Claude Mythos公開後、
AI前提のサイバーセキュリティ対策
【目次】
2026年、サイバーセキュリティの前提を揺るがす出来事が起きました。米Anthropicが発表したAIモデル「Claude Mythos Preview（以下、Mythos）」です。Mythosが注目を集めた理由は、単に高性能なAIだったからではありません。脆弱性の発見、検証、攻撃手法の生成といった従来は高度な専門家が担っていた工程を、自律的かつ高速に実行できる可能性を示したためです。
これまで企業のサイバー防御は、「攻撃者にも時間や人員の制約がある」という前提の上に成り立っていました。しかし、AIが攻撃プロセスに深く関与する世界では、その前提自体が成立しなくなる可能性があります。サイバーセキュリティをIT部門だけの課題として捉えるのではなく、経営視点で事業継続や経営リスクを見直す段階に入っています。そこで、Mythos公開後の世界、AI前提のサイバーセキュリティ対策についてご紹介します。
Anthropic社のMythos（ミュトス）とは？ サイバーセキュリティ再設計の必要性
2026年4月、AnthropicはMythos（ミュトス）を発表しました。Mythosとは「claude（クロード）」を提供するAnthropic社が、システムやソフトウェアの脆弱性をAIが高速に発見し、検証方法や攻撃手法まで自律的に行える生成AIサービスのことです。
何十年も発見されなかったOSやWebブラウザの脆弱性を検出したと報じられ、注目を集めました。サイバー攻撃に使用されると危険であるため、一般公開はされておらず、パートナーであるIT企業や、国と連携する民間企業や研究機関に限定提供されています。
Anthropicは、Mythosについて、脆弱性の発見や悪用可能性の検証、攻撃コードの生成に関わる高い能力を示したと報告しています。つまり、従来は高度な専門家が時間をかけて担っていた探索・検証・攻撃手法の具体化といった工程を、AIが高速に支援できる可能性が示されたということです。
また、英国のAI Security Institute（AISI）も独自評価において、MythosがCTF課題や複数ステップの企業ネットワーク攻撃シミュレーションで高い性能を示したと公表しました。これは、AIがサイバー攻撃の複数工程を自律的に実行できる水準に近づいていることを示す第三者評価として位置づけられます。
発見された脆弱性の中には、長期間にわたり見過ごされてきたものも含まれていました。しかし、重要なのは個別の脆弱性ではありません。大事なポイントは、「脆弱性は人間が探し、人間が評価する」というこれまでの常識が変わり始めたことです。
AIが探索・分析・検証を並行して実行できるようになれば、防御側が認識する前に攻撃準備が完了する可能性があります。サイバーセキュリティの攻めと守りの時間軸が大きく変化し始めているのです。AIを前提としたサイバーセキュリティ再設計の必要性が求められています。
「Mythosは限定公開だから安全」という前提は成立するのか
Anthropic社は当初、Mythosを一般公開せず、防御目的で限定提供する方針を示していました。
この方針は責任あるAI提供の取り組みとして評価されましたが、多くのセキュリティ関係者は別の懸念を抱いていました。
「Mythosを本当に限定的な利用として、閉じ込め続けられるのか」という問題です。
その後、海外メディアは、権限のない外部ユーザーによるMythosへの不正アクセス事案を報じました。
報道によれば、侵入経路は極めて古典的なものでした。AI活用による高度な技術的突破ではなく、人の運用や委託先管理の隙を突いたものだったとされています。
このMythosへの不正アクセス事案が示したポイントは、AIのリスクはAIそのものだけではなく、人、組織、運用体制、サプライチェーンを含めた全体が攻撃対象になるということです。
もはや「非公開だから安全」「一部の組織しか利用できないから安心」という考え方は成立しにくくなっています。
AIを活用した攻撃が急速に高度化する時代
近年、数多くのサイバー攻撃者が生成AIを活用していることが報じられています。生成AIを活用するサイバー攻撃の変化のポイントは、攻撃手法が複雑かつハイレベルになっているだけではありません。
