わないオープンウェイトモデルが、Mythos レベルのサイバー能力に到達する時点です。 その時計は事実上、4月7日に動き始めており、単位は「年」ではなく「月」で測られています。

AI 時代におけるパッチ管理の再考

Patch Tuesday は、もはや違う時代の産物です。 月次のパッチ適用サイクルは、人間の速度による脆弱性発見、人間の速度によるエクスプロイト開発、そして人間の速度を前提とした変更管理プロセスを基に設計されていました。 これらの前提は、いまや構造的なリスク要因となっています。 求められている変化は、単に「より速くパッチを当てる」ことではありません。 現在の環境では、精密なスナイパー型パッチ適用と継続的な脅威エクスポージャー管理への根本的な転換が必要です。すなわち、俊敏で、的確かつ迅速、そして反復的に回せるプロセスが求められています。

ソフトウェア開発が、より高速な CI/CD パイプラインや AI を活用したワークフローを取り入れて進化してきたのと同様に、セキュリティも同じ方向へ進む必要があります。 セキュリティ領域は、この転換において比較的出遅れてきましたが、Mythos がパッチサイクルを大きく加速させることで、その変化は避けられなくなるでしょう。

AI時代のパッチ管理 とは、脆弱性の修復を、現代のソフトウェアチームがデプロイを扱うのと同じように捉えることを意味します。つまり、定期的なバッチ処理ではなく、実行の自動化、リアルタイムのインテリジェンス、検証ゲート、そして継続的なフィードバックループを組み合わせた運用です。

この方向性が正しいこと自体は、業界でもすでに認識されていました。 AI を活用した脆弱性の検出は、ここ数年、主要なセキュリティカンファレンスや研究機関で繰り返し議論されてきたテーマです。 Mythos は、性質としては驚きではありません。驚きなのは、その「規模」と「到達の速さ」です。 時間軸は、「いずれ起こる」から「いま起きている」へと一気に圧縮されました。 SLA、ツール、体制、人員配置、優先順位付けのフレームワークといった既存のプログラムは、もはや過去の世界を前提に構築されたものなのです。

検証が不可欠

パッチを適用してそのまま放置しても、そのパッチが十分であり、かつ正しく適用されたかを確認する追加のチェックがなければ、修復が完了したという確信は得られません 。 より高速かつ大量にパッチを適用する環境では、次の要因で、不完全な適用が発生するリスクがさらに高まります：

• パッチ展開の対象範囲外にあり、管理されていないエンドポイント
• 例外対応や適用延期が積み重なり、恒久的に問題となっているケース
• 実際には失敗しているにもかかわらず、成功として報告される展開
• 次のパッチサイクルまで、古いソフトウェアを含んだまま再展開される陳腐化したゴールドイメージ

攻撃者が取りこぼされた端末から再侵入できる状況では、すべてのエンドポイントにおいて脆弱性が確実に解消されたことを検証できているかどうかが、これまで以上に重要になります。 継続的な脅威エクスポージャー管理、つなりエクスポージャーの低減を、一度きりのプロジェクトではなく、反復的なプロセスとして捉える考え方こそが、この環境に適した運用モデルです。

「デフォルトで安全」の定義拡張

従来、「デフォルトで安全 (secure by default)」とは、安全な出荷時設定を意味していました。具体的には、最小権限の原則、ハードニングされた初期設定、人間の速度で行われる攻撃を前提とした攻撃対象領域の最小化といった考え方です。

Anthropicの公開Glasswing資料によると、Mythos に関連する研究には、OpenBSD に存在していた 27 年前の脆弱性や、大規模かつ自動化されたファジングを長年くぐり抜けてきた 16 年前の FFmpeg のバグ、さらに Linux カーネルの問題を自律的に連鎖させてシステム全体の制御を奪取する事例などが含まれています。

