AnthropicのAI「Mythos」、Microsoftの脆弱性発見が修正ペースを上回る

Anthropicが開発したセキュリティ特化型AIモデル「Claude Mythos(クロード・ミートス)」プレビュー版が、Microsoft製品に存在する多数の脆弱性を従来にないペースで発見し、Microsoft社内のセキュリティチームが修正作業に追われていると報じられました。ProPublicaが入手した内部文書や録音をもとにした報道で、2026年7月29日に公開され、翌30日にはArs Technicaも取り上げています。対象となっているのは主にSharePointで、Microsoft 365やTeams、Copilotにも関連する指摘があるとされています。AIによる脆弱性発見が、人間による修正のペースを上回りつつある実例として注目されています。

背景

Anthropicは2026年3月、ソフトウェアの脆弱性発見・分析に特化したAIモデル「Mythos」の存在を明らかにし、Fortuneが4月14日に詳細を報じました。当時の報道では、Mythosがすでに数千件規模の脆弱性を発見しており、その多くが未パッチのままだったとされています。Anthropicは「前例のないサイバーセキュリティ上のリスク」があるとして、Mythosへのアクセスを一部の大手テクノロジー企業に限定してきました。攻撃者より先に防御側が脆弱性を把握し、パッチを用意する時間を確保する狙いがあるとされています。

詳細

ProPublicaの報道によれば、Microsoftは2026年5月中旬ごろから社内のエンジニア約50人にMythosへのアクセスを与え、自社製品の脆弱性洗い出しを進めました。特に重点が置かれたのがSharePointで、4月の時点ですでに重大なバグ90件、重要度の高いバグ141件が検出されていたとされています。5月中旬の時点でも、数百件の重大・重要バグに加えて約300件の中程度の深刻度のバグが未修正のまま残っていたと報じられています。

社内では、Mythosと同等の能力を持つツールが2026年6月1日には他の主体にも広く出回るとの想定のもと、5月31日を一つの区切りとして修正作業を急いだとされています。ある関係者は「基本的に(ツールが)6月1日に公開されれば、敵対者は6月2日には手にする」という趣旨の発言をしたと報じられており、Microsoft経営層はこの対応を「mad dash(必死の駆け込み)」と表現していたとされています。実際に6月には過去最多となる200件超のパッチが配布され、7月14日までの累計では600件超のパッチが出されたと報じられています。

また、Mythosは単体では深刻度の低い複数の欠陥を組み合わせ、より大きな被害につながる攻撃経路を構成できる点が課題として指摘されていると報じられています。Microsoft社内の資料では、SharePoint対応チームが重大度の高いバグへの対応を優先しつつ、重要度の高いバグへの対応は8月にずれ込む見込みだったとも伝えられています。

なぜ重要か

この事例は、AIによる脆弱性発見の速度が、企業側の修正(パッチ適用)体制の速度を上回りつつあることを示す具体例として受け止められています。日本企業の多くもSharePointやMicrosoft 365、Teamsを日常的に利用しており、こうした主要ソフトウェアの脆弱性対応の遅れは、直接的なセキュリティリスクにつながり得ます。またAIが脆弱性の「発見」を加速させる一方で、「修正」の自動化や体制整備が追いついていない現状は、AIセキュリティ分野全体の課題として今後も注目されるとみられます。特定の脆弱性を悪用した攻撃が実際に確認されたという報道ではありませんが、対応の遅れが続けば攻撃リスクが高まる可能性がある点は留意が必要です。

今後の見通し

Microsoftは今後もSharePointをはじめとする製品群のパッチ配布を継続するとみられますが、報道時点(2026年7月30日)では、重要度の高いバグへの対応の一部が8月以降に持ち越される見込みとされています。AIによる脆弱性発見と人間側の修正体制のギャップをどう埋めるかは、Microsoftに限らず業界全体の課題として今後も議論が続くとみられます。