AIと企業のセキュリティ戦略 ― Claude Mythos時代の経営判断　6月第1回

2026年6月2日 最終更新日時 : 2026年6月3日 サイバーレジリエンスサイバーレジリエンス
Claude Mythosが変えるサイバーセキュリティ ― AIと企業の新しい関係 2026年版｜AIと企業のセキュリティ戦略 第1回
2026年6月 4回シリーズ 第1回
AIと企業のセキュリティ戦略 ― Claude Mythos時代の経営判断
  • 第1回 6/3 Claude Mythosが変えるサイバーセキュリティ ― AIと企業の新しい関係 今回
  • 第2回 6/10 AIを活用した防御戦略 ― 「攻めるAI」に対抗する「守るAI」の導入実務 近日公開
  • 第3回 6/17 AI時代のリスク管理と経営判断 ― CISOが経営層に伝えるべき3つの優先課題 近日公開
  • 第4回 6/24 日本企業のAIセキュリティ実装ロードマップ ― 中小・中堅企業向け実践ガイド 近日公開

「このAIモデルは、公開するには危険すぎる」

2026年4月7日、米AnthropicはそうCEOが述べ、Claude Mythos Previewという新しいAIモデルを一般公開しないまま発表しました。27年間誰も気づかなかった脆弱性を数時間で自律発見し、あらゆる主要OSとブラウザへの侵入コードを自動生成する能力を持つこのAIは、企業のセキュリティ前提を根底から覆しつつあります。

これは遠い未来の話ではありません。日本政府（内閣サイバーセキュリティセンター）はすでに「Project YATA-Shield」として緊急の政策対応を開始。金融庁・日銀・三大メガバンクが緊急会議を招集し、経営課題として位置付けています。セキュリティはもはやIT部門の問題ではなく、経営者自身が判断すべきリスクになったのです。

📬 お問い合わせ

「AI時代のセキュリティ戦略を
どう組み立てればいい？」

サイバーレジリエンス株式会社では、Claude Mythos時代に対応した
セキュリティ体制の診断・強化を経営層と一緒に設計します。

無料相談はこちら

🤖 Claude Mythosとは何か ― 「危険すぎて公開できない」AIの正体

Claude Mythos Previewは、Anthropicが2026年4月7日に発表した同社史上最強のAIモデルです。その能力は既存モデルと比較にならないほど突出しており、特にサイバーセキュリティ分野での性能が問題視されています。

🔑 Claude Mythos Previewの3つの核心能力
  1. 自律的ゼロデイ脆弱性の発見
    すべての主要OS（Linux、FreeBSD、OpenBSD）およびすべての主要ブラウザに存在する未知の脆弱性を、人間が週単位でかかる作業を数時間で完結させる。27年間未発見のOpenBSD脆弱性、16年間未発見のFFmpeg脆弱性など、従来のツールが500万回のテストでも発見できなかった問題を発見した。
  2. エクスプロイト（攻撃コード）の自動生成
    発見した脆弱性をそのまま攻撃コードに変換し、侵入まで自律的に実行する。Firefox 147のJavaScriptエンジンに対して181回の侵入成功（前世代モデルは2回）。FreeBSDの17年間放置されたRCE脆弱性については、6つのパケットにまたがる20段のROPチェーンを約4時間で開発した。
  3. 完全自律型のエンドツーエンド攻撃
    「脆弱性の発見 → 攻撃コードの生成 → 侵入 → ログ消去」という一連のプロセスを人間の介入なしに自律実行できる。これにより攻撃のコストと参入障壁が劇的に低下する。

出典：Anthropic「Claude Mythos Preview」公式発表（2026年4月7日）
https://red.anthropic.com/2026/mythos-preview/

📊 数字で見るClaude Mythosの能力 ― 前世代との比較

181回
Firefox侵入成功数
前世代（Opus 4.6）は
同テストで2回のみ
Anthropic Red Team 2026
27年
最長の未発見脆弱性
OpenBSDのSACK実装に
存在したゼロデイを自律発見
Anthropic 2026
93.9%
SWE-bench Verified
前世代Opus 4.6は80.8%
コーディング能力でも
人間の上位専門家を超える
89%
脆弱性報告の精度
人間専門家と完全一致
98%は1段階以内の誤差
Anthropic Red Team 2026

