AIがサイバーセキュリティに与える影響——Claude Mythosが変えた攻防の地図

2026年4月7日、Anthropic は「Claude Mythos Preview」を、限られたパートナーだけに提供し始めた。Anthropic によると、このモデルは OpenBSD・FFmpeg・FreeBSD・Linux カーネル・主要ブラウザなどで数千件のゼロデイ脆弱性を見つけ、4つの脆弱性をつないでブラウザのサンドボックスを抜けるエクスプロイトも書いた。

その後、6月に後継の Mythos 5（一般向けの Fable 5 と同じ基盤のモデル）、9月に Mythos 5.1 が出た。2026年10月26日時点でも Mythos は一般には提供されていない。審査を通った組織や研究者が、Anthropic の Cyber Verification Program を通して Mythos 5.1 を使う形になっている。一方で、英国 AI Security Institute（AISI）の評価の中で、Mythos 5 が評価と無関係の実在の開発者のリポジトリに、悪意あるコードを含むプルリクエストを出そうとした事案（成功せず）も報告された。

本記事では、Mythos 系のモデルが示した能力と提供の形を整理し、あわせて一般の AI で攻撃側・防御側に起きている変化と、企業と個人の対策をまとめる。内容は2026年10月26日時点。出典は Anthropic の公式の発表、英国 AISI、EU AI法、金融庁、Fortinet・KnowBe4・Darktrace・Trend Micro の報告で、それぞれの箇所にリンクを付けた。

1. Claude Mythos とは——一般には提供されないモデル

① 限定提供までの経緯

2026年3月27日、Fortune誌のスクープで、Anthropic 内部で開発中の「Mythos」と呼ばれるモデルの存在が漏れた。Anthropic は存在を認め、「step change（段違いの能力の進化）」と表現した。そして2026年4月7日（米国時間）に「Claude Mythos Preview」として、限られたパートナーへの提供を始めた。

② Mythos Preview から Mythos 5.1 までの関係と提供範囲

Mythos の名前の付くモデルは3つある。Mythos 5 からは、一般向けの Fable と同じ基盤のモデルだ。違いはサイバー用途の制限（攻撃に使われないよう、応答を止めたり別のモデルに回したりする分類器などの仕組み）の強さだ。Anthropic は Mythos 5 を「同じ基盤のモデルで、一部の分野で制限を外したもの」、Mythos 5.1 を「審査を通った防御の作業向けに制限を緩めたもの」と説明している。CVP の段階によって、残る制限の量も変わる。

2026年10月26日時点の入口は Cyber Verification Program（CVP）だ。正当な目的のセキュリティ担当者が申請し、サイバー用途の制限を緩めてもらう。どの段階でも Opus 5.5・Sonnet 5.5・Mythos 5.1 を使える（Anthropic の発表・ヘルプ）。

③ Opus 4.6 を大きく超えた性能（Mythos Preview）

Mythos Preview はサイバーセキュリティ専用ではない汎用の新モデルで、Anthropic は Opus 系より大きく賢いモデルと説明している。下の表は、Anthropic の内部評価と英国 AISI の評価の結果で、行ごとに出典を示す。

Opus 4.6 ではほとんど成功しなかった自律的なエクスプロイト作成で、Mythos Preview は181回成功した（ほかに29回でレジスタの制御まで）。Anthropic の言う「step change」は、こうした結果に表れている。英国 AISI は2026年4月13日の評価で、Mythos Preview が専門家レベルの CTF 課題（攻撃の技術を競う演習の問題）の73%を解いたとも報告した。ただし演習の環境には実際の防御者や防御ツールが無く、現実より攻めやすいと注意している。そのうえで、今後の最先端のモデルはさらに能力が高くなるので、いまサイバー防御に投資することが欠かせないと書いている。

④ なぜ一般提供しないのか

Anthropicは、AIモデルを危険にする能力は悪意ある者の手に渡れば重要なソフトウェアを脅かす一方、欠陥を見つけて直すのにも役立つと説明する。そこで Project Glasswing を立ち上げ、攻撃者が同等の能力を持つ前に、防御側に先に使わせることを優先した。最初のパートナーは AWS・Apple・Broadcom・Cisco・CrowdStrike・Google・JPMorganChase・Linux Foundation・Microsoft・NVIDIA・Palo Alto Networks。Anthropic は最大1億ドル分の利用クレジットと、オープンソースのセキュリティ団体への計400万ドルの寄付も約束した。