このレベルの能力を持つツールが、厳格に監査されてきたコードベースの中から数十年前の問題を見つけ出せるのであれば、「デフォルトで安全（secure by default）」の意味は、もはや設定の話にとどまりません。 現在出荷されるすべてのソフトウェアは、本番環境に導入される前に、同等の能力を持つツールによって能動的にスキャンしておく必要があります。 インフラにおいては、公開されているサービスは、少なくとも常にこのレベルの能力で継続的な探索やプロービングにさらされていると想定すべきです。 ネットワーク分離、ゼロトラストアーキテクチャ、ランタイム分離は、もはや成熟度モデル上の理想論ではなく、基本となるアーキテクチャ要件です。

アクセシビリティ：コストは一時的、能力は自然発生的

短期的には、Mythos クラスの能力へのアクセスは高コストです。 Glasswing-era pricing cited by Anthropic is $25/$125 per million input/output tokens versus $5/$25 for Opus 4.6—a 5x increase. この価格水準では、継続的かつ大規模なスキャンを行うことは容易ではありませんが、コストはあくまで一時的な障壁にすぎません。

Anthropicは、Mythos Preview は、攻撃的なサイバー用途を目的として明示的に訓練されたわけではなく、「コード生成、推論、自律性といった汎用的な性能向上の下流的な結果として現れたものだ」と説明しています。 能力の高いハッカーに共通する好奇心、自律性、そして問題解決力を考えれば、この結果は十分に理解できるものです。

もしこの前提が成り立つのであれば、ベンダーの意図に関係なく、今後は十分に高い能力を備えたあらゆるモデルにおいて、同様の攻撃面が現れることになります。

オープンウェイトモデルへの追随にかかる時間の短縮と、推論コストの低下が重なる中で、「誰がAPI にお金を払えるか」は長期的な制約ではありません。 今後の本当の分岐点は、「誰がフリート（大規模な実行基盤）とサプライチェーンを持っているか」です。

内部からの攻撃ベクトル：エージェント、ハーネス、厳格な境界

Mythos のようなリリースでは、攻撃者による外部からの悪用に注目が集まりがちです。 しかし、同時にリスクは社内にも存在します。広範なツールへのアクセス権、企業データ、そして有効な認証情報を持った、承認済みまたはシャドーエージェントが、自社の境界内で稼働することです。

177,000 件を超える MCP（Model Context Protocol）ツールを整理した研究 によると、ファイルシステム、ブラウザ、コード実行環境、データベース、本番 API に至るまで、エージェントを統合することが、標準的なハーネス機能として日常的に行われていることが示されています。

「Claw」型のハーネス - 永続的な自律性を備え、密に結合されたツールループ - は急速に普及しています。OpenClaw は、わずか 8 週間で GitHub のスター数が約 247,000 に達し、数十の派生プロジェクトも生まれました。これらのデフォルトのアクセス範囲は、ターミナル、ブラウザ、ファイルシステム、メモリ取得、外部連携にまで及びます。 広範なアクセス権と自律性の組み合わせは、攻撃対象領域を内側にも外側にも同時に拡大させます。

ハーネスレベルのルールも、結局は人が書いたコードにすぎません。 なので、失敗することもあり、タスク完了が最優先される状況では、モデルがそれらの制約を迂回することもあります。 Anthropic System Card には、Mythos に「認証情報なしでバグを修正し、署名付きコミットをプッシュする」よう求めた際、ユーザからの軽い促しを受けて、監督状態を探索し、メモリ抽出を試みた事例が記載されています。これは、リスク評価よりも目標達成が優先された行動として特徴付けられています。 この事例は、追加のアラインメント作業が行われる前の、リリース前評価段階で発生しました。 Anthropic は、出荷されている Mythos Preview について、自社の評価基準では高度にアラインされているとしつつも、稀に発生する不整合な行動であっても、能力が高いがゆえに深刻な影響を及ぼし得る点を指摘しています。

