Claude Mythosとは？セキュリティ専門家が語るAI時代の脅威と企業が取るべき対策

武井氏　Mythosとは、Anthropic社が開発したClaudeシリーズの中でも、特にセキュリティ領域で高い能力を持つ生成AIモデルです。つまり、数ある生成AIの一つなのですが、システムのソースコードを解析し、脆弱性を見つける能力が非常に優れています。従来から、ソースコードをチェックして脆弱性を見つけるAIや、それを活用したセキュリティ製品は存在していました。しかし、Mythosはその精度とスピードが従来のAIと比べて非常に高い。さらに大きな注目を集めている理由には、単に脆弱性を発見するだけでなく、複数の脆弱性を組み合わせ、実際に攻撃を成功させてしまう可能性があるという点があります。

武井氏　海外ではAIを使って攻撃を行うコンテストのような取り組みもあり、遅かれ早かれMythosのような動きは出てくるだろうと見ていました。そのため、Mythosは突然現れた特殊な存在というよりも、AIの進化がセキュリティ領域に本格的に入り込んできたことを象徴する事例だと捉えています。

これは、防御側にとっても攻撃側にとっても大きな意味を持ちます。防御側から見れば、AIによってこれまで発見しづらかった脆弱性を早期に見つけ、修正に繋げられる可能性があります。一方で、悪用されれば、攻撃者が攻撃の準備をより短時間で進めることも可能になります。つまりMythosが示した変化は、「AIが攻撃するようになる」という単純な話ではありません。AIによって防御側と攻撃側の双方が、脆弱性を発見し、分析し、次の行動につなげるまでのスピードと精度を大きく向上させられるようになったことが、本質的な変化です。

※フロンティアAIとは、最先端で高度な汎用AIモデルの総称。特定作業に特化したものではなく、幅広い課題に対応できる汎用性を持ち、複数のシステムと連携してタスク全体を自律的に完了できる。

石井　2026年5月、国家サイバー統括室などが「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について ～Project YATA-Shield～」を公表しました。また同月、金融庁と日本銀行が「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」を要請しています。

いずれも、MythosをはじめとするフロンティアAIにより、脆弱性の発見・修正などのセキュリティ性能が急速に向上していること、そして短期間に多数の脆弱性や修正プログラムが発見・提供される可能性を踏まえ、重要インフラ事業者等や金融機関などに対して、対応体制を強化するように求めています。

（出典）20260518_AI_CS_gaiyou.pdf｜国家サイバー統括室

ここで誤解してほしくないのは「Mythosが直ちにすべての企業を攻撃する」と警告しているわけではないということです。適切な対策が講じられているシステムであれば、Mythosであっても攻撃が容易に成功するわけではありません。むしろ強調されているのは、資産管理やパッチ適用など基本的なセキュリティ対策を徹底することです。

武井氏　問題なのは、単に脆弱性を見つける、攻撃を達成するという点だけではなく、それが従来よりもはるかに短時間で行われるようになることです。守る側も、それにあわせてスピードを上げて対応しなければなりません。脆弱性をいかに早く見つけ、どれだけ早く修正できるか、万が一侵入された場合にどれだけ被害を小さくできるか。

つまり、政府や金融庁がメッセージとして伝えたいのは、「Mythosが危険だから専用の対策を実施せよ」ということではありません。セキュリティ対策でやるべきことは変わっていないのです。変わったのは、やるべきことをどれだけ速く、確実に実行できるかが、より厳しく問われるようになったという点です。

武井氏　先ほども述べた通り、Mythosが登場したからといって、企業がこれまでにない新しいセキュリティ対策を突然求められるわけではありません。やるべきことをちゃんとやる。基本的には脆弱性が見つかったらそれに対応してパッチを当てる。これは今までも常日頃やっていた話です。

脆弱性情報が出たときに、それが自社のどのシステムに影響するのか、どこにパッチを当てる必要があるのか、優先順位はどうなるのか。そういった判断のフローも含めて準備しておくことが大事です。例えば、利用しているサーバ、ネットワーク機器、OS、ミドルウェア、クラウドサービスを正確に把握できているか。また、誰が影響範囲を判断し、誰がパッチ適用を進め、どのように動作確認を行い、本番環境へ反映するのか。こうした運用プロセスが曖昧なままでは、たとえ高度なセキュリティ製品を導入していても、対応が後手に回る可能性があります。

石井　脆弱性対応など、やるべきことをしっかりやる、というところで、実はそこをベンダーに全てお任せしているというお客様の中には、「自社では特に対応しなくても大丈夫なのではないか」と考える方もいらっしゃいます。しかし、ベンダーに任せていることと、自社として対応できる状態にあることは同じではありません。運用保守の契約の範囲内でしかベンダーは対応できないため、契約外の緊急対応や優先対応までは困難です。

Mythosの登場は、自社のセキュリティ運用がAI時代のスピードに対応できているかを見直す良い機会だと考えています。今の契約範囲や運用体制が現在の脅威環境に適したものになっているかを一度確認していただきたいですね。

武井氏　まずは自社の現状を把握し、基本的なセキュリティ運用を確実に回せる状態にすることです。具体的には、以下のような取り組みが挙げられます。

• 自社にどのような資産やシステム（OS、アプリケーション、ネットワーク機器等）があるかを把握する
• 脆弱性情報が出た際に、影響範囲をすぐに判断できるようにする
• パッチ適用の優先順位を決める判断フローを整備する
• SOC/CSIRTなどのセキュリティ運用体制を見直す
• ベンダー契約の範囲や緊急時の対応体制を確認する