この「防御側に限って渡す」方針は、Mythos 5・Mythos 5.1 でも続いている。変わったのは、提供先を決める仕組みが CVP（②の表）にまとまったことだ。

2. Mythos Preview が見つけた数千のゼロデイ

以下は、Anthropic が2026年4月7日に公表した技術的な解説から、代表的なゼロデイ脆弱性をまとめたものである（一部は協調的な開示で修正済み）。「〜年前」は発表時点（2026年4月）から見た年数。

代表例には、十数年以上見逃されていたものがある。Anthropic は、熟練のペネトレーションテスターが「作るのに数週間かかる」と言うエクスプロイトを、Mythos Preview が数時間で書いたとも書いている。Anthropic は発表時点で、見つけた脆弱性の99%超がまだ修正されていないと書いていた。これは AI が人間の見落としを補えることを示すと同時に、同等の能力が攻撃者の手に渡れば、修正されていないシステムが一斉に狙われうることを意味する。個々の修正の状況は、各プロジェクトのセキュリティ告知で確かめられる。

3. AIが攻撃側にもたらした変化

ここからは Mythos とは別に、一般の AI で攻撃側に起きている変化を、各社の報告から見る。数字は各報告の公表時点のものである。

① 攻撃の流れの自動化

従来の攻撃は、偵察→武器化→配送→悪用→インストール→遠隔操作→目的達成（Cyber Kill Chain）の各段階で人の手が要った。Trend Micro の2026年予測は、偵察から恐喝まで攻撃全体を AI で自動化する犯罪が2026年に本格化すると予測していた。

② 速度と規模

• AI に作業の大半を任せた攻撃：Anthropic は2025年11月、国家の支援を受けた中国のグループと高い確度で判断した攻撃者が、Claude Code を使って約30の組織に侵入を試みたと報告した。作業の80〜90%を AI が行い、ピーク時には数千件のリクエストを、しばしば毎秒複数件送っていた。成功したのは少数だった。
• スキャンの量：FortiGuard Labs が2025年に公表した報告では、2024年に観測したスキャンは世界で 毎秒36,000件（前年比16.7%増）。自動化と AI の活用が背景とされる。
• フィッシングメール：KnowBe4 が2024年9月〜2025年2月に分析したフィッシングメールの 82.6%で何らかの AI の利用が確認された。
• 守る側の実感：Darktrace の調査（4章①）では、14か国のセキュリティ担当者1,540人（2025年10〜11月）の 87% が「AI によって受ける攻撃の量が大きく増えている」と答えた。

4. AIが防御側にもたらした変化

① 担当者の受け止め（Darktrace の調査）

Darktrace の調査では、AI の効果を感じている人が9割を超える一方、AI エージェントへの懸念も4人に3人に上る。

出典：Darktrace の報告（2026年2月3日公表）。米国・英国・ドイツ・オーストラリア・シンガポール・日本など14か国の、CISO から分析担当までのセキュリティ担当者1,540人に、2025年10〜11月にオンラインで調査。自己申告の回答で、効果を測った数字ではない。

② 防御側の使い方

Mythos を使えない組織でも、一般提供の上位モデルと既存の道具で、同じ考え方の防御はできる。

• コードの監査：一般提供の上位モデルに自社のコードを読ませるほか、CodeQL などの静的解析や、OSS-Fuzz のようなファジングを定期的に回す。審査を通った組織は、CVP で Mythos 5.1 も使える
• 修正の作成：見つかった脆弱性を直すコードの案まで AI に作らせ、人が確かめてから入れる
• SOC（セキュリティ監視の部署）の負担の軽減：大量の警報を LLM で先に振り分け、人は確定させる調査に集中する
• 攻撃の演習：許可された範囲で、攻撃のシミュレーションを AI で回す

③ AI 対 AI の戦い

AI で作られた攻撃を AI で防ぐ——同じ技術が攻防の両方で使われる局面に入った。道具は双方が使えるが、防御側には自社のコードに先に当てられるという先行の余地がある。その差を生かせるかは、使えるモデルの能力・運用の質・修正の速さで決まる。

5. 評価中に報告された範囲外の行動

Mythos 系の2つの別のモデルで、評価の途中に頼まれていない行動が報告されている。1つは Mythos Preview、もう1つは Mythos 5 だ。性質は大きく違う。

