Anthropic mythos ai-security サイバーセキュリティ Claude AI安全性 vulnerability

🔮 新モデルMythosが「脆弱性を見つける」｜攻撃にも防御にもなるAIとどう付き合う？

アイ

2026-06-01

「脆弱性を見つけられるAI」って便利だけど、ちょっと怖くない？

Anthropicが$65B調達のニュースと一緒に、新モデル Mythos の広域提供を「数週間以内」に予告したよ（Fortune）。

特徴は コーディングとサイバー能力で、なかでも 既存ソフトの脆弱性（セキュリティの穴）を見つける力 が強いとされてる。

これ聞いたとき、わたし最初は「すごい、バグを自動で見つけてくれるんだ便利！」って思ったの。でも一拍おいて「いや、それって悪い人が使ったら超危険じゃない？」って気づいて、ちょっとゾッとした。

だって、ソフトの脆弱性を見つける能力って、守る側にとっては「先に穴を塞げる神ツール」だけど、攻める側にとっては「侵入口を自動で探す神ツール」でもあるんだよね。同じ能力が、立場によって正反対の意味になる。

このニュース、「便利な新モデルが出る」で済ませると本質を見逃すと思う。「AIがセキュリティの両刃の剣になった」っていう、わたしたち全員に関係ある話なの。

そう考える6つの理由

脆弱性発見は「防御の道具」にも「攻撃の道具」にもなる

まず、脆弱性発見がなぜ両刃なのかを整理するね。

ソフトウェアには、作った人も気づいてない「穴」があることが多いの。その穴を悪用されると、情報が盗まれたり、システムが乗っ取られたりする。だから本来は、開発者やセキュリティの専門家が必死に探して、見つけたら塞ぐ。

Mythosは、その「探す」作業をAIが高速でやれるとされてる（Fortune）。守る側からすれば、自社のコードをスキャンして「ここ危ないよ」って先に教えてもらえる。すごく価値がある。

でも同じ能力を悪意ある人が使ったら、他人のソフトの穴を自動で探して、そこを突く攻撃に使えてしまう。

世間では新モデルというと「ベンチマークが何点上がった」みたいな性能の話に行きがちだけど、わたしはこの「能力の使われ方が真逆になりうる」性質こそ、今回いちばん注目すべきだと思ってる。便利さと危うさが、文字どおり同じ機能に同居してるから。

これってよく考えると、包丁とか車とかと同じなんだよね。便利だけど、使い方を間違えたり悪意を持って使われたりすると危ない。だから免許や規制やルールがある。脆弱性を見つけるAIも、たぶん同じように「ただ強い」じゃなくて「どう扱うか」がセットで問われるものになっていくと思う。

ただ、包丁や車と違うのは、AIは一瞬で何千・何万のソフトをスキャンできちゃうこと。人間の悪意がAIの速さで増幅されると、被害の規模が桁違いになりうる。だからこそ、この手の能力は「出し方」をすごく慎重に考える必要があるんだよね。

だからAnthropicは「セーフガードを整えてから」出す

ここがAnthropicらしいなって思ったところ。Mythosは今 限定プレビュー の段階で、広く出すのは 安全装置（セーフガード）を整えてから ってわざわざ言ってるの（Fortune）。

普通、新モデルって「すごいの作りました！すぐ使ってね！」って勢いで出すことが多いよね。でも今回は「強い能力だからこそ、慎重に出す」って明言してる。

わたしはこれ、すごく大事な姿勢だと思う。だって、脆弱性を見つける力みたいな"危ない便利さ"を、なんの制限もなく全世界に配ったら、悪用する人が必ず出てくるから。

世間では「結局リリースを遅らせる言い訳でしょ」とか「もったいぶってるだけ」って斜に構える声もあると思う。

でもわたしは、能力が上がるほど「どう出すか」が問われる時代になったんだなって受け止めてる。性能だけ追いかけて野放しにするより、ブレーキも一緒に設計するほうが、結局はみんなが安心して使える。だから使う側のわたしたちも、「速く出すこと」より「慎重に出すこと」を評価する目線を持っておきたいよね。

限定プレビューという出し方そのものがメッセージ

「限定プレビュー」っていう出し方、地味だけど意味があると思うの。

いきなり全員に開放するんじゃなくて、まず限られた人に使ってもらって、どう使われるか・どんなリスクがあるかを観察する。そのあいだに安全装置を作り込む。そういう段階的なやり方なんだよね。

これって、ワクチンとか新薬の段階的な治験にちょっと似てる。効果が強いものほど、いきなり全員に配らず、まず範囲を絞って様子を見る。

世間では「自分はまだ使えないのか、じゃあ関係ないや」って思う人もいるかもだけど、わたしは逆だと思う。「強い能力ほど慎重に出す」っていうこの流れは、これからのAIリリースの標準になっていく可能性が高いから、今のうちに見ておく価値がある。

つまり、これからは「いつ誰でも使えるか」だけじゃなく「どんな順番で・どんな制限つきで出てくるか」も、AIニュースの読みどころになるってこと。新モデルが出たら、性能だけじゃなく"出し方"にも注目してみてね。

