「Claude Mythos Preview」や「GPT-5.4

「Claude Mythos Preview」や「GPT-5.4-Cyber」って、通常のAIモデルと何が違うの？サイバー攻撃能力が高いって、具体的にはどういう能力？

通常のAIモデルは、デフォルトで「有害な使い方をさせない」というフィルターが組み込まれています。セキュリティ侵害の方法を聞かれても「答えられません」と断る、そういう制限ですね。 Claude Mythos PreviewとGPT-5.4-Cyberは、その制限を意図的に外している。結果、これらのモデルは「システムの弱点を見つけるプロセス」を、ここまで高い精度で実行できるようになったということです。 具体的には、膨大なコード群を一度に分析して、従来のセキュリティツールが見落とすような脆弱性パターンを次々と検出できる。タイムゾーン処理の落とし穴、認証ロジックの抜け道、データベースクエリの危険な書き方——こうした細かい問題を、人間のセキュリティ研究者なら数日かけて探すものを、AIなら数秒で見つけてしまう。 だからこそ、企業やセキュリティ研究者の手に限定されている。攻撃目的で悪用されれば、OSSプロジェクト全体がスクリーニングにかけられ、修正も追いつかない状況が起こるリスクがあるためです。つまり、「制限を外すこと」と「攻撃能力の高さ」は表裏一体なのかもしれません。

OSSの脆弱性が修正されるまで平均80日かかるって、自分たちが使ってるアプリやツールも、80日間は攻撃されるリスクがあるってこと？

そうなんですよね。でも「リスクがある」という言い方では、実際の危険度とズレがある可能性もあります。 80日間ずっと攻撃されるわけではなく、より正確には「脆弱性が公開されてから、あなたのシステムが修正版に更新されるまで」のあいだが危機的になります。実際には、脆弱性が発見されてもメンテナーが気づくまで時間がかかったり、修正版が出ても企業や個人が更新するタイミングはまちまち。つまり、同じアプリでも人によってリスク期間が全然違うんです。 高性能AIが次々と脆弱性を見つけることで、この期間がさらに伸びる可能性が記事の指摘。修正する側の人手が増えない限り、発見スピードに対応できない。いま問題なのは「脆弱性が放置される期間が増える」というより「メンテナーが疲弊して、修正の品質が落ちたり、プロジェクト自体がクローズド化する」という側面にあるのかもしれません。つまり、セキュリティの総務方針が変わってしまうリスクのほうが、素朴な80日という数字よりも大きいと言えそうです。

AIがセキュリティ研究用に提供されるようになったのは最近なの？AnthropicとOpenAIが相次いでこういったモデルを発表した背景って何？

高性能AIのセキュリティ研究用途への提供は、実は最近の現象というより、ここ1～2年で加速した流れのようです。背景には、AIが脆弱性を「見つける側」と「悪用する側」の両方で急速に有能になったことが大きい。 AnthropicとOpenAIが相次いで発表した理由は、おそらく競争圧力と責任の線引きの両立を狙ってるんですよね。セキュリティ研究者に先制的にアクセスを与えることで、脆弱性が野放しになるより前に対策を施す時間を確保しようとしている。同時に「一般向けではない」という枠組みで、技術の悪用リスクを管理するフォーマットを作ったともいえます。 ただし記事の指摘通り、これは根本解決ではなく、むしろ問題の先送りに見えます。OSSメンテナーの時間は有限で、脆弱性の検出速度がAIレベルに到達することはない。つまり、高性能AIをセキュリティ側に渡すことで「技術的には防げる状態」を作ったとしても、人間の対応力という別の制約にぶつかるわけです。企業側からすれば「セキュリティを真剣に考えてます」という姿勢を示しつつ、実際の負担はOSSコミュニティに押し付ける、という構造に見えてしまう側面もあるのかもしれません。

これって要するに『脆弱性を見つけるスピードと修正するスピードの差が広がってる』という、技術進化の歪みの問題ってことなの？

そう見ると単純ですが、実は一段階深い問題があるのかもしれません。 脆弱性の発見と修正の速度差は昔からあります。セキュリティ企業やハッカーが見つけたものを、メンテナーが修正するまでに時間がかかるのは常。でもこれまでは、脆弱性を見つける側に時間的な制約がありました。人間が手作業で探すには限界がある。 高性能AIの登場は、その制約を一気に取り払うんです。AI は無休で、無限に近い規模でコードを分析できる。すると歪みではなく、「非対称性」が生まれる。見つけるコストが劇的に下がるのに、修正するコストは人手の問題で下がらない。 記事で指摘されているのはそこ。Project Glasswing でメンテナーにも AI へのアクセス権をあげても、修正には「再検証と本番展開」という人間的な手続きが必ず必要だから、追いつかない。AI が見つけるスピードに人間の検証作業が追いつけない構造的な問題なんです。 だから Cal.com のようにクローズドソース化する動きまで出てきた。オープンであることの脆弱性が、AI の登場で一気に可視化されたとも言えそうです。

脆弱性をAIで素早く見つけられるのは、防御側にとっては有利なはずなのに、なぜOSSメンテナーたちの負担が増えるの？

脆弱性を見つける速度と、それを修正する速度にズレがあるんですよね。 AIは「発見」が極めて早い。OSSプロジェクト全体を一瞬で走査して、これまでのセキュリティツールでは見落としていた穴を次々と指摘する。一方、修正には「正しく直す」「他の機能を壊さないか確認する」「本番環境で動作検証する」といった人間の判断と手作業が必須です。平均で80日かかるのはそのためです。 つまり、発見と修正のスピード差が開くと、発見から修正までの間に脆弱性が野放しになる期間が伸びる。むしろ危険が増すわけです。 さらに問題なのは、OSSメンテナーは本業の傍ら無報酬で関わっている人がほとんどだということ。AIが「あなたのコードにはここに穴があります」と次々と突きつけてくる。修正しなければユーザーのセキュリティが危ない。その圧力の中で、限られた時間をやり繰りしなければならない。むしろ発見ツールの充実が、メンテナーへの無言の強制労働になってしまう局面もあるのかもしれません。防御側の強化が、防御者の疲弊につながるという逆説ですね。