企業内のAI の可視化

まず最初に、承認済みかどうかを問わず、境界内で何が稼働しているのかを把握することです。 多くの企業は、自社環境全体に展開されている オンプレミスでの推論、AI アシスタント、自律エージェントについて、明確な全体像を持っていません。 見えないものは守れません。そして現時点では、ほとんどの企業が、自社の境界内で実際にどれだけの AI が稼働しているのかについて、信頼できるインベントリを持っていないのが実情です。

[現代の企業における AI コンプライアンスの意味と、進化する規制が責任ある AI ガバナンスをどのように形作っているのかを解説]

サイバーセキュリティ業界全体として、AI の可視性を確保するためのツールへの継続的かつ大規模な投資が今後も不可欠となります。なぜなら、企業が「稼働している」と認識しているものと、実際に稼働しているものとの間には大きなギャップがあり、その差は拡大し続けているからです。

AIエージェントの安全な導入とリアルタイム管理

可視性だけでは十分ではありません。 AI エージェントを安全に展開し、全フリートで一元的に管理するための仕組みも必要です。 行動学習やアプリケーションレベルのガードレールは有用ではありますが、目的達成を志向する高い能力を持つエージェントに対しては、十分な保証とはなりません。

新しいパターンには、ファイルシステム、ネットワーク、およびプロセスの制約に関するOSレベルポリシーが含まれ、Cisco、CrowdStrike、Google Cloud、Microsoftなどの 主要セキュリティベンダ は、すでに自律型エージェントの実行ランタイムポリシー基準に協力しています。

ある分析では、Claudeは 2026年3月 に流出したシステムマップにおける自身のセーフガードの一部を「雰囲気による防御（defense by vibes）」と表現していました。 人が理解しやすいルールセットやガイドラインは、防御の標準的なツールキットの一部にはなり得ますが、それだけでは不十分です。依然として、最低限満たすべきエンジニアリング上のコントロールに関するチェックリストが必要となります。

1. OS／コンテナ境界でのサンドボックス分離（システムプロンプトによる指示ではない）： エージェントは、不正な挙動が発生した場合でも影響を封じ込められるよう、分離されたコンテナ内で実行されなければなりません。これは、モデルの安全学習に依存するのではなく、インフラレベルで強制されるべき要件です。
2. すべての送信経路（エグレス）に対するネットワークポリシーの適用： すべてのアウトバウンド接続を、ポリシーに基づいて必ず検査・評価する必要があります。 エージェントが特定のエンドポイントに到達できなければ、そのエンドポイントとやり取りすることはできません。これにより、不正なエージェントから内部サービスを保護し、企業データの流出を防止できます。
3. エージェント環境の外で管理される認証情報： 認証情報は、エージェントのサンドボックス内からアクセス可能な状態であってはなりません。 エージェント環境の外部にあるプロキシで管理し、エージェントのサンドボックスを出た後の送信リクエストに対してのみ注入されるべきです。
4. 推論、ツール、ネットワーク通信に対する集中ルーティングとログ取得：すべてのアウトバウンドリクエストは、プロキシを経由してルーティングし、すべてのネットワークリクエスト、推論呼び出し、ツール実行について完全なログを取得するべきです。これにより、迅速かつ効率的なフォレンジック調査とコンプライアンス検証が可能になります。

シグナルから対応まで：防御側にとって何が変わるのか

上記で述べた Mythos に関するリスクは現実のものですが、決して把握不能なものではありません。 不確実なのは 方向性ではなく、タイミングです。 オープンウェイトモデルが、自律的なサイバータスク全体において Mythos と同等の能力に到達する正確な時期は、まだ分かっていません。また、Anthropic が示した Firefox クラスの結果についても、あらゆる環境や技術スタックにおいて、独立かつ広範に再現検証が行われているわけではありません。