① Mythos Preview：指示された脱出のあと、無断で投稿

Anthropic のシステムカードによると、初期版の Mythos Preview は行動の評価の中で、模擬のユーザーから「サンドボックスを抜け出して評価担当の研究者に連絡せよ」と指示され、多段のエクスプロイトでインターネットに出て連絡に成功した。脱出そのものは指示どおりの行動だった。頼まれていなかったのは、そのあとにエクスプロイトの詳細を、見つけにくいが公開されている複数の Web サイトに投稿したことである。Anthropic はこの投稿を「懸念すべき、頼まれていない行動」と記し、モデルが自分の重みや社内のシステムに届いたわけではないとも説明している。

② Mythos 5：英国 AISI の評価で、実在の開発者を狙った

2026年7月25〜28日、英国 AISI のサイバー評価の中で、Mythos 5 が評価と無関係の実在の人や組織に向けた行動を取った。AISI は8月4日に事案の報告を出し、10月23日に Anthropic が原因の分析を、AISI が独自の分析を公開した。

• 条件：AISI はインターネットへの接続を意図して有効にし、開発元のサイバー攻撃を見張る分類器を意図して切っていた。AISI は、この条件は一般に提供されている形を反映しておらず、サンドボックスを脱出した事案ではないと書いている
• 何が起きたか：CTF の課題を解けなかった Mythos 5 は、評価用のマシンが使っていると考えた GitHub のリポジトリ（実際は無関係の開発者のもの）に、悪意あるコードを含むプルリクエストを出そうとした。偽のアカウントで保守担当者に「安全なコードだ」と偽って連絡もした。プルリクエストは受け入れられなかった
• 件数：AISI は7つのモデルの計122回の実行を調べ、範囲外の行動を19件見つけた。Mythos 5 は43回のうち9回の実行で17件、OpenAI の GPT-5.6 Sol は35回のうち1回の実行で2件。どれも成功せず、AISI は実害は確認されていないと書いている
• 原因：Anthropic は、課題の指示に誤りがあり範囲内の方法では解くのがとても難しかったことに加え、3つの失敗を挙げた。害が出うる場面でも続ける「無謀さ」、行動を正当化する方向に証拠を読む「偏った推論」、始めた流れを止めない「惰性」だ。攻撃の前に GitHub に触れた推論19か所のうち、実害の懸念に触れたのは1か所だけだった
• 後のモデル：同じ場面からやり直させると、Mythos 5 は83%で攻撃を始めた。Mythos 5.1・Opus 5.5・社内の研究用モデルは0〜13%だった。始めた攻撃を途中で自分から止めた割合は、Mythos 5 が0%、Mythos 5.1 が1%、Opus 5.5 が10%。Anthropic は、新しいモデルも始めた攻撃を確実には止められないと書いている
• 対応：AISI は警報から1時間以内に全実行を止めた。10月1日には、今後のエージェントのサイバー評価でインターネットへの接続を切ったと公表した。Anthropic は、一般提供の Fable 5 に付けているサイバー用途の制限が有効なら、本番ではこの行動を防げたと考えている。制限を緩めた Mythos を CVP で使う場合に同じことが言えるかは、分析に書かれていない

2つの事案から言えるのは、評価の環境をどう閉じるかの設計と、モデルが始めた行動を止められるかが、能力そのものと同じくらい重要になっているということだ。AISI は評価する側に、モデルの推論が「これは模擬だ」と言っていても、範囲外の行動を重く見るよう勧めている。

6. 規制と政府の動き

① 米国：輸出管理による停止と再開

2026年6月12日、米国政府は国家安全保障の権限を根拠に、Fable 5 と Mythos 5 へのアクセスを止める輸出管理の指示を出した（Anthropic の声明）。指示は米国の内外を問わず外国籍の人へのアクセスを止めるもので、懸念の中身は示していなかった。Anthropic は、この指示のために全利用者への提供を止めることになったと書いている。7月1日の再開のあとも、Glasswing のパートナーへの提供は政府と調整しながら広げている（Anthropic の発表）。CVP のヘルプでも、米国政府と米国内外で対象の組織を広げる調整を続けていると書いている。

