サイバーセキュリティ

2026年5月22日、AnthropicはProject Glasswingの初回進捗レポートを公開した。 これは、Claude Mythos Previewを用いた脆弱性発見の共同プロジェクトであり、わずか1ヶ月で50以上のパートナー組織が共同で1万件以上の高・重大度脆弱性を発見したことを報告している。 本稿は、当サイトで既に公開した Claude Mythos Preview徹底解説 および AIセキュリティ時代のCTF変容 に続く、Mythosセキュリティ三部作の完結編として、Project Glasswingの具体的な成果と、そこから浮かび上がる新たな課題を詳述する。 Project Glasswingとは Project Glasswingは、Anthropicが2026年4月に立ち上げた、AIを活用したソフトウェア脆弱性対策の共同プロジェクトである。Apple、Microsoft、Google、Cloudflare、Mozilla、IBM、Palo Alto Networks、Oracle、Ciscoなど、ソフトウェアエコシステムの最重要プレイヤーが参加し、Claude Mythos Preview（SWE-bench Verified 93.9%）の脆弱性発見能力を実際のセキュリティ業務に適用している。 初回アップデートが示した衝撃的なデータ 1. パートナーによる脆弱性発見：10,000件超 プロジェクト開始から1ヶ月で、50以上のパートナー組織がMythos Previewを用いて10,000件以上の高・重大度脆弱性を発見した。特筆すべきは、もはや「脆弱性を見つける」ことがボトルネックではなくなったことだ。Anthropicのレポートは明確に述べている： 「ソフトウェアセキュリティの進歩は、かつては新しい脆弱性をいかに速く見つけるかに制限されていた。今やそれは、AIが見つけた大量の脆弱性をいかに速く検証・開示・修正するかに制限されている。」 2. オープンソーススキャン：1,000リポジトリ、23,019件の脆弱性 Anthropicが独自に実施したオープンソースソフトウェアスキャンでは、1,000以上のOSSプロジェクトを対象にMythos Previewが脆弱性を検索。その結果は以下の通りだ： 指標 数値 スキャン対象リポジトリ 1,000以上 発見された脆弱性総数 23,019件 推定高・重大度（内訳） 6,202件 トリアージ済み（第三者セキュリティ企業またはAnthropic検証） 1,752件 うち真陽性（90.6%） 1,587件 確認された高・重大度 1,094件（62.4%） メンテナに開示済み 530件 修正済み 75件 うち公開アドバイザリ発行 65件 真陽性率90.6% という驚異的な精度は、従来の静的解析ツールや人手によるコードレビューを大幅に上回る。Anthropicはこのペースが続けば、約3,900件の検証済み高・重大度脆弱性に到達すると見積もっている。 3. パートナー各社の具体的な成果 CloudflareはMythos Previewを用いて2,000件のバグ（うち400件が高・重大度）を発見。偽陽性率は人間のテスターを下回った。Cloudflare自身のブログでも詳細な技術分析が公開されている。 Mozillaでは、Firefox 150のコードベースをMythos Previewがスキャンし、271件の脆弱性を発見。これは従来のClaude Opus 4.6がFirefox 148で発見した件数の10倍以上である。 Palo Alto Networksは、Mythosを活用したリリースで、通常の5倍のパッチを1回のリリースに含めた。 Microsoftは、パッチボリュームが「今後も増加傾向が続く」と報告している。 Oracleは、脆弱性の検出と対応が「複数倍高速化」したと表明。 wolfSSLでは、Mythos Previewが証明書偽造を可能にする脆弱性を発見し、実際にエクスプロイトを構築することに成功した（CVE-2026-5194、既に修正済み）。 ...

