Anthropicが新しいフロンティアモデル「Claude Mythos」のプレビューを限定パートナー向けに公開しました。あらゆる主要OSとWebブラウザのゼロデイ脆弱性を自律的に発見・悪用できるという類例のない能力から、一般公開は見送られています。このイニシアチブは「Project Glasswing」と呼ばれ、AI能力を防衛側に先行活用することを目的としています。
TechCrunchやVentureBeatの報道によると、Claude MythosはすでにOpenBSDの27年前のバグ、FFmpegの16年前の欠陥、メモリ安全な仮想マシンモニターのメモリ破壊脆弱性など、高深刻度のゼロデイを数千件発見したとされています。Anthropicが「危険すぎて公開できない」と判断した初のAIモデルとなり、業界に衝撃を与えました。
アクセスが許可されるのは、AWS・Apple・Broadcom・Cisco・CrowdStrike・Google・JPMorgan Chase・Linux Foundation・Microsoft・NVIDIA・Palo Alto Networksなど限られた組織のみ。Anthropicはプレビュー利用クレジットとして最大1億ドル、オープンソースセキュリティ組織への直接寄付400万ドルを拠出することも発表しました。
X（旧Twitter）では「強力すぎて公開できないAI企業が初めて登場した」「デュアルユース問題の新局面に業界が騒然としている」という声が上がっています。セキュリティ研究者のSimon Willisonは自身のブログで「Project Glasswingのセキュリティ研究者限定公開は必要かつ正しい判断だ」と評価し、多くの賛同コメントが集まりました。Redditのr/netsecでは「実際にゼロデイを量産できるなら防衛側も積極的に使うべき」という意見と「誰がこのシステムを監査するのか？」という懸念が交錯しており、責任ある開示と運用の枠組みをどう設計するかが今後の焦点となっています。
Anthropicは今回の措置を「緊急の防衛的試み」と位置づけています。同じ能力が悪意ある行為者に使われる前に、パッチを当て、脆弱性を潰し、インターネット全体をより安全にするという発想です。AIがサイバー攻撃の主体となりうる時代が現実に近づく中、「公開か非公開か」という二項対立ではなく、厳密な審査と段階的な開放という第三の道が模索され始めたといえます。今後、他のAI企業も同様の判断を迫られる局面が増えることが予想されます。