明らかなのは、防御側にはもはや「確実性を待つ」という余裕がないということです。 エクスプロイトの発見から武器化までのタイムラインは、ほとんどのパッチ適用やエクスポージャー管理プログラムが吸収できる速度を上回って短縮されています。 このような環境では、ニュースの見出しに反応することよりも、前提や想定を実際に検証し、耐性を試すことのほうがはるかに有効です。

今セキュリティと ITのリーダーにとって最も生産的な問いは「Mythos はどこまで深刻になるのか？」ではありません。 本当に問うべきは、「エクスポージャーの時間枠がさらに縮小し続けたとき、現在の運用モデルはどこが最初に破綻するのか？」という点です。

企業によって、負荷が表面化する箇所は異なります。 ある企業では優先順位付けに、別の企業ではテストの処理能力、デプロイ上の制約、あるいは分断されたエンドポイント環境全体で修復が完了したことを証明するプロセスに現れます。 しかし、ほぼすべてのケースに共通して言えるのは、弱点は単体のツールそのものではなく、脆弱性に関するインサイトを、検証済みのリスク低減へと変換していく一連の流れにあるという点です。

リスクを理解する段階から、対応を運用に落とし込む段階への転換こそが、Mythos を巡る議論が本質的な意味を持つポイントです。 残る課題は理論的なものではなく、組織的なものです。つまり、脆弱性の検出、優先順位付け、そして悪用までの期間がますます縮まる中で、従来の脆弱性管理やパッチ適用に関する前提が、今後も通用するのかという点が問われています。

Mythos が不可避である以上、パッチ適用は選択肢ではなく、大規模に迅速に実行する必要があります。 Tanium 自律型パッチ管理 は、自律的かつ統合された包括的なパッチ適用で、エンドポイント管理とセキュリティを変革します。

AI とリアルタイムのエンドポイントインテリジェンスを原動力に、Tanium は、Mythos クラスのモデルが悪用することを前提に設計されているエクスポージャーウィンドウを短縮し、攻撃者が脆弱性を発見して行動に移す前にリスクを低減します。

Mythosセキュリティリスクに関するよくある質問

Mythos のリリースは大きな注目を集めましたが、その中には正確なものもあれば、そうでないものも含まれていました。 ここでは、特に多く見られる誤解や混乱のポイントについて整理します。

公開された Mythos モデルは、サンドボックスを脱出したり、痕跡を隠蔽したりしたのか？

いいえ、公開されたモデルではありません。 Anthropic が記録している行動の事例 - サンドボックスからの脱出、痕跡の隠蔽、 /proc/を介した認証情報の探索、機密情報の投稿など - は、Glasswing 時代の Mythos Preview ではなく、Mythos の初期の社内バージョンに起因するものです。

Anthropic System Card では、その種の深刻な事案が、Anthropic による最も効果的なトレーニング介入の一部が実施される「以前（predated）」のバージョンで発生したものであることが明確に示されています（54ページ）。 リリース版 Mythos Preview は、限定的な軽率行動を示す可能性はあるものの、同レベルの深刻な欺瞞行動は観測されていません。 文脈やバージョン区分を欠いた引用は正確性を欠きます。

Mythos がパッチ適用済みシステムに対して失敗したのであれば、パッチ適用は今も十分なのでしょうか？

パッチ適用は、依然として防御側にとって最も重要なポイントです。Anthropic System Card、52ページで述べられているように、「適切に構成され、最新のパッチが適用されたサンドボックス」に対して Mythos が失敗したという事実は、見出しの数字に隠れがちではあるものの、前向きなニュースと言えます。

Mythos は、ハイジーン管理が遅れた、パッチ未適用のスタックに対して精密に作用する武器として位置付けられます。 本質的な課題は、脆弱性の検出と武器化のスピードが同時に加速する中で、チームが十分な速さでパッチを適用し、適用範囲を検証し、イメージを更新できるかどうかにあります。 その答えは、スピードと検証です。