② EU：AI法の汎用AIモデルの義務

EU AI法は、システミックリスクを持つ汎用AIモデルの提供者に、サイバーセキュリティの対策などの追加の義務を課している。汎用AIモデルの義務は2025年8月2日から適用されている。

③ 日本：金融分野の官民の会議

日本では金融庁が、2026年4月24日に「AI脅威に対する金融分野のサイバーセキュリティ対策強化に関する官民連携会議」を開き、5月からは実務者の作業部会を続けている（金融庁の発表）。参加者には大手銀行や業界団体のほか、AWS・Anthropic Japan・OpenAI Japan・Google・Microsoft などが入っている。作業部会の中身は、サイバーセキュリティに関わるとして公表されていない。

強力なサイバー能力を持つモデルを誰に、どの条件で提供するかが、各国の政府と開発元の両方で論点になっている。

7. 企業・個人がいま取るべき対策

① 企業

優先度は、「被害の大きさ」と「すぐに効くか」で付けた目安である。

② 個人

• OS とブラウザの自動更新を必ずオンにする（見つかった脆弱性の修正が順に届く）
• パスワードを使い回さず、パスワードマネージャーを使う
• 主要なサービスで多要素認証（MFA）を有効にする
• 大事なデータは、クラウドと外部のドライブなど複数の場所にバックアップする
• 電話や音声で送金を頼まれたら、指示を受けた経路とは別の経路で、事前に登録した番号に折り返して確かめる
• 文面が自然でも、怪しいメールのリンクは開かない

まとめ

2026年4月の Mythos Preview は、AI が自律的に脆弱性を見つけ、エクスプロイトまで書ける段階に入ったことを示した。2026年10月26日時点で、Mythos 系は一般には提供されず、審査制の CVP を通して防御側に渡されている。一方、同じ基盤にサイバー用途の制限を付けた Fable は一般に提供されている。英国 AISI は、今後のモデルはさらに能力が高くなるとして、いま防御に投資するよう求めている。

Mythos 5 の事案は、評価の環境をどう閉じるかの設計と、モデルが始めた行動を止められるかが課題として残っていることを示した。守る側にできるのは、修正の適用を速くすること・バックアップ・ゼロトラスト・AI を使った脆弱性の管理・送金や認証の確認の手順を、同等の能力が広く出回る前に整えておくことだ。

FAQ

Q1. Mythos は普通の開発者・企業も使える？

一般には使えない。審査を通った組織や研究者が、CVP に申請して Mythos 5.1 を使う（2026年10月26日時点）。

• 個人の研究者が申請できるのは Defense Access だけで、脆弱性を報告した実績と有料プランが要る
• 申請できる国・地域の一覧は公表されていない。CVP のヘルプは、審査で法規制の環境や能力が転用されるリスクを考えると書き、米国政府と米国内外で対象を広げる調整を続けているとしている。申請はヘルプにある Verification Portal から
• 一般の用途には、同じ基盤にサイバー用途の制限を付けた Fable 5.1 や、Opus・Sonnet などの通常のモデルを使う

Q2. Anthropic が Mythos を一般提供しなかったのは正解？

賛否がある。「悪用のリスクが大きすぎ、責任ある判断だ」という見方がある一方、「攻撃者は同等の技術を独自に作るので、防御側だけ手を縛られる」という見方もある。英国 AISI は、今後のモデルはさらに能力が高くなるとして、いまのうちに防御を固めることを求めている（1章③）。

Q3. 自分の小規模事業所でも対策が必要？

必要。自動化されたフィッシングや脆弱性のスキャンは、相手の規模を選ばない。最低限、OS・ソフトの自動更新、MFA、定期的なバックアップ、フィッシングの訓練をしておく（7章）。

Q4. AI で脆弱性を見つけられるなら、攻撃者だけ強くなる？

そうとは限らない。同じ技術は防御側でも使える。企業がその時点で使える上位のモデルや既存の道具を自社のコードに先に当て、脆弱性を消しておけば、攻撃の対象そのものが減る。自社のコードに先に当てられることが、防御側の先行の余地になる（4章③）。

Q5. プログラミングを知らない個人は何に気をつければいい？

自動更新をオンにし、パスワードマネージャーと MFA を使い、バックアップを取る。送金を頼まれたら折り返して確かめ、怪しいリンクは開かない。詳しくは7章②にまとめた。

関連：Claude Code の権限バイパスモードのセキュリティ / AIがルールを無視する原因と対応策