「数万の脆弱性に6〜12か月の猶予」── Anthropic CEOが語ったMythosの『危険な瞬間』
2026年5月5日、AnthropicのCEOダリオ・アモデイ氏は同社のイベントで、AIモデル「Claude Mythos Preview」が発見した数万件規模の脆弱性に対応するための猶予を「6〜12か月」とする見立てをCNBCが報じた。それを過ぎると中国のAIが同様の能力に追いつくとも語ったとされる。これはアモデイ氏個人の見立てであり、確定的な予測ではないが、脆弱性発見の加速と修正能力の非対称性という構造的課題を経営層が直視する契機として注目を集めている。
何が語られたのか
CNBCの5月5日付報道によれば、アモデイ氏はAnthropicのイベントで「危険なのは、脆弱性の数、侵害の数、学校・病院・そして銀行へのランサムウェアによる金銭的被害が、ただ莫大に増えることだ」と述べたとされる。さらに同氏は、Mythosが発見した数万件規模の脆弱性にパッチを当てるための猶予期間を「6〜12か月」と示し、その期間を過ぎれば中国のAIが同様の能力に追いつくという趣旨の発言をしたとCNBCが報じた。アモデイ氏の発言が意味するのは、AIによる脆弱性発見の加速が攻撃側に先行利益をもたらす可能性であり、防御側の修正体制が追いつかない場合にはその差が拡大し得るという警告だと読める。ただし、これらはアモデイ氏の見立てと本紙は理解しており、確定事実として受け取るべきではない。
Mythosが示した発見能力の具体
Anthropicの研究ページの開示によれば、Claude Mythos PreviewはMozilla Firefox 147のJavaScriptエンジンの脆弱性について、機能するエクスプロイトを181回生成した。比較対象となった旧モデル「Opus 4.6」は数百回の試行で2回のみという結果であり、発見効率の差は明確に示されている。なお、これらの脆弱性はいずれもFirefox 148で修正済みとされている。また、OpenBSDのTCP SACK実装に27年前のバグを特定したほか、FreeBSDのNFSに17年前のリモートコード実行脆弱性CVE-2026-4747を発見し、NFS稼働マシンでのroot奪取が可能なこの脆弱性を、人手の介在なく完全自律で悪用したとAnthropicは開示している。Anthropicの開示はいずれも自社モデルによるものであり、第三者機関による独立した再現確認の範囲については、後述の評価者レビューの項を参照されたい。
本当のボトルネックは「修正」
Anthropicは、Mythosがこれまでに発見した潜在的脆弱性のうち、保守者によって完全に修正されたものは1%未満であると述べている。この数字が示す問題の本質は、Mythosの発見能力の高さではなく、発見速度に修正体制が構造的に追いつかないという非対称性にある。AIが脆弱性を数分・数時間単位で列挙できるようになっても、修正には依然として数日から数週間を要する。この露出のギャップが広がるほど、攻撃側が同等のAI能力を活用した際の悪用リスクは高まる。つまり問題の核心は「AIが脆弱性を見つけすぎる」ことではなく、「見つかった脆弱性を組織が吸収・処理しきれない体制のままである」ことにある。パッチ管理の優先順位付けと担当リソースの拡充が、今まさに問い直されるべき論点だと本紙は見る。
検証はどうなっているか
Anthropicの開示によれば、専門の評価者が198件の脆弱性報告を手動レビューした結果、深刻度評価が完全一致したのは89%、1段階以内の差で一致したのは98%だった。また、Project Glasswingの進捗報告（5月26日）では、1,752件を独立系セキュリティ企業6社と合同で評価し、90%超が本物と検証されたとされる。誇張ではなく、一定の検証プロセスを経た数字である点は確認しておく価値がある。
脆弱性は発見された瞬間から、修正されるまで開いたままだ。
Omamori AI の結論
- 事実: AnthropicはMythosによる脆弱性発見能力をAnthropicの研究ページおよびProject Glasswing報告として公式に開示している。発見された脆弱性のうち完全修正済みは1%未満という数字は、攻撃側・防御側双方に等しく参照される情報となった。
- 判断軸: アモデイ氏の「6〜12か月」はあくまで個人の見立てだが、AI支援による脆弱性発見の加速と修正リソースの現状を対比したとき、自社のパッチ運用サイクルが現実的に機能しているかを問い直す根拠としては十分な内容を含む。「新しいAIの話」ではなく「既存の修正プロセスの問題」として読むことが重要だ。
- 打ち手: まず自社のパッチ管理プロセスにおける優先順位付けの基準と所要日数を可視化し、高・重大深刻度の脆弱性が報告されてから修正完了までのリードタイムを計測することを推奨する。次のステップとして、オープンソース依存ライブラリのSBOM（ソフトウェア部品表）整備が実効的な対応起点となる。背景はClaude Mythos Preview とはも参照。
経営者視点で考えるべきこと
アモデイ氏が語った「6〜12か月」という期間は、脅威の到来期限を示す予言ではなく、自社の脆弱性対応体制を見直すための現実的な時間軸として参照する意味がある。AIによる脆弱性発見の加速は、発見側が攻撃者であれ防御者であれ、修正を担う人的・技術的リソースが追いつかない組織を先にリスクにさらす。学校・病院・銀行といった標的が挙げられているのは、パッチ適用の遅れが事業継続リスクに直結する業態だからでもある。経営層に求められるのは、CISOやセキュリティ担当者に「修正速度を上げる権限と予算を与えているか」を問い直すことだ。「AIが怖い」という反応より、「今のパッチサイクルは現実的か」という問いの方が、はるかに実務に近い。
主な参照情報:
・CNBC（2026年5月5日）「Anthropic CEO warns of cybersecurity ‘moment of danger’」
・Anthropic 研究ページ「Claude Mythos Preview」
・Anthropic「Project Glasswing」
・CNBC（2026年5月8日）「Mythos AI cybersecurity and banks」
