Anthropic Claude Mythos：AIによる自動脆弱性検知がOS・ブラウザの安全神話を破壊
Claude Mythosのアーキテクチャと自律的脆弱性解析のメカニズム
Anthropicが2026年4月7日に発表した「Claude Mythos」プレビュー版は、従来の静的解析（SAST）や動的解析（DAST）の枠組みを根底から覆す能力を示した。本モデルは、従来のLLMが持つコード生成能力を大幅に超え、複雑なシステム全体の設計図（アーキテクチャ）、カーネルレベルのメモリ管理、およびランタイムにおける非決定的な動作を推論する能力を備えている。
特筆すべきは、Mythosが「Project Glasswing」という限定的なパイロットプログラムを通じて展開されている点である。このAIは、単なるバグハンターではなく、コードの論理的な「意図」と「実装」の間の乖離を特定するマルチモーダルな推論エンジンとして機能する。具体的には、抽象構文木（AST）の解析にとどまらず、バイナリレベルの制御フローグラフ（CFG）を深層学習モデルで直接解釈することで、従来の人手による監査では見落とされがちだった、メモリ破損（Use-After-Freeなど）や境界外読み取り、あるいは複雑なレースコンディションを自動的に特定している。
OS・ブラウザの防衛線を突破するAIの推論能力
今回の報告により、主要なOS（Windows, macOS, Linuxカーネル）および主要ブラウザ（Chromiumベース含む）において、深刻な脆弱性が短期間で複数発見された。これは、OSレベルの特権昇格や、サンドボックスを無効化するブラウザのゼロクリック攻撃が、AIによって「体系的かつ自動的」に構築可能であることを意味する。
Mythosの推論プロセスには、強化学習（RLHF）の応用形である「Vulnerability Discovery Alignment」が組み込まれている可能性が高い。これにより、単なる確率的なコード予測ではなく、攻撃シナリオを複数ステップで構築し、各ステップの成功確率をシミュレーションする「計画能力」が強化されている。これは、現代のソフトウェアがいかに複雑化し、人間のエンジニアが「意図せぬ副作用」を完全に排除することが不可能になったかという現実を浮き彫りにしている。
セキュリティのパラダイムシフト：AI主導の防衛戦略
今後のソフトウェア開発は、攻撃側がAIを動員する「AI対AI」の終わりのない戦いへと突入する。開発者およびセキュリティエンジニアは、以下の3つの観点で戦略を再構築する必要がある。
-
AIによるコード監査の「標準化」と「継続性」: 人間によるコードレビューは、最終チェックの段階では機能するが、設計段階からMythosのようなAIツールを用いて脆弱性のプロトタイプを事前に検知する「Shift-Left Security」を、CI/CDパイプラインにネイティブ統合することが必須となる。
-
「検証可能（Verifiable）」なセキュアコーディングの再定義: Rustのようなメモリ安全な言語への移行はもはや必須条件であり、さらに言えば、コードの振る舞いを形式的に証明するための「形式手法（Formal Methods）」とLLMを組み合わせ、AIがコードの正当性を証明する環境を整えることが急務である。
-
攻撃者AIに対する「ブラインドスポット」の最小化: Claude Mythosのような強力なモデルが検知できるということは、悪意あるAIも同様の脆弱性を見つけられることを意味する。パッチ配布までの時間を短縮するための「自動パッチ生成・テスト」の自動化が、OSベンダや主要ソフトウェアプロバイダの競争優位性に直結する時代になるだろう。
