記事のサマリー（TL;DR）
- Claude Mythos Preview がすでに1万件超の高・致命的脆弱性を検出済み
- Project Glasswing の参加組織を約150組織追加し、15か国以上・電力・水道・医療・通信・ハードウェアなど従来未対応分野にも拡大
- 6〜12か月以内に多数のAI企業がMythosクラスのモデルを保有する見込みで、サイバー防御側の早急な対応が急務
重要インフラ運営企業・セキュリティベンダーが注目すべき参加基準と活用ポイント
Project Glasswingへの参加には、Anthropicが定めるセキュリティ要件の充足が前提です。今回拡大した組織群は電力・水道・医療・通信・ハードウェアなど社会的影響度の高いセクターが中心で、「攻撃が成功した場合に1億人以上に影響を及ぼす可能性がある」という基準が設けられています。日本においても重要インフラのサプライチェーン管理やOSSコードベースの脆弱性対応は喫緊の課題となっており、同プログラムへの参加申請や、同等水準のモデル活用を検討する際の基準として参照する価値があります。また、kintone・Salesforce・SAPなど業務システムのカスタム開発コードを抱える企業にとっても、Mythos PreviewやClaude Security（Claude Opus 4.8ベースの既存パッチ提案ツール）の活用は脆弱性スキャンの効率化につながる具体的な選択肢です。
詳細
Project Glasswing の現状
Anthropicが推進する Project Glasswing は、「世界で最も重要なソフトウェアを安全にする」ことを目的とした協働プログラムです。2025年4月初旬、約50の初期パートナーに Claude Mythos Preview へのアクセスを付与し、各組織がコードベースのスキャンを開始しました。数週間の運用を経て、パートナー各社はすでに 1万件超の高・致命的深刻度の脆弱性 を発見しています。
拡大の規模と対象セクター
今回の拡張では、セキュリティ業界・OSSメンテナー・米国政府との数週間にわたる協議を経て、新たに約150組織 が追加されました。主な特徴は以下のとおりです。
- 所在地: 15か国以上（将来的にはさらなる地理的拡大を予定）
- 新規対象セクター: 電力（power）、水道（water）、医療（healthcare）、通信（communications）、ハードウェア（hardware）——初期コホートでは十分にカバーされていなかった分野
- ベンダー・NPO: 世界中の政府を含む多数の組織が依存するコードベースを管理する企業・非営利組織
参加基準として共通しているのは、「コードベースへの攻撃が壊滅的な被害をもたらしうる」という点であり、Anthropicは「多くのパートナーにとって大規模攻撃が 1億人以上 に影響し、国際・国家安全保障上の重要な波及効果をもたらしうる」と試算しています。
Project Glasswing の役割
廉価かつ高速で強力なサイバー能力を持つAIモデルの普及は目前に迫っています。AnthropicはMythos Previewの登場を踏まえ、今後6〜12か月以内に多数のAI企業がMythosクラスのモデルを保有し、悪用防止のセーフガードなしにリリースする可能性がある と警告しています。その状況ではサイバー攻撃がはるかに頻繁かつ予測不能な形で発生しうるため、サイバー防御側が追随できるよう適応することが急務です。
Anthropicは自社の役割を2つの観点から整理しています。
- ソフトウェア業界の適応支援: より優れたモデル・ツール・共通インフラへの安全な広範アクセスを提供する
- 支援内容のシフト: 脆弱性の発見だけでなく、開示・修正・パッチ済みソフトウェアのデプロイへと段階的にサポートを拡充する
サイバー防御者へのサポート
パートナー各社はプログラム開始から数週間で、大規模なMythos Previewの活用・ベストプラクティスの共有・モデルの検出結果のトリアージを開始しました。Anthropicはこうした適応手法を広く普及させるため、以下の施策を実施・予定しています。
- Claude Security のリリース: 最新の公開フロンティアモデル（Claude Opus 4.8 など）を利用し、コードベースをスキャンしてパッチを提案する製品
- 脆弱性発見ツールの提供: 信頼できるセキュリティチームからのリクエストに応じて、Project Glasswingパートナーが使用したツールを公開
- 長期目標: 強力なサイバーモデル時代に向けた新たなイニシアチブ・標準・インフラの業界内創設を支援
パッチ適用の加速とセキュリティ全体への展開
Anthropicは、現在のサイバーセキュリティにおけるボトルネックは「Mythosクラスのモデルが大量に表面化させた脆弱性を検証・開示・パッチ適用すること」だと指摘しています。Mythos Preview 自体がこの課題に対応する手段でもあり、具体的な活用例は以下のとおりです。
- パッチ作成: 多くのパートナーがモデルを使ってパッチを記述
- プレリリースチェック: 新たな脆弱性の混入を事前に防ぐ
- ペネトレーションテスト: 脆弱性がどのように悪用されうるかをシミュレート
- 脅威検出・対応の自動化
- レガシーコードベースのメモリセーフ言語への書き直し
さらに、OSSソフトウェアの脆弱性レビューとパッチ適用を大規模にスケールさせるためのサードパーティとの協議も進行中です。OSSメンテナーへの脆弱性開示のベストプラクティス共有も予定されており、報告内容のトリアージと対応をより円滑にすることを目指しています。
今後の展望
全規模の課題に対応するには、数十万の組織・研究者・メンテナーが最先端のサイバー能力とツールにアクセスできる状態が必要とAnthropicは見ています。一般アクセスでMythosレベルの機能を安全にリリースするには、サイバー能力の悪用を防ぐ堅牢なセーフガードの開発が不可欠ですが、同社は「現時点でその条件を満たすセーフガードを（他のすべてのAI開発者も含め）まだ開発していない」と正直に認めています。
それまでの間、Anthropicは以下を計画しています。
- Project Glasswingのさらなる拡大: 追加の重要インフラプロバイダー、重要OSSのメンテナー、安全テスターを優先
- 米国内外の組織を対象: 今回の拡張と同様に、国内外を問わずカバー範囲を広げる
- Cyber Verification Program のスケールアップ: 特定のサイバー防御タスクに限定してMythosクラスの機能をより多くの組織に付与
Anthropicは、「フロンティアモデルのリリースは今後ますます高度なリスクを伴うものになる」と見ており、Project Glasswingで得た知見を「モデルが重要な能力閾値を超えたときにどう対応するかを学ぶ機会」と捉えています。最終的な目標は「防御側に恒久的な優位性をもたらすこと」です。