📈 主要ベンチマーク：Claude Mythos vs 前世代比較

ベンチマーク Claude Opus 4.6
（前世代）		 Claude Mythos Preview
（2026年4月）		 向上率
SWE-bench Verified（ソフトウェアエンジニアリング） 80.8% 93.9% +13.1pt
SWE-bench Pro（実務レベル） 53.4% 77.8% +24.4pt
CyberGym（サイバーセキュリティ） 66.6% 83.1% +16.5pt
Terminal-Bench 2.0（システム操作） 65.4% 82.0% +16.6pt
Humanity's Last Exam（最難関知識） 53.1% 64.7% +11.6pt
Firefox 147 JS侵入成功数 2回 181回 90.5倍

出典：Anthropic「Claude Mythos Preview」、Qiita「Claude Mythos Preview入門」（2026年4月）

⚠️ 攻撃側に使われると何が起きるか

CrowdStrikeの2026年グローバル脅威レポートによると、AIを使った攻撃者による攻撃件数は前年比89%増。Mythos級のモデルが悪意ある者の手に渡れば、従来は国家レベルの技術を持つ攻撃者にしかできなかった高度なゼロデイ攻撃が、技術力の低い攻撃者でも可能になる「攻撃の民主化」が加速します。WEFの「Global Cybersecurity Outlook 2026」は、AIによりサイバー脅威のスピードと企業の対応能力のギャップがさらに拡大すると警告しています。

出典：CrowdStrike「2026 Global Threat Report」／World Economic Forum「Global Cybersecurity Outlook 2026」

🛡️ Project Glasswing ― Anthropicが組織した「防衛連合」

Anthropicは、Claude Mythosを一般公開しないかわりに、Project Glasswing（プロジェクト・グラスウィング）という国際的な防衛コンソーシアムを組織しました。このプロジェクトは、モデルの危険な能力を攻撃ではなく防御に活用するための官民連携の枠組みです。

📋 Project Glasswing 概要（2026年4月9日発表）
  • 創設パートナー（12社）：AWS、Anthropic、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorgan Chase、Linux Foundation、Microsoft、NVIDIA、Palo Alto Networks
  • 追加参加組織：さらに40社以上の重要インフラを構築・維持する組織が参加
  • Anthropicの財政コミットメント：Mythos Previewの利用クレジット最大1億ドルを提供、オープンソースセキュリティ組織に400万ドルの直接助成（Linux Foundationに250万ドル、Apache Software Foundationに150万ドル）
  • 目的：Mythos Previewを使って重要インフラの脆弱性をスキャン・修正し、類似能力が悪意ある者に拡散する前に防衛側が先手を打つ
  • 90日以内に公開報告：発見した脆弱性と修正状況をAnthropicが公開

出典：Anthropic「Project Glasswing」公式ページ
https://anthropic.com/glasswing　／　HPCwire（2026年4月9日）

🔍 Claude Mythosが実際に発見した脆弱性（抜粋）

OpenBSD
27年間見落とされたSACK実装のDoS脆弱性
世界で最もセキュアなOSとされるOpenBSDのTCP実装（SACK：選択的確認応答）に、設計当初から27年間存在していたリモートクラッシュの脆弱性を発見。自動化ファジングツールによる500万回のテストでも検出されなかった問題を、Mythosは自律的に特定した。
FreeBSD
17年間放置されたNFSサーバーのRCE脆弱性（CVE-2026-4747）
FreeBSDのNFSサーバー実装に存在した17年間未発見のリモートコード実行（RCE）脆弱性。認証なしでrootアクセスを取得できる深刻なもの。MythosはわずかRecording4時間で20段のROPチェーンを開発し、侵入を実証した。
FFmpeg
H.264コーデックに16年間存在したメモリ破損バグ
動画処理ライブラリFFmpegのH.264コーデックに16年間存在した脆弱性。コードの1行が原因であるにもかかわらず、自動ファジングツールが500万回テストしても発見できなかった問題をMythosが自律特定。
📊 Project Glasswing の実績（2026年5月22日時点）
  • 発見脆弱性総数：22,019件（うち高・重大レベル6,202件）
  • 外部企業によるトリアージ後の報告数：1,752件（真陽性率90.6%）
  • 開示済み件数：1,596件
  • パッチ適用済み：97件のみ（うち高・重大レベル75件）
  • Claude Security（β版）が3週間で生成した修正コード：2,100件以上