それは、サイバー攻撃の規模、頻度、スピードが飛躍的に拡大する可能性があることです。これまでは特定企業を狙った攻撃が中心でした。しかし今後は、同じ業界や同じシステム構成を持つ企業が同時に攻撃対象となる可能性があります。
AIの特徴は一度学習した手法を大規模に展開できます。つまり、「狙われる企業」と「狙われない企業」が分かれる時代から、「脆弱な構成を持つ企業が一斉に狙われる時代」へ移行する可能性があるのです。
日本企業がこれから直面するサイバー攻撃の現状
多くの企業において、「サイバー攻撃の規模、頻度、スピードが拡大すること」の変化に対して、対応の難しさが指摘されています。その理由は以下のようなものがあります。
- IT資産の棚卸しが不十分である
- 脆弱性管理が属人化している
- セキュリティパッチの適用が遅れている
- 工場や物流センターなどの設備機器を監視・制御するためのシステム環境が長期間更新されていない
このような課題は決して珍しくありません。大切なポイントは、AIによるサイバー攻撃が普及した場合、対応できていない課題が一斉に露呈する可能性があることです。
特に金融、エネルギー、物流、製造業などの重要インフラ領域では、個社の被害にとどまらず、サプライチェーン全体へ影響が波及するリスクも考えられます。
これまでのBCP（事業継続計画）は、自社単独の障害を前提として設計されてきました。しかし今後は、「取引先も同時に被害を受ける」「業界全体が停止する」といったシナリオを前提に見直す必要があります。
経営視点で考えるべき3つのポイント
今後、Mythos級の能力を持つAIの登場により、攻撃の自動化や高度化が進む可能性があります。従って、日本企業のセキュリティ対策は経営視点で考えていかなければなりません。そこで、3つのポイントを提言します。
1. AI時代を前提にリスク評価を見直す
過去の攻撃件数や被害事例だけでは将来を予測できません。AIによって攻撃コストが大幅に低下する可能性を踏まえ、リスク評価と脅威分析のプロセスそのものを再設計する必要があります。
2. 多層防御のセキュリティ対策を強化する
AI時代であっても、防御の基本原則は変わりません。重要なのは「侵入を完全に防ぐこと」ではなく、「侵入されても被害を拡大させないこと」です。ネットワーク分離、アクセス制御、監視体制、バックアップなど、多層防御のセキュリティ対策がこれまで以上に重要になりつつあります。
3. レジリエンスとBCPへ投資する
経営層が決めるべきことは技術選定だけではありません。セキュリティ事故が起こった際のレジリエンス（復元力）とBCP（事業継続計画）を経営視点で判断しておきましょう。
- どの業務を優先的に復旧するのか
- どこまでの停止を許容するのか
- 同時多発被害に対しどう対応するのか
こうした判断はIT部門だけでは行えません。AI時代のサイバーリスク対策には、経営視点と経営判断が求められます。
こうした課題に対応するためには、自社単体ではなく、関連会社や委託先を含めたサプライチェーン全体のリスク評価と継続的なセキュリティ分析の要性が高まっています。
まとめ
Mythosが示したのは、新しいAIモデルの登場ではありません。それは、「人が攻撃し、人が防御する」という従来のサイバーセキュリティの前提が変わり始めたことです。
今後、攻撃側がAIを活用することは特別な手法ではなくなります。企業に求められるのは、侵入を完全に防ぐことではなく、侵入を前提として被害を抑え、迅速に事業を再開できる体制を整えることです。
AIを遠くから眺めるだけでは、これからの企業は生き残れません。経営層には、AIがもたらす機会だけでなくリスクも正しく理解し、自社の事業継続戦略やセキュリティ体制を見直すことが求められています。
Mythosは、その変化を象徴する最初の警鐘のひとつに過ぎません。重要なのは、Mythos登場の意味を理解し、経営者が中心になり、組織で具体的な行動へつなげられるかどうかです。
電通総研では、サイバーセキュリティ対策をご支援する様々なソリューションをご提供しております。
お気軽に当サイトよりお問い合わせください。