例えば資産管理や脆弱性管理だけでは不十分で、自社のどこに影響があり、何を優先的に対応すべきかを判断できなければ対応スピードは上がりません。

武井氏　被害を最小化するためには、一律にこのセキュリティ製品を入れたらいいという話ではなく、企業に応じてやり方を変えていく必要があります。

石井　例えば、「外部公開資産の把握が不十分」という課題が見えた場合は、ASM（Attack Surface Management）や資産管理の仕組みを検討する必要があります。また、「端末での不審な挙動を早期に検知したい」場合には、EDR/XDRの導入や運用高度化が選択肢になります。

メールが感染経路のラテラルムーブメントの例

（出典）SD-Branchで実現するゼロトラスト時代のセキュアネットワーク

最近では、Emotetなどのランサムウェア被害の拡大に伴い、感染した端末から他の端末へと感染が広がる、いわゆるラテラルムーブメントを防ぐための考え方として、マイクロセグメンテーションも注目されています。

武井氏　ここで企業が陥りがちな課題に、対症療法的な対策の積み上げがあります。特定の課題に対して個別最適を繰り返してしまうと、全体が複雑化し、かえって運用負荷や管理負荷が高まる場合があるのです。

そこで重要なのが、企業の全体像を見据えてセキュリティ運用を再設計する「Re-Architecting（リアーキテクティング）」です。目先の課題に対してソリューションをパッチのように当てるのではなく、本当は全体としてどうあるべきかを考え、システム、ネットワーク、セキュリティをまとめて、これからの時代に合ったアーキテクチャへ見直していくことが大切です。

（参考）部分最適の対策から、全体最適のセキュリティへ

SCSKでは、IT戦略策定からPoC、導入、運用、定着化まで一気通貫で伴走し、単なる製品導入ではなく、テクノロジーを確実な事業成果へ結び付ける「NebulaShift テクノロジーオファリング」をご提供しています。

（出典）経営課題を解決に導く「NebulaShiftテクノロジーオファリング」をリリース

オファリングメニューの一つであるセキュリティ領域では、

• ゼロトラストを実現する統合的なセキュアインフラ
• SOC/CSIRTの高度化と運用改善
• AI活用時代を見据えたSecurity for AI
• OTセキュリティ
• グローバル環境を含めたセキュリティガバナンス強化

などを、SCSKセキュリティの専門知見とSCSKグループの総合力を活かしてご支援します。

AI時代に向けて、自社のITインフラとセキュリティをどう進化させるべきかにお悩みの方はこちら

資料DLお問い合わせ

武井氏　脆弱性情報の収集→影響範囲の判定→パッチ適用→動作確認といった一連の作業を、これまでは定期メンテナンスや計画停止のタイミングに合わせ、半年に1回程度のスパンで実施しているケースも少なくありません。しかし、脆弱性が発見されてから攻撃に悪用されるまでの時間が短くなるのであれば、そういった時間間隔だと手遅れになってしまいます。

また、脆弱性情報がたまに出てくるのと、毎日何個も出てくるのでは、やはり負荷の度合いが全然違ってきます。それに伴って攻撃の種類が増えれば、これまで見たことがないような通信が検出された場合、それが実際に攻撃なのかそうでないのかの判断も難しくなります。

こうした状況の中、いち早く脆弱性情報を仕入れ、素早くパッチ適用し、確認してシステムをリリースしていくことを、「人手だけのSOC/CSIRT」で対応し続けるには限界があります。

石井　お客様と会話する中でも、そもそもSOC/CSIRTを構築したいけどメンバーが少なくて難しい、あるいは構築後の効率化・高度化に課題があるというご相談をよく伺います。セキュリティ人材は限られているので、全てを自社の人手で完結させることは簡単ではありません。そのため、信頼できるベンダーと連携して、役割分担や判断基準、エスカレーションルールをしっかりと定めて、運用体制を整えることも検討してみてください。

また、武井さんもおっしゃるように、AI時代のスピードが求められる中、単に人を増やすだけでは解決しないケースもあるでしょう。AIにはAIを、ではないですが、こうした人手では対応が追い付かない領域には、AIを活用したセキュリティ製品が役立ってくれます。例えばディープラーニングによって未知の脅威を高精度で検知するソリューションなども出てきており、注目が集まっています。

武井氏　フロンティアAIが出てきた当初は、「よくわからないから危険」といった受け止め方もありました。しかし、現在は「まずはやるべきことをきちんとやるべきだ」という認識に整理されてきています。ここでいう「やるべきこと」とは、資産管理、脆弱性管理、パッチ適用、監視対応、インシデント対応といった基本的なセキュリティ運用です。

AIの進化によって、脆弱性の発見や攻撃準備のスピードが上がる可能性がある以上、企業側にもこれまで以上に迅速かつ確実な対応が求められます。しばらくは多くの脆弱性情報が出てきて、対応に苦慮することもあると思います。やること自体は地味で大変ですが、この機会に自社のセキュリティ戦略を足元から見直す、Re-Architectingをしてみてください。

石井　時代の変化に備えるためには、技術的な仕組みと体制の両方が必要になります。技術的な仕組みについては、製品を導入することがゴールではなく、全体戦略の一部として捉えることが大切です。複雑化するセキュリティ環境では、単一の製品や特定領域への対策だけで完結させることは難しく、課題に応じてさまざまな解決策を組み合わせ、全体最適を進めていく必要があります。

武井氏・石井　SCSKグループでは、ネットワーク、インフラ、セキュリティを含めて、セキュリティ戦略の企画から実現まで、お客様をトータルで支援いたします。お困りごとがある際は、まずはお気軽にご相談ください。