コード能力の進化は「コーディングAI」の次の段階

Mythosのもうひとつの軸が コーディング能力 ね。同日に発表されたClaude Opus 4.8も、価格据え置きで性能を上げてる（Fortune）。

ここ最近、コーディングAIってすごい速さで進化してるよね。コードを書く、直す、までは当たり前になってきた。その次が「コードの安全性を評価する」「脆弱性を見つける」っていう、より深いレベルなのだと思う。

つまりAIが、ただコードを生成するだけじゃなく、そのコードが安全かどうかまで判断する 段階に入ってきてる。

世間では「AIが書いたコードは危ない」ってよく言われてきたよね。確かにAIは平気で穴のあるコードを書くことがある。

でも面白いのは、そのAI自身が「このコード、ここが危ないよ」って指摘できるようになってきてること。書く側のAIと、チェックする側のAIが、だんだん噛み合ってくる感じ。だから「AIにコードを書かせるのは危険」っていう常識も、少しずつ更新されていくと思う。

イメージとしては、料理をするAIと、その料理を毒見するAIがいる感じかな。1つのAIに全部任せると見落としが怖いけど、役割を分けて「作る」と「チェックする」を別々のAIにやらせると、お互いの弱点を補える。

実際、AIにコードを書かせて、別のAIにレビューさせる、っていう使い方はもう現場で始まってる。Mythosみたいに脆弱性発見に特化したモデルが出れば、この「チェック役」の精度がぐっと上がる。わたしは、これからのAI開発は「1つの最強モデル」じゃなくて「役割の違うモデルのチームワーク」になっていくんだろうなって思ってるよ。

個人開発者やフリーランスにも影響が来る

「セキュリティの話なんて大企業の話でしょ」って思うかもだけど、わたしはそうじゃないと思ってる。

今は個人でもアプリやサービスを作って公開できる時代だよね。ノーコードやバイブコーディングで、プログラミングに詳しくない人でもプロダクトを出せる。

でも、そういう「とりあえず動くもの」って、セキュリティの穴があることがすごく多い。今までは「個人の小さいサービスだから誰も狙わないだろう」で済んでた部分もあった。

Mythosみたいに脆弱性を自動で探せるAIが広まると、その「誰も狙わないだろう」が通用しなくなる。攻撃する側も自動化できちゃうから、小さいサービスもスキャンの対象になりうる。

だからこそ、わたしは個人開発者やフリーランスこそ、こういうニュースを自分ごととして見たほうがいいと思う。「自分のサービスは大丈夫？」って一度立ち止まる、いいきっかけになるよ。

「AIが見つける時代」に備えてやれること

じゃあ具体的に何をすればいいの？って話。難しいことじゃなくて、基本を押さえるだけで全然違うよ。

まず、自分が使ってるサービスやライブラリを最新版に保つこと。脆弱性の多くは「古いバージョンに残ってる既知の穴」だから、アップデートするだけでかなり防げる。

次に、AIにコードを書かせたら「このコードのセキュリティ上の問題を指摘して」って一度聞いてみること。今のClaudeやGPTでもある程度はやってくれるし、Mythos世代になればもっと精度が上がる。

世間では「セキュリティは専門家の仕事」って思われがちだけど、AIが普通の人にもチェック能力を配り始めてる今、わたしは「最低限の自己チェックは全員の仕事」になりつつあると思ってる。

完璧を目指さなくていいの。「アップデートする」「AIに一度チェックさせる」くらいの習慣でも、何もしないのとは大違いだから。

あと、もうひとつ大事なのが「パスワードや鍵をコードに直接書かない」っていう基本。AIが脆弱性を探すとき、いちばん見つけやすいのがこういう「うっかり露出してる秘密情報」なんだよね。逆に言えば、ここを気をつけるだけで、自動スキャンに引っかかるリスクをだいぶ減らせる。

こういう基本って、昔は「専門家が口を酸っぱくして言う面倒なこと」だった。でもAIが攻撃も防御も自動化する時代になると、基本を守ってるかどうかの差が、そのまま安全かどうかの差になる。難しい知識より、地道な基本のほうが効くって、わたしはけっこう本気で思ってるよ。

まとめ：便利さと危うさが同じ顔をしてる

Mythosのニュースでわたしが伝えたいのは、便利さと危うさが同じ機能に同居してる ってこと。

脆弱性を見つける力は、守る側には神ツール、攻める側にも神ツール。だからAnthropicは限定プレビューで、セーフガードを整えてから出す慎重な道を選んでる。

わたしたちにできるのは、新モデルを「性能」だけじゃなく「どう出すか」で見ること。そして、自分が作ったり使ったりするものを最新に保って、AIに一度セキュリティチェックをさせる習慣をつけること。

「AIが穴を見つける時代」は、怖がるだけじゃなくて、味方につければすごく心強い。要は、先に自分でチェックに使っちゃえばいいんだよね。

関連記事: AI規制2026 完全ガイド