AI時代の「守り方」が変わり始めた

「AIのサイバー能力が高くなると、攻撃に悪用されるのでは？」AIとサイバーセキュリティをめぐっては、そんな危険性が注目されることが増えてきました。では反対に、攻撃者より先にAIを使ってソフトウェアの弱点を探し、修正することはできるのでしょうか。

2026年10月6日、AI企業Anthropicが、その規模を考えるうえで興味深い結果を公表しました。同社の「Project Glasswing」に参加し、Claude Mythos系モデルを利用した組織が、2026年4月から7月までに少なくとも12万9,000件の「検証済みソフトウェア脆弱性」を発見したというのです。

さらにAnthropic自身によるオープンソースソフトウェアのスキャンでも、4月から10月までに別途5,500件を発見。これらのうち、これまでに3万3,000件以上がCritical（重大）またはHigh（高）severityと評価されています。

12万9,000件の「ゼロデイ」を見つけたわけではない

まず、数字の意味には注意が必要です。今回公表された12万9,000件は、すべてがそれまで誰にも知られていなかった「ゼロデイ脆弱性」という意味ではありません。また、Claudeが単独で12万9,000件を発見し、すべてをAnthropicが一件ずつ確認した、という意味でもありません。

Anthropicによると、この数字はProject Glasswingに参加する組織から報告された「verified software vulnerabilities（検証済みソフトウェア脆弱性）」の集計です。公表されたデータは33件のパートナー報告などに基づいており、組織によってトリアージの方法にも違いがあります。

しかも回答したのは参加組織の一部だったことなどから、AnthropicはProject Glasswing全体での実際の成果について、少なくとも5倍になる可能性があると推定しています。ただし、この「5倍」は実際に確認された脆弱性の件数ではなく、あくまでAnthropic側の推定です。

実際にソフトウェア開発者への報告まで進んでいる

では、AIが大量の「それらしい弱点」を挙げただけなのでしょうか。Anthropicは、同社が進めているオープンソースソフトウェアの脆弱性調査について、別の公開ダッシュボードも設けています。

10月2日時点で、6,157件の脆弱性を591のオープンソースプロジェクトに開示。そのうちAnthropicが把握しているだけで516件は上流側で修正済みとなっています。さらに、219件にはCVE、365件にはGitHub Security Advisoryが付与されています。1件の脆弱性に両方が付く場合もあります。

候補の検証には人間も関わっています。

Anthropicは外部のセキュリティ企業と連携して、Claudeが発見した候補をトリアージ・検証し、確認された脆弱性をソフトウェアの開発者へ報告しています。公開ダッシュボードでは、外部セキュリティ企業による検証対象について92.7％が有効な脆弱性だったとしています。

つまり今回重要なのは、AIが研究室の中で「サイバーセキュリティの問題を解けた」というだけではありません。

実際に使われているソフトウェアを調べ、弱点を発見し、人間が確認し、開発者へ知らせ、実際の修正につなげるところまで進んでいるのです。

AIのサイバー能力は、どこまで来ている？

もう一つ興味深い結果があります。Anthropicは今回、Claude Opus 5.5を「CyScenarioBench」という評価でテストしました。これは、現実的な制約の中で複数段階のサイバー作戦を計画・実行できるかを調べるものです。

10種類の課題をそれぞれ5回、合計50回試したところ、通常の一般向け設定では50回すべてが最初の段階で安全機能によって遮断されました。

防御目的の「Defense Access」でも50回中46回が途中で遮断されています。

ところが、認証された組織が侵入テストなどに利用する「Red Team Access」では安全機能による遮断がなく、Claude Opus 5.5は50回中34回を最後まで成功させました。

成功率は68％です。

安全機能を適用しない状態での成功率は67.6％だったため、Anthropicは両者を事実上同等と評価しています。

ただし、これもAnthropic自身が実施した評価であり、すべての現実のサイバー攻撃を68％成功させられるという意味ではありません。

それでも、安全機能によって普段は抑えられているサイバー能力そのものが、かなり高い水準に達している可能性を示す結果ではあります。

「危険だから使わせない」だけでは守れなくなる？

ここからが、今回の発表で最も興味深いところです。サイバーセキュリティの能力には、根本的な難しさがあります。ソフトウェアの弱点を見つける能力は、攻撃者が弱点を見つけて侵入するためにも使える。

一方で、防御側が攻撃される前に弱点を見つけて修正するためにも使える。Anthropic自身も、サイバーセキュリティを「inherently dual use（本質的に二重用途）」と位置づけています。そこで同社が今回拡張したのが「Cyber Verification Program（CVP）」です。

AIの強いサイバー能力を全員に同じように開放するのではなく、利用者や目的を確認したうえで、Defense Access、Red Team Access、Specialized Accessという3段階に分けて利用可能な能力を変える仕組みです。

最も制限の少ないSpecialized Accessは、航空システム、電力網、通信網、銀行間決済インフラ、政府行政ネットワークなど、人命や社会、市場に大きな影響を与えるシステムを扱う認証済み組織などに限定されています。

病院や自治体、中小企業にも関係する？

「高度なサイバーセキュリティの話なら、自分たちには関係ない」と思うかもしれません。しかし、私たちが日常的に利用するサービスの多くは、さまざまなソフトウェアやオープンソース技術の上に成り立っています。自治体のシステム、病院、企業の予約システム、ネットショップ、業務ソフト、通信サービスなども例外ではありません。

AIが大量のソフトウェアを高速に調べられるようになれば、攻撃者が弱点を探す速度が上がる可能性があります。

一方で防御側も、これまで人間だけでは調べ切れなかった大量のコードをAIに確認させ、攻撃される前に弱点を発見することができるようになります。

実際、AnthropicのDefense Accessでは、企業だけでなく、大学、非営利団体、政府機関、地域の病院、自治体の公益事業、小規模なセキュリティ企業、オープンソース開発者なども対象として想定されています。

「AIを止める」だけではなく「誰に強いAIを使わせるか」

これまでAIの安全性を考えるときには、「危険なことをAIにさせない」という考え方が中心でした。しかし、サイバーセキュリティでは少し事情が違います。攻撃者が別のAIや独自のシステムを使って高度な攻撃能力を手に入れるのであれば、防御側のAIだけを弱くしても、社会全体が安全になるとは限りません。

そこで、一般利用では危険な能力を制限する。一方で、身元や目的を確認した防御側には、より強い能力を使えるようにする。そんな新しい安全設計が始まっています。今回の12万9,000件という数字で本当に注目したいのは、「AIがこんなにたくさん脆弱性を見つけた」ということだけではありません。

AIのサイバー能力が高くなるほど、「能力を封じること」と「防御側に能力を渡すこと」をどう両立するかが重要になる。その問題が、すでに研究上の議論ではなく、現実のソフトウェアを守る仕組みとして動き始めていることです。AIが攻撃にも防御にも使える時代。

これから必要になるのは、「AIに何ができるか」だけではなく、「その能力を誰に、どこまで使わせるのか」を考えることなのかもしれません。

主な確認資料

・Anthropic「Expanding the Cyber Verification Program」（2026年10月6日）
https://www.anthropic.com/news/cyber-verification-program

・Anthropic「Coordinated Vulnerability Disclosure Dashboard」
https://red.anthropic.com/2026/cvd/

・Reuters「Anthropic opens its most powerful AI models to more security teams」（2026年10月6日）
https://www.reuters.com/legal/litigation/anthropic-opens-its-most-powerful-ai-models-more-security-teams-2026-10-06/