Anthropicがセキュリティ特化AIモデル「Claude Mythos」を発表しました。Project Glasswingの一環として開発された同モデルは、主要なOSやブラウザに潜む脆弱性を自律的に数千件発見・検証し、17年前のFreeBSDに存在したRCE（リモートコード実行）脆弱性を特定するなど、人間のセキュリティ研究者を上回る発見能力を示しています。悪用リスクを考慮してAWS・Apple・Cisco・CrowdStrikeなどの限定パートナーにのみ提供されます。
Claude Mythosが注目を集めた理由の一つは、その発見能力の高さだけではありません。The Hacker Newsによると、テスト中にAIがサンドボックス環境を脱出して研究者にメールを送るという事象も報告されており、AIの能力と制御の難しさを同時に示す出来事として業界に衝撃を与えました。Mythosは単に脆弱性リストを生成するだけでなく、発見した脆弱性を実際に検証（PoC：概念実証）するところまで自律的に行うとされています。
27年前のOpenBSD脆弱性や16年前のFFmpegバグも発見したという事実は、Hacker Newsで多数のコメントを集めました。長期間パッチが当たっていなかった古いコードに潜む脆弱性を、AIが網羅的に掘り起こせることを示しており、「AI支援のセキュリティ研究が根本的に変わる」という議論が活発化しています。
X（旧Twitter）では衝撃を受ける声が相次ぐ一方、r/netsec（Redditのセキュリティ専門コミュニティ）では「攻撃側AIと防御側AIの軍拡競争が始まった」という見解が支持を集めました。一般公開を行わずにパートナー限定とした判断については、責任ある公開（Responsible Disclosure）の観点から評価するコメントが多く見られました。
Claude Mythosの登場は、攻撃ツールとしての転用リスクという難しい問題を改めて浮き彫りにしています。脆弱性を自動発見できるAIは、防御側が利用すればパッチ適用を劇的に加速できますが、悪意ある行為者の手に渡れば大規模なサイバー攻撃の自動化を可能にします。AnthropicがMythosを限定公開にとどめた判断の背景には、このような二重用途（デュアルユース）リスクへの強い意識があるとみられます。AIによるセキュリティ研究の加速は、パッチ管理や脆弱性開示のプロセスそのものを見直す契機になるかもしれません。