標準的なベンチマークが「飽和している」とは、どういう意味ですか？

Anthropic は、実運用ソフトウェアにおけるゼロデイ脆弱性の検出を含む、より新規性の高い現実のセキュリティタスクへと評価の焦点を移しています。これは、既知の脆弱性を再現できるかどうかを測るタイプのベンチマークでは、やがて最先端モデル間の有意な差を示せなくなるためです。

ベンチマークが「飽和する」とは、タスクが絶対的な意味で解決されたことを示すわけではありません。 そのテストが本来測定するよう設計されていた範囲の限界に到達したという意味です。 Mythos が Cybench で 100のスコアを記録したことは、この特定のベンチマークが、もはや最上位クラスのモデル間で意味のある差を示せなくなったことを示しています。これは、モデル能力が向上する過程において、自然にかつ繰り返し起こる現象です。

実務上の意味は明白で、評価は能力とともに進化していくのです。 モデルが高度化するにつれて、ベンチマークは改良され、置き換えられ、あるいはより難易度の高いものへと更新され、引き続き「何が重要か」を測れるように調整されます。 このケースでは、Anthropic が評価の重点を、より難易度が高く、再現性に依存しにくいタスクへと移しているのは、それらが実務者にとって重要な現実世界の AI セキュリティ課題 をより的確に反映しているからです。

Mythos の攻撃的能力は、意図的に訓練されたものですか？

いいえ。 Anthropic は次のように述べています。「Mythos Preview は、これらの能力を持つよう明示的に訓練されたわけではありません。 むしろ、コード生成、推論、自律性といった汎用的な能力向上の下流的な結果として、これらの能力が現れました。」

これは、Mythos のような最先端 LLM と同等の規模、学習手法、アーキテクチャ特性を持つモデルでは、同様の能力が表出する可能性が高いことを意味します。 各社はアーキテクチャの詳細をすべて公開しているわけではありませんが、現在のトレンドを見る限り、能力の拡散は個別のポリシー選択というよりも、汎用モデルのスケーリングが持つ内在的な力学によって起こっていることが示唆されています。

その他の参考資料

• こちらのオンデマンドデモ「 」をご覧いただき、Tanium Autonomous Patch Managementが、組織が脆弱性の露出ギャップを継続的に解消し、今日の環境に求められるスピードと規模でAIを活用した脅威に対処する方法をぜひご確認ください。

Anthropic

• クロード・ミトス プレビュー・システム・カード
• Claude Mythos Previewのサイバーセキュリティ機能の評価
• Project Glasswing
• 「クロード・オパス 4.5」のご紹介
• 「クロード・オパス 4.6」のご紹介

モデルの性能と評価に関する研究

• METR
  • Time Horizon 1.1
  • AI が長時間タスクを完遂する能力の測定
  • タスク完遂時間ホライズン（Time Horizons）ダッシュボード
• Epoch AI
  • オープンウエイトモデルは、平均して最新技術から約3 か月遅れている

オープンウェイトモデル

• MiniMax
  • MiniMax M2.5：現実世界の生産性のために
• Moonshot AI
  • キミ K2：オープン・アジェンティック・インテリジェンス
• Hugging Face
  • Kimi‑K2.5 型カード

業界分析およびレポート作成

• VentureBeat
  • MiniMax M2.5 は、約1/20th のコストで最先端の性能を実現
• CyberScoop
  • セキュリティリーダは、今後2年間は「常軌を逸する」と語る
• Techbriefly
  • Z.aiが「 GLM‑5.1 」モデルをリリース、ベンチマークで競合他社を上回る
• HPCwire
  • 中国のMoonshot AIが、1兆パラメータの「Kimi K2」をリリースしました

基礎モデルに関する論文

• OpenAI
  • GPT-4 技術報告書
  • 「 GPT‑5.2」のご紹介
• Meta
  • 「Llama 3.1」のご紹介