トッププレイヤーが宣言した「CTFの終わり」 2026年5月、Hacker Newsのトップページに衝撃的な記事が登場した。タイトルは “The CTF scene is dead” 。著者のKabirは2021年からCTF（Capture The Flag）に参戦し、オーストラリア最大のDownUnderCTFを複数回制覇、国際トップチームTheHackersCrewの一員としてトップ10に常に食い込んできた現役プレイヤーだ。 「スコアボードはもはや人間のスキルをきれいに測れない。古いゲームは二度と戻らない。」 この主張は単なる議論ではない。325件以上のコメントが殺到し、AIセキュリティコミュニティに波紋を広げた。本記事では、Kabirの分析、423台のHack The Boxマシンを解析した統計データ、そしてAI時代におけるセキュリティ人材育成の未来像を整理する。 3段階の進化：GPT-4からGPT-5.5へ KabirはCTFにおけるAIの影響を3つのフェーズに分類している。 Phase 1: GPT-4時代 — ミディアムの問題が「ワンショット」に GPT-4の登場により、中程度の難易度のCTFチャレンジが1回のプロンプトで解けるようになった。ただし、Hard以上の難問にはほとんど影響がなく、「時間節約」の域を出なかった。 Phase 2: Claude Opus 4.5時代 — エージェント化の始まり Claude Opus 4.5とClaude Codeの組み合わせにより、Mediumの大半と一部のHardチャレンジがエージェントで解けるようになった。CTFd APIと組み合わせれば、全チャレンジに対してエージェントを並列起動するオーケストレーターが数行のコードで構築できる。 # CTF自動ソルバーオーケストレーターの概念例 import requests from claude_code import ClaudeCodeAgent ctfd_url = "https://example-ctf.chals.io" challenges = requests.get(f"{ctfd_url}/api/v1/challenges").json() agents = [] for ch in challenges["data"]: agent = ClaudeCodeAgent( challenge=ch["name"], files=[ch["file_url"]], context=f"Solve this CTF challenge: {ch['description']}" ) agents.append(agent) # 並列実行 results = [a.run() for a in agents] この時点で、スコアボードは「セキュリティスキル」ではなく「フロンティアモデルを使う意欲」を測るものに変わり始めた。 ...

はじめに：サイバーセキュリティの分岐点 2026年4月7日、Anthropicは次世代モデル「Claude Mythos Preview」を発表した。しかし同社は同時に、このモデルを一般公開しないと宣言した。理由は「前例のないサイバーセキュリティリスク」だ。 本記事では、Claude Mythos Previewを技術的事実に基づいて解説し、その能力・リスク・論争・そして日本の開発チームが今取るべき対策を、バランスの取れた視点で提供する。既存の日本語記事の多くは発表内容の紹介に留まっているが、本記事では賛否両論を包含した分析と実践的な対策コードを提供する点で差別化している。 Claude Mythos Previewとは何か Claude Mythos Previewは、Anthropicが開発した新しい汎用言語モデルである。「Mythos」は世代名（Claude 4に相当）、「Capybara」は階層名（Opus/Sonnet/Haikuに相当）という2層構造の命名で、正式には「Claude Mythos Capybara」となる見込みだ。 最も特筆すべき点は、そのサイバーセキュリティ能力がコーディング能力の副産物として副次的に出現したことである。Anthropicは「意図的に訓練した能力ではない」と明言している。これは、モデルのスケーリングによって予期せぬ能力が創発するという、AI安全性研究で長年議論されてきたシナリオが現実になった事例と言える。 ベンチマーク：何が「異常値」なのか Anthropicが公開したシステムカードによると、Mythos PreviewはOpus 4.6と比較して以下のスコアを示している： ベンチマーク Mythos Preview Opus 4.6 改善幅 SWE-bench Verified 93.9% 80.8% +13.1pp SWE-bench Pro 77.8% 53.4% +24.4pp SWE-bench Multilingual 87.3% 77.8% +9.5pp Terminal-Bench 2.0 82.0% 65.4% +16.6pp CyberGym (脆弱性再現) 83.1% 66.6% +16.5pp GPQA Diamond 94.6% 91.3% +3.3pp BrowseComp 86.9% 83.7% +3.2pp SWE-bench Verifiedの93.9%は、2025年4月時点での最高スコア（Opus 4.6の80.8%）から13ポイント以上の飛躍であり、従来のモデル改善ペース（通常1-3pp）を大きく超えている。しかし、この数字には注意が必要だ。SWE-benchは特定の条件下でのバグ修正能力を測定するものであり、実環境でのソフトウェア開発能力を完全に反映するものではない。 発見された脆弱性：実例から見る能力の本質 27年越しのOpenBSDバグ 最も象徴的な事例は、OpenBSDのTCP SACK処理に潜んでいた27年越しの脆弱性である。RFC 2018（1996年策定）で定義された Selective Acknowledgment 機構に、二つのバグが連鎖して存在していた： ...