Get security briefings from the Threat Research Team
New campaigns, attacker techniques, and detection guidance — straight to your inbox.
Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
本文の内容は、2026年10月27日に Matt Kim が投稿したブログ (URL) を元に日本語に翻訳・再構成した内容となっております。
Anthropic の Claude Mythos は、今年初めにリリースされたとき、脆弱性管理を取締役会の議題に押し上げました。その後も、この話題を巡る議論は進化を続けています。報道は新しい切り口を見つけ続けており、AI がサイバーセキュリティのあらゆる側面をどう変えつつあるかについて、多くの議論が交わされています。
Mythos Preview の最初のリリースから数か月の間に、Mythos に何ができるのか、そして誰がそれにアクセスできるのかについて、いくつかの動きがありました。では、それはあなたの脆弱性管理プログラムにとって、実際に何を意味するのでしょうか。
より強力なモデルと、より広いアクセス
9 月、Anthropic は Claude Mythos 5.1 を発表しました。同社はこれを、これまでにリリースしたなかで最も強力なサイバー能力を持つモデルと位置づけています。Mythos 5.1 は、一般提供されている Fable 5.1 と同じベースモデルの上に構築されており、異なるセーフガードが付与されています。続く 10 月には、一部の重要インフラ事業者や業界パートナーに Mythos へのアクセスを提供していた早期アクセスプログラムである Project Glasswing を、階層化されたサイバー検証プログラム Cyber Verification Program（CVP）に統合して拡大しました。刷新された CVP は、日常的な防御業務から、最も機微性の高い重要インフラまでをカバーします。
つまり、リリース当初と比べると、これまで少数のグループに限られていたマシンスピードの脆弱性発見が、より幅広い防御側に行き渡ることになります。Anthropic によると、Glasswing のパートナーは 4 月から 7 月の間に 129,000 件を超える検証済みの脆弱性を発見し、そのうち 33,000 件以上が重大（Critical）または高（High）の深刻度でした。Mythos クラスの脆弱性発見へのアクセスが増えれば、より多くの組織で、より速く、より多くの脆弱性が見つかるように思えます。それは事実ですが、この大きな数字だけでは全体像は見えてきません。
発見と悪用は同じではない
Anthropic は発表のなかで、一般提供されている Fable 5.1 がソフトウェアの脆弱性の発見に使えるようになった一方で、そのエクスプロイトの開発には明確に使えないと述べています。ペネトレーションテストやエクスプロイトの生成など、悪意をもって使われ得る活動は、下位のモデルに振り向けられます。同じゲーティングが Mythos にも引き継がれています。CVP の 3 つのアクセス階層では、ペネトレーションテストとレッドチーミングの作業は、最も上位の、最も厳格に審査される 2 つの階層の向こう側に隔離されています。
したがって、Mythos クラスの能力へのアクセスが広がることは、より速く物事を見つけられるようになることを意味しますが、それだけで何かを攻撃するためのアクセスが広がることを意味するわけではありません。また、Mythos は依然として広く利用できるわけではありません。アクセスは CVP で審査を受けた組織を通じて提供されるため、攻撃者がすぐに手に入れられるものではないのです。
だからといって、自動化された攻撃が起きていないと言っているわけではありません。しかしそれは別の動きであり、Mythos に特有の原因に遡れるものではありません。エージェント型 AI のリスクをすべて一括りにしてしまうと、実際のエクスポージャーがどこから生じているのかを見失います。
脆弱性管理の核心は変わっていない
Mythos に関する報道の多くは、実際以上に恐ろしげに聞こえます。確かに脆弱性の発見は大幅に速くなりますが、Mythos が登場する前から、既知の CVE をすべてパッチしているセキュリティチームは存在しませんでした。防御に AI エージェントを使えば、チームの速度と対応範囲を高められますが、本当の差別化要因は変わらず、どの検出結果が、アクティブにロードされているパッケージにあり、到達可能で、実際のリスクを生んでいるのか、そしてどれが、恐ろしげな CVSS スコアが付いているだけのノイズなのかを把握していることです。
エクスプロイトも速くなっています。Mandiant は現在、悪用までの時間（time-to-exploit）の平均をマイナス 7 日としています。これは、脆弱性が開示される前から悪用が始まっていることを意味します。だからこそ、中核となる原則に基づいて脆弱性管理プログラムを構築することが、さらに重要になっています。
AI ディスカバリー時代には、脆弱性管理の基本がいっそう重要になります。
- CVE に該当するものもしないものも含め、あらゆる検出結果を 1 か所でスキャンし、検出する。
- スコアが高いものだけでなく、使用中でエクスプロイト可能なものを優先する。
- ダウンストリームのインスタンスを個別にパッチするのではなく、ソースで修正対応を自動化する。
- 露出したままのものに対する安全網として、ランタイムセキュリティを位置づける。
脆弱性対応のこの計画は、発見が速くなったからといって書き換える必要はありません。エージェント型 AI は、こちら側でも活用できます。これらの各ステップを自動化・加速し、検出結果の量に追いつく助けになります。Mythos に関する見出しのたびに危機として扱う必要も、アクセスが再び拡大するたびにプログラムを作り直す必要もありません。
ウェビナーで詳しく解説します
Mythos に備えた脆弱性管理プログラムの構築について詳しく知りたい方は、ウェビナー「Mythos Decoded：脆弱性管理で実際に何が変わったのか」にご参加ください。Mythos が実際に何であり、何でないのか、そして慌てることなく AI によって加速された発見のペースに追いつくための実践的なステップについて解説します。