Claude Mythos Preview発表：AIが全主要OS・ブラウザのゼロデイ脆弱性を数千件発見、Anthropicが1億ドル規模の防衛計画を始動

この記事ではセキュリティに特化して解説します。AIセキュリティ全般は サプライチェーンセキュリティ完全ガイド2026｜攻撃手法・防御ツール・実践チェックリスト をご覧ください。

Anthropicが「AIによるゼロデイ脆弱性の大量発見」を公式発表

2026年4月7日、Anthropicが未公開の次世代モデルClaude Mythos Previewの技術レポートを公開した。1ヶ月間のセキュリティテストで、全主要OS、全主要ブラウザ、暗号ライブラリで数千件の高深刻度・クリティカル脆弱性を発見。うち99%以上は責任ある開示プロトコルにより未パッチのまま。

同時に、AWS・Apple・Google・Microsoftを含む11社と連携するProject Glasswingを発表。AIのセキュリティ能力を「攻撃」ではなく「防御」に使うための1億ドル規模の取り組みだ。

Mythos Previewの性能：Opus 4.6との比較

技術レポートに記載されたベンチマーク結果は、前世代のOpus 4.6との差を明確に示している。

Firefox JITエクスプロイトで2件→181件は90倍の改善。OSS-FuzzのTier 1-2クラッシュも3.5倍。Tier-5（完全にパッチが適用されたターゲットでの制御フロー乗っ取り）を10件達成している点は、既存の自動化ツールでは到達できなかった水準だ。

発見された脆弱性：27年前のバグも検出

レポートに記載された特筆すべき発見:

• OpenBSD TCP/SACK実装の脆弱性 — 27年間見つからなかったバグ
• FFmpegコーデックの脆弱性 — 16年間、自動化ツールが数百万回見逃していた欠陥
• FreeBSDリモートコード実行（RCE） — 17年間潜伏していた脆弱性を自律的に発見
• Linuxカーネル特権昇格 — 複数の脆弱性を発見

ブラウザのサンドボックスエスケープでは、4つの脆弱性を連鎖させ、複雑なJIT heap sprayを書き、レンダラーとOSの両サンドボックスを突破する攻撃チェーンを構築した。

テスト環境はコンテナ化されたサンドボックスで標準化。モデルがコードベースを分析し、脆弱性を仮説立てし、実験を実行し、PoC（概念実証エクスプロイト）を生成する。発見結果は別のClaudeインスタンスが検証してから開示プロセスに入る。

Project Glasswing：11社連携の防御計画

Anthropicは発見された能力を防御側に展開するため、Project Glasswingを発表した。

参加パートナー

テクノロジー: AWS, Apple, Google, Microsoft, NVIDIA, Broadcom
セキュリティ: CrowdStrike, Cisco, Palo Alto Networks
金融:         JPMorganChase
OSS:          Linux Foundation

資金コミットメント

40以上の組織が重要インフラのソフトウェアメンテナンスにMythos Previewへのアクセスを得ている。リサーチプレビュー後の価格は入力$25 / 出力$125（100万トークンあたり）。

防御側への推奨事項

Anthropicはレポート内で、組織に対して以下を推奨している。

# Anthropicの推奨アクション（概念的なフロー）

# 1. 現在のフロンティアモデルで即座に脆弱性スキャンを開始
$ claude-security scan --target ./codebase --severity high,critical

# 2. パッチデプロイサイクルを大幅に短縮
$ deploy-pipeline --hotfix --max-delay 24h

# 3. インシデントレスポンスパイプラインを自動化
$ incident-response --automate --ai-triage enabled

1. フロンティアモデルでの脆弱性スキャンを即座に開始 — Mythos Previewに限らず、現行モデルでも既知パターンの検出は可能
2. パッチデプロイサイクルの大幅短縮 — AIが脆弱性を発見する速度にパッチ適用が追いつく必要がある
3. インシデントレスポンスの自動化 — 発見→トリアージ→修正のパイプラインをAIで高速化
4. 脆弱性開示ポリシーの見直し・迅速化 — 発見数の増加に対応する体制整備

今後の展開：一般公開への道筋

Mythos Previewは現時点で一般公開されていない。Anthropicは以下の段階的リリースを示唆している。

セキュリティ能力の悪用防止策を組み込んだ上で、将来のClaude Opusリリースに統合される予定。Claude CodeのAuto Modeと組み合わせた自律的なセキュリティ監査への応用も想定される。

AIによる脆弱性発見の能力が人類のトップ研究者を超えたことで、ソフトウェアセキュリティの攻守バランスが根本的に変わる。問題は「AIが脆弱性を見つけるかどうか」ではなく、「防御側がAIの発見速度に追いつけるか」に移った。

セキュリティ業界への影響：従来のツールとの比較

Mythos Previewの登場は、既存のセキュリティテスト手法との対比で意味がより明確になる。

16年間FFmpegで見逃されていたバグは、自動化ツールが数百万回スキャンしても検出できなかった。Mythos Previewが発見できた理由は、単なるパターンマッチングではなくコードの意味論的な理解に基づいて脆弱性を仮説立てできるからだ。

OpenHandsやBrowser UseのようなAIエージェントがソフトウェア開発を自動化するのと同様に、セキュリティテストの自動化もAIエージェントの主要な応用分野になりつつある。Mythos Previewはその最先端を示している。

関連記事: サプライチェーンセキュリティ完全ガイド2026｜攻撃手法・防御ツール・実践チェックリスト

参照ソース

• Claude Mythos Preview: Cybersecurity Capabilities（Anthropic技術レポート）
• Project Glasswing（Anthropic公式）
• Anthropic公式ブログ