ここ数週間、IT業界の話題は米Anthropicが発表したセキュリティ特化型エージェント「Claude Mythos」一色と言ってよい状況です。Mythosは、対象システムに対して自律的に脆弱性スキャンと攻撃シナリオの検証を繰り返し、結果をレポート化するAIエージェントとされており、これまで人間のセキュリティエンジニアが時間をかけて行っていた判断作業を、大幅に高速化・低コスト化する性質を持ちます。
政治・社会への影響も大きく
チームみらいの安積博氏はBloombergの取材に「日本政府はAnthropicに働きかけ、初期アクセスを得る努力をすべきだ」と答えました。SNSでは「これでペネトレーションテスト会社は終わる」「ホワイトハッカーは失業する」といった単純化された言説が拡散。一方で「いや、本当に怖いのは別の場所だ」という反論も飛び交っています。
しかし、冷静に分析すると、Mythosそのものの性能というより、「攻撃側のコストが下がる」という構造変化に対する錯綜とした不安が議論の正体と言えるでしょう。これまで脆弱性発見には、それなりに熟練した人間の時間が必要でした。AIエージェントが24時間スキャンと検証を繰り返すのが当たり前になれば、攻撃側の経済合理性が大きく変わります。
なぜセキュリティ領域が生成AIの「最前線」なのか
まず、なぜセキュリティ領域が生成AIの「最前線」の話題になっているのか整理します。もちろんサイバー攻撃に直結するという観点も大きいですが、それだけでなく、セキュリティとくに攻撃側と、AIエージェントの相性が非常に良いという背景があります。
筆者が業務でかかわる各社のCTO・CISOと話している中でも、「生成AIが最も実用フェーズに入っている領域はセキュリティ攻撃側ではないか」という共通認識を強く感じます。というのも、攻撃側はROI（投資利益率）が計算しやすく、目的が明確で、かつ対象が無数にあるという、AIエージェントにとって理想的な条件がそろっている領域だからです。
コーディング支援やマーケティング自動化と違って、セキュリティ攻撃は「成功か失敗か」の判断が機械的に下せます。脆弱性スキャナーは、対象のスキャンを実施し、レスポンスを観察し、想定通りの挙動が得られたら成功と判断する、というループをひたすら回すだけで成立します。
生成AIは、このループの中で「どこを叩くか」「どんな入力を与えるか」「結果をどう解釈するか」を、従来のシグネチャ（既存の既知情報）ベースのスキャナーより格段に柔軟に扱えます。攻撃側にとって、これほどAIと相性の良い領域はなかなかありません。
AI時代の攻撃側のスケーラビリティ
さらに踏み込むと、AI時代の攻撃側のスケーラビリティはこれまでとは比較になりません。従来は熟練したエンジニアが対象1社あたり数日かけて調査していた行動を、AIエージェントは数百社を並列に低コストで回せます。
攻撃の単価が下がるということは、これまで「割に合わなかった」攻撃対象の残余分岐点が下方修正されるということです。中堅企業や、サードパーティーツール統合のハブになっているサービス、自社開発の業務アプリケーションなど、これまで攻撃者の視野の外にいた対象が、急に「攻める価値がある」対象になる可能性があります。
バグバウンティに影響 トップ層は収益性の高いビジネスに移行か。関連記事：AI生成の「ゴミ報告」が殺到、対応追い付かず疲弊……脆弱性発見の報奨金制度に異変。オープンソースソフトウェア（OSS）の脆弱性に報奨金をかけて発見を促し、対応を支援してきた米セキュリティ企業のHackerOneが、新規の報告受け付けを停止している。AIで生成された質の低い脆弱性報告の急増が原因とされ、影響は主要OSSプロジェクトに及ぶ。同様の報奨金プログラムを提供してきたGoogleも対応を強いられるなど、AIの影響が深刻化している現実が浮き彫りになった。
最新AI「Claude Mythos」がSFすぎる件 研究者の作った「罠」を突破、悪用懸念で一般公開なし――まるで映画の世界。すでに「AI業界」では注目の的になっている「Claude Mythos Preview」。性能や安全性に関する情報をまとめた「システムカード」には、開発初期のテスト過程も記載されており、その内容はまるでSF小説さながらだ。
高度AIによるサイバー攻撃、秘山金融相「今そこにある危機」 関係省庁で対策。高度化するAIによるサイバー攻撃の脅威を受け、秘山さつき金融担当相が、日銀や3メガバンク、日本取引所グループの幹部との会合を開き、金融システムに対する警戒性を協議した。セキュリティ対策強化の必要性を確認し、関係省庁で対策を図る作業部会の設置に合意した。
「Claude Mythos」に「許可を得ていないユーザーがアクセス」か 海外報道。米Anthropicの新しいAIモデル「Mythos」に、許可を得ていない少数のユーザーグループがアクセスした――米Bloombergが関係文書や事情に詳しい関係者の話としてこう報じた。
話題の「Claude Mythos」、なんて読む？ 「ミトス」か「ミソス」か、はたまた「ミュトス」か。米Anthropicが4月7日に発表し、そのセキュリティ性能などから世間をにぎわせる次世代大規模言語モデル「Claude Mythos」。日本では「（クロード）ミトス」「ミソス」「ミュトス」などと書かれ、日本政府や大手報道機関でも読みや表記が揺れている。正しい読み方はどれか。
