「数日から数秒へ」── Mythosが突きつけるAIサイバー・ドクトリンと、攻守の非対称性
2026年5月、国防次官補（サイバー政策担当）のケイティ・サットンは公開の場で「脆弱性への対応を数日・数週間から数分・数秒へ短縮しなければならない」と述べた。派手な脅威シナリオではなく、運用テンポの変化を静かに宣言したこの発言こそ、AIサイバー・ドクトリンが実務レベルに着地しつつある証左である。Claude Mythos Preview とは何かを理解した上で、日本企業の経営層が今問うべきは「侵入されるかどうか」ではなく「対応速度が競争条件になったとき、自社は何を変えるか」である。
「成功」という言葉が意味するもの
サットン次官補は2026年5月7日の「AI+ Expo」で、Mythosと聞いて「最初に浮かぶ言葉は実は『成功』だ」と述べ、フロンティアAIには「大きな機会」があると強調した（DefenseScoop）。ペンタゴンCTOのエミル・マイケルも同じ会議で、Mythosをサイバー能力を持つAIへの「不可避な進化」と位置づけた。両発言に共通するのは、恐怖ではなく速度と機会という座標軸だ。防御側がAIを活用すれば、これまで数日かかっていた自社環境のスキャンと優先順位付けを数時間に縮められる可能性がある。裏返せば、その速度向上を実装できない組織は相対的に後退する。脅威の大きさではなく運用テンポの格差こそが、この発言の本質的な含意である。
非対称性は書き換わらない、強まるだけ
Anthropicの開示によれば、Mythosは主要OSおよびブラウザを横断して「数千件の高深刻度の脆弱性」を発見し、公開済み脆弱性から「1日未満・2,000ドル未満」で機能するエクスプロイトを生成できたとされる。しかし西バージニア大学のモハマド・アフマド准教授（経営情報システム）は重要な留保を加える。発見された脆弱性は既知クラスの変種であり新種ではなく、本質は「新規発見」ではなく「既存の攻撃手順を前例のない速度で自動化した」点にある、と指摘する（The Conversation）。攻撃者は1回成功すればよく、防御側は常に成功し続けなければならないという古典的な非対称性は変わっていない。AIはその非対称性を「書き換える」のではなく「強める」のである。経営層がこの整理を持つことは、誇大な見出しに過剰反応することを防ぐ上でも有益だ。
普通の日本企業にとっての宿題 ── 3つの視点
視点1: 速度を前提に運用を組み直す
Anthropicのレッドチームおよび業界からの提言として、公開済み脆弱性（n-day）のエクスプロイト化が高速化している以上、パッチ適用サイクルの短縮が求められる。月次・四半期ごとのレビューを前提とした運用体制は、「数時間でエクスプロイト化される」という速度前提と整合しない。サイクルの見直しと権限委譲のルール整備が先決である。
視点2: 件数ではなく到達可能性で守る
AIが「数千件」の脆弱性を列挙できるとしても、全件対応は現実的ではない。Anthropicレッドチームの提言でも、実行時に到達可能・悪用可能で、実際に標的化されている脆弱性を優先する考え方が示されている。発見件数の多さではなく、実行環境上のリスク文脈で優先順位を付けることが、限られたリソースを持つ日本企業には特に重要になる。
視点3: 特定ベンダー・特定モデルに依存しない
2026年6月12日、商務省産業安全保障局（BIS）がAnthropicに対し、Fable 5とMythos 5の提供停止を命じ、Anthropicは両モデルを全顧客向けに一旦無効化した（Fortune）。特定モデルへの依存が過大であれば、輸出管理や規制変更の一手で業務が止まるリスクがある。ツールの多様化とプロセスの自立化が求められる。
道具が速くなっても、判断を速くする準備は人間がする。
Omamori AI の結論
- 事実: Anthropicの開示によれば、Mythosは数千件の高深刻度の脆弱性を発見し、公開済みCVEから1日未満でエクスプロイトを生成できたとされる。一方、「機密システムのほぼ全てに侵入した」とするウォーナー上院議員の発言は上院での伝聞証言であり、複数のセキュリティ専門家が文字どおりの解釈に異を唱えている。詳細は機密システム突破をめぐる証言と反論を参照されたい。
- 判断軸: 問うべきは「このAIは危険か」ではなく「攻撃の自動化・高速化が進んだとき、自社の対応速度と優先順位付けは現実的か」である。アフマド准教授が指摘するように、非対称性の構造は変わらず、強まる一方だという冷静な認識が土台になる。
- 打ち手: ①パッチ適用サイクルの短縮と権限委譲の整備、②到達可能性ベースの脆弱性優先順位付けの導入、③AIエージェントを特権ユーザー相当のガバナンス対象として扱う社内ルールの策定、の3点を順に検討する。いずれも既存のセキュリティ投資の延長線上にある地道な作業である。
経営者視点で考えるべきこと
「機密システムが数時間で突破された」という見出しは注意を引くが、その証言の性格と専門家の反論を踏まえれば、今すぐ取締役会を緊急召集すべき根拠にはなりえない。むしろ経営層が投資を検討すべきは、脆弱性スキャンの自動化や対応サイクルの短縮といった地味で継続的な改善である。サットン次官補が示した「数日から数秒へ」というテーゼは、脅威の誇張ではなく運用テンポの再設定を促すものだ。派手なインシデント報道に反応する形でツールを導入するより、自社の優先順位付けの仕組みと意思決定の速度を問い直すことの方が、長期的な防御力の底上げにつながる。ベンダーやモデルは変わる。変えにくいのは、人と組織の動き方である。
参考出典:
・Mohammad Ahmad 准教授の論評（The Conversation）: Mythos AI is a cybersecurity threat, but it doesn’t rewrite the rules of the game
・Katie Sutton 国防次官補の発言（DefenseScoop）: Frontier AI models and Pentagon cybersecurity