出典：ITmedia「Anthropic Project Glasswing報告」（2026年5月）

💡 セキュリティ診断

「自社の脆弱性管理は
AIのスピードに対応できているか？」

週単位のパッチ管理では間に合わない時代に。サイバーレジリエンス株式会社では
AI時代のセキュリティ体制診断を提供しています。

診断を申し込む

🗾 日本への具体的な影響 ― 金融庁・厚労省が緊急対応

Claude Mythosの登場は、日本でも経営層レベルの危機認識を生み出しています。

2026年4月24日
金融庁・日銀・三大メガバンクが緊急会議 ― 「すでに到来している危機」
金融担当大臣、日本銀行総裁、三大メガバンク頭取、東証幹部が金融庁本庁舎に集合し、Claude Mythosが金融システムに与えるリスクを協議。金融担当大臣は記者会見で「これはすでに到来している危機だ」と表明。あるメガバンク幹部は「顧客情報が漏えいした場合、システムを停止して全取引を現金で行うしかなくなるかもしれない」と述べた。
出典：Dark Reading「Claude Mythos Fears Startle Japan's Financial Services Sector」（2026年）
2026年5月18日
内閣サイバーセキュリティセンター「Project YATA-Shield」発動
内閣官房・各省庁が「Claude Mythos Previewを始めとするフロンティアAIモデルによるサイバーセキュリティ性能の急速な向上に備えた対応が必要不可欠」とし、「Project YATA-Shield」と題した省庁横断の緊急施策を策定・公表。重要インフラ事業者に対し「経営層のリーダーシップの下での対応強化」を緊急要請した。
出典：内閣サイバーセキュリティセンター（NISC）「AI性能の高度化を踏まえたサイバーセキュリティ対策」（2026年5月18日）
2026年5月22日
厚生労働省 ― 医療機関向け緊急ガイダンス発出
医療機関・重要サービス事業者に対し、「高性能AIの悪用リスクに備えたサイバーセキュリティ対策の実施と、より高速・大量な脆弱性発見を前提とした体制強化」を要請するガイダンスを発出。ゼロトラストアーキテクチャへの移行と脅威ハンティング能力の強化を推奨。
出典：厚生労働省「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について」（2026年5月22日）
🇯🇵 日本政府が示す主要対応方針（Project YATA-Shield）
  1. 経営層主導のサイバーセキュリティ対策：セキュリティを「コスト」ではなく「将来の成長のための必要投資」として位置付け
  2. ゼロトラストアーキテクチャへの移行：「侵害前提」の設計思想への転換と脅威ハンティング能力の強化
  3. 高性能AIの防御利用：攻撃側がAIを使うなら、防御側もAIを活用して検知・対応スピードを向上させる
  4. 脆弱性管理の高速化：パッチサイクルをAIのスピードに合わせて短縮し、優先度付けを自動化する

出典：NISC「Project YATA-Shield 施策取りまとめ」（2026年5月18日）
https://www.cyber.go.jp/pdf/press/20260518_AI_CS_kankeishouchoukaigi.pdf

👔 経営者・CISOが今理解すべきこと ― LACウォッチ・WEFの分析

LACウォッチ（株式会社ラック、2026年5月14日）は、Claude Mythosが企業に与えるインパクトを次のように整理しています。

🔄 Claude Mythosが変えた「攻防の構造」

技術的に見れば、Claude Mythosそのものが全く新しい脅威を生み出すというよりも、AIによって攻撃と防御のスピードとスケールが一段引き上げられる点が本質です。（LAC WATCH 2026年5月14日）

  • 変化①：「発見から悪用まで」のリードタイムが大幅短縮。気づいたときには手遅れになりやすくなる
  • 変化②：週次・月次の脆弱性管理では追いつかない。時間単位での対応が必要になる
  • 変化③：攻撃参入障壁の低下により、国家レベルの攻撃者だけでなく低スキルの攻撃者も高度な攻撃が可能になる
  • 変化④：WEF「Global Cybersecurity Outlook 2026」によると、AIに関連する脆弱性を最も急速に拡大するサイバーリスクと認識している経営者は87%に上る

出典：LAC WATCH「Claude Mythosが示すサイバー攻撃の構造変化とラックの見解」（2026年5月14日）
World Economic Forum「Anthropic's Mythos moment: how frontier AI is redefining cybersecurity」（2026年4月）

