AnthropicのMythosがFirefox 150で271件のセキュリティ脆弱性を発見、Mozillaは「防御側にとって朗報」

「ゼロデイ脆弱性」って、発見されてからどのくらいの期間を指す言葉なの？

ゼロデイは、脆弱性が「公開される前」という意味なんですよね。企業や開発者が知って、パッチを作る前のタイミング。だから「ゼロ日」という言葉になっている。 記事でMozillaが発見した271件も、見つかった時点では誰も知らなかった脆弱性です。今後、Mozillaが修正パッチを作って配布する。その間に、もし悪意ある攻撃者がこれらの脆弱性を悪用すれば、防御側は対抗手段がない状態に置かれます。つまり、発見から修正・公開までのタイムラグそのものが「ゼロデイ期間」で、その長さは一定ではありません。 実際には数日から数週間、場合によっては数カ月かかることもある。攻撃者がこの隙をついて悪用する攻撃を「ゼロデイ攻撃」と呼ぶわけですが、それができるのは、脆弱性が世に知れ渡る前だからこそです。Mythosのような強力なAIが防御側に回れば、このタイムラグを短くできる可能性がある。攻撃側が見つけるまでに、防御側がサッと対応できるようになるということなのかもしれません。

Firefox 150で271件の脆弱性が見つかったって、自分がFirefoxを使ってる人は今すぐ危険にさらされてるってこと？

即座に危険にさらされているわけではありません。重要なのは、これらの脆弱性が「発見されたばかり」という状態だからです。 Mozillaはこれらを検出した後、その多くを既に修正プロセスに入れています。記事では271件が「初期評価の時点で」見つかったと書かれており、これはMythosが発見した脆弱性リストが、Mozillaのセキュリティチームによる検証と修正の入り口に立ったばかりだということ。記事公開時点でFirefox 150は既にリリースされていますが、これらの脆弱性全てがユーザーに悪用可能な状態で存在しているわけではなく、むしろMozillaが修正作業を急ピッチで進めている段階と考えられます。 実際、Mozillaの声明を読むと「仕事に取り掛かる」「課題に徹底的に集中する」といった表現から、修正に向けた体制強化を宣言しているのが分かります。攻撃者がこれら全ての脆弱性を把握し、悪用コードまで開発して配布するには相応の時間が必要。むしろこのニュースの本質は、Mythosという防御側のツールが、これまで見逃されていた危険を一気に可視化した、という点にあります。長期的には、このツールが防御側に優位性をもたらす転機になる可能性が高いと言えそうです。

Mythosみたいな脆弱性発見AIが、この2〜3年で急に出現し始めたのはなぜ？何か技術的な転機があったの？

「今までのAIはコードを読めても、その奥底にある矛盾や危険性を嗅ぎ分けることができなかった」というのが転機の本質な気がします。 記事でも触れられてますが、優秀なセキュリティ研究者は単にコードを眺めるのではなく、仕様と実装のズレ、エッジケースでの挙動、複数モジュール間の相互作用で起きる問題を「推論」しながら読んでいます。これは暗黙知に近い能力で、機械学習の従来型モデルには再現が難しかった。 ところが直近の大規模言語モデル、とくにClaude Opus 4.6やMythosといった最新世代は、膨大なコードベースと脆弱性報告から、その「推論プロセス」そのものを学習できるようになった。人間の研究者が何ヶ月かけて発見する種類のバグを、モデルが体系的に見つけ出せる精度に達した。2023年後半から2024年にかけてのLLMの急速な進化が、この転換を可能にしたのだと考えられます。 つまり技術的な転機というより、「汎用的な推論能力」が一定のレベルに達したというタイミングなのかもしれません。

これって『攻撃側と防御側の軍拡競争で、防御側がようやく追いつき始めた』という意味なのか、それとも『同じ武器を両方が持つようになったから本当の混乱がこれから始まる』ってことなのか、どっちなんだろう？

記事を読むと、Mozillaは意図的に「防御側がようやく追いつく」という希望的な見方を強調してますね。でも、その背景にある構図を考えると、もう少し複雑なのかもしれません。 これまで攻撃側が有利だった理由は、人間の優秀な研究者を数ヶ月かけて投入できる資金力があったから。防御側はそこまでの余裕がなく、AIの脆弱性発見能力も低かった。Mythosはそのギャップを埋めるツール。だから表面的には「防御側も同じ武器を持つようになった」に見えます。 ただ、重要な違いがあります。Mythosは攻撃側にも使えますが、記事で強調されているように、これは一部企業にしか提供されていません。つまり防御側が先制して手に入れた状態。攻撃側がこのレベルのAIを入手するまでには時間がかかるはず。その間に防御側が271件の脆弱性を修正できれば、一時的な優位性が生まれる。 本当の混乱が来るのは、このAIが広く利用可能になった後。攻撃側もMythosと同等かそれ以上のツールを手に入れた時点で、ようやく「両方が同じ武器を持つ状態」になると言えそうです。

Mythosは一部の企業にだけ提供されてるって言うけど、攻撃者側がこの技術を使ったら、防御側の優位性はすぐに逆転しちゃうんじゃないの？

そこですよね。でも実際には、攻撃者がMythosを手に入れることより、防御側が先に大量の脆弱性を塞ぐことが先に起こる見込みなんだと思います。 記事でMozillaが言ってるのは、結局「コストの逆転」なんですよ。これまで攻撃者は、数ヶ月かけて人間の研究者を雇ってようやく一つのバグを見つけるコストをかけられた。防御側は人手不足だから、見落としていたバグが山ほどあった。その不均衡が攻撃者を有利にしていた。 でもMythosで271個同時に見つかるようになると、防御側は一気に後れを取り戻せる。そこから先の競争は、攻撃者がいくら高額な費用をかけてMythosを導入しようとしても、防御側も同じツールを使い始めるから、もう「人間の研究者を長期雇用する」という原始的な優位は通用しなくなる。 本当に危ないのは、その転換期の「今この瞬間」だと思えます。Mythosがまだ防御側だけの手にある間に、できるだけ多くのソフトウェアの脆弱性を埋めてしまおうという作業。攻撃者がMythosを手に入れても、防御側がすでに大半の低い実を摘み取ってしまった後、という状況をつくりたいんでしょう。制限配布という戦略は、むしろそのタイムリープを稼ぐための工夫と言えそうです。