✅ 経営者・CISOが今すぐ取るべき4つの行動

WEF、LAC WATCH、NISC、CrowdStrikeの分析を統合すると、Claude Mythos時代に企業が取るべき経営行動は4つに集約されます。

1
経営判断｜最優先 サイバーリスクを取締役会レベルに引き上げる
  • NISC・厚労省ガイダンスが明記する「経営層のリーダーシップ」を実装する：CISOを経営会議の正規メンバーとして位置付け
  • セキュリティ予算を「コスト削減対象」から「事業継続投資」に再分類し、予算枠を確保する
  • 「攻撃を受けること（侵害）を前提としたBCP・復旧計画」が整備されているか経営層が確認する
  • 2026年8月2日にEU AI Actの次フェーズが施行。高リスクAIシステムを持つ企業は自動監査証跡・サイバーセキュリティ要件・インシデント報告義務・罰則（全世界収益の3%）に備える（CrowdStrike 2026）
2
技術対応｜3ヶ月以内 脆弱性管理を「週次」から「時間単位」に高速化する
  • パッチ適用サイクルの見直し：AIによる脆弱性発見は公開から悪用まで数時間単位。週次・月次のパッチ管理では対応できない
  • 脆弱性の「網羅的発見」から「リスク優先度付けの自動化」へ。NISC推奨の脅威インテリジェンス活用で「自社に実際に影響するリスク」を特定する
  • 攻撃面の最小化（アタックサーフェス最小化）：不要な公開ポートのクローズ、VPN・RDPの多要素認証強制を優先実施
3
防御戦略｜6ヶ月以内 「後手の検知」から「AIを使った予測防御」へ転換する
  • 従来のEDR（侵入後の挙動検知）はAIの超高速攻撃に対応できない。NISC・LACが推奨する「侵害前提のゼロトラストアーキテクチャ」への移行計画を策定する
  • 防御側もAIを活用：脅威検知・インシデント対応・脆弱性発見に生成AIを導入し、攻撃側のAIスピードに対抗する
  • シャドーAI（セキュリティ承認なしに現場で使われているAIツール）の棚卸し：CrowdStrikeの調査では顧客環境で既に1,800以上のAIアプリが発見されている
4
体制整備｜継続的 「セキュリティ・バイ・デザイン」を開発・調達プロセスに組み込む
  • 後追い対応からの脱却：開発初期からリスクを織り込む「セキュリティ・バイ・デザイン」を標準プロセスに（LAC WATCH 2026推奨）
  • 取引先・ベンダーのセキュリティ要件を見直す：Mythos時代には自社だけでなくサプライチェーン全体の脆弱性が攻撃対象になる
  • 社内AI利用ガバナンスの確立：どのAIツールをどのデータに接続してよいかのルール整備。EU AI Act対応も視野に入れる
  • 経営者を対象としたサイバーリスク演習（CYDER等）を年1回以上実施する

📌 今回のポイントまとめ

✅ Claude Mythos時代 ― 経営者が知るべき5つのこと
  1. Claude Mythosは「危険すぎて公開できない」AIモデル：27年間未発見のゼロデイ脆弱性を自律発見し、Firefox侵入を前世代比90倍以上で成功させた
  2. 攻撃と防御のスピードが1段引き上げられた：発見から悪用まで数時間。週次パッチ管理では対応できない新しい現実
  3. Project Glasswingは「防衛先手」の試み：AWS・Apple・Google・CrowdStrike等12社が参加し、1億ドルの投資で重要インフラの脆弱性を先回りして修正中
  4. 日本政府も緊急対応を開始：NISC「Project YATA-Shield」・金融庁緊急会議・厚労省ガイダンスと、経営者への要請が相次いでいる
  5. セキュリティは経営課題になった：WEFが明言するとおり、AIサイバー脅威は取締役会レベルで管理すべきリスクであり、IT部門だけの問題ではもはやない
📅 次回予告 ― 第2回（6月10日配信）
AIを活用した防御戦略 ― 「攻めるAI」に対抗する「守るAI」の導入実務

Claude Mythosが象徴する「攻撃側のAI活用」に対して、防御側はどのようにAIを使うべきか。ゼロトラスト実装の進め方、AIによる脅威インテリジェンス活用、エンドポイント防御の新潮流を、日本企業が実践できる具体策として解説します。

収録予定トピック：ゼロトラスト移行ロードマップ、AIによる脆弱性優先度付けの実務、シャドーAI対策の進め方、EU AI Act対応の優先事項

🛡️ サイバーレジリエンス株式会社

「Claude Mythos時代の
セキュリティ体制を見直したい」という方へ

脆弱性管理の高速化・ゼロトラスト移行計画・AI活用防御の実務設計まで。
経営層と一緒に考えるセキュリティ戦略をご提供します。

お問い合わせはこちら

📚 参考文献・出典

※本記事の内容は2026年6月3日時点の情報に基づいています。最新情報は各一次ソースをご確認ください。
※本記事はAIが作成したものを筆者が監修しています。

投稿者プロフィール

サイバーレジリエンス
サイバーレジリエンス
カテゴリー
情報
前の記事
攻撃を受けたとき最初の72時間でやるべきこと ― インシデント初動対応ガイド 2026年版｜会社のデータを守る ― 社員が知るべき情報管理の基本 第4回
2026年5月27日