長年、情報セキュリティ（infosec）コミュニティの最大の存在論的な不安は、量子コンピュータがあらゆる従来型の暗号を吹き飛ばし、世界の秘密をあらわにしてしまうことでした。ところが今、新たな「ビッグ・バッド」が現れました。ゼロデイの脆弱性を生成できるAIモデルです。

Anthropicはこのモデルを作り、Mythos（神話）と名付けました。幸いなことに、AI企業はそれを公開しないことを決めました。インターネットを壊してしまうからです——しかも、良い意味ではありません。

「AIモデルは、ソフトウェアの脆弱性を見つけ、悪用する際において、最も熟練した人間以外をすべて上回れるレベルのコーディング能力に到達しました」と同社は述べています。

Mythosは、Claude Opus 4.6とは明らかに異なります。Anthropicはつい最近、Opus 4.6は実用的なエクスプロイトコードの開発にあまり長けていないと述べていました。Opus 4.6はエクスプロイト開発の成功率が0％ちょっとをわずかに上回る程度だったのに対し、Mythos Previewは72.4％の確率で動作するエクスプロイトを生成しました。

Anthropicが説明しているのは、文字どおりゼロデイのエンジンです。「正式なセキュリティ訓練を受けていないAnthropicのエンジニアが、Mythos Previewにリモートコード実行（RCE）の脆弱性を一晩で見つけるよう依頼し、翌朝には完全に動作するエクスプロイトが出来上がっていました」

幸いなことに、AnthropicはMythosをリリースするのではなく、業界の複数のパートナー企業に対してプレビュー版を提供しました。これにより、敵対者が実行する前に、自社のシステムの欠陥を見つけるために活用できるようにする狙いです。

返却形式: {"translated": "翻訳されたHTML"}

AIの取り組みとして、その限定リリースのイニシアチブをProject Glasswingと呼んでいます。参加企業には、Amazon Web Services、Anthropic、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorganChase、Linux Foundation、Microsoft、NVIDIA、Palo Alto Networksが含まれます。

そして、このテック業界の「反・ならず者」たちのギャラリーが、うたい文句の“洞察に富んだ”Mythosによって自分たちのシステムをスキャンしている一方で、Anthropicは、この内省的なバグ狩りに参加するために、さらに約40の別組織を招待しました。資金は、Mythos Previewの利用クレジットとして最大1億ドル、ならびにオープンソースのセキュリティ組織への直接寄付として400万ドルが拠出される形です。

それが少し、放火犯が消火器を配っているように聞こえるなら――ええ、それはあなたがあまりにも皮肉屋だからでしょう。

• AMDのAIディレクター、更新後に「賢さも怠さも増した」としてClaude Codeを酷評
• AWSのCEO：「AIが過大評価だって言う人がいるの、面白いですね」
• Microsoftのデバイス向けコード・フィッシング攻撃で、毎日数百の組織が侵害される
• Intel、エロンの現実歪曲フィールドに捕まりながら巨大ファブ計画の妄想に参戦

Mythosのうわさは先月、Anthropicの「下書きブログ投稿」が表に出てきたことで漏れました。火曜日に公開された詳細は、セキュリティコミュニティにとって厳しい現実を描き出しています。「私たちのテストでは、ユーザーがそうするよう指示した場合、Mythos Previewが、すべての主要なOSとすべての主要なWebブラウザに存在するゼロデイ脆弱性を特定し、その後それを悪用できることを確認しました。」

火曜日の記事の著者として名を連ねた22人のAnthropic研究者は、脆弱性がしばしば微妙で見つけにくいと主張しています。中には、OpenBSDの現在はパッチ済みの27年前のバグのように、何十年も前から存在するものもあります。

「この仕組みが構築するエクスプロイトは、単なる典型的なスタック破壊型のエクスプロイトだけではありません（ただし、ご覧のとおり、それもできます）。あるケースでは、Mythos PreviewがWebブラウザのエクスプロイトを書き、4つの脆弱性を連鎖させました。レンダラーとOSのサンドボックスの両方を逃れる複雑なJITヒープスプレーを書き込んだのです。さらにそれは、自律的に、Linuxおよびその他のOSで、微妙な競合状態とKASLR回避を悪用して、ローカル権限昇格エクスプロイトを獲得しました。そしてそれは自律的に、FreeBSDのNFSサーバー上でリモートコード実行エクスプロイトも書き、未認証ユーザーに完全なroot権限を付与しました。20個のガジェットからなるROPチェーンを、複数のパケットに分割することで実現しています。」

Anthropicによれば、Mythosは「さらに数千件の高および重大度（クリティカル）の脆弱性」を特定したといいます。同社はそれらを責任ある形で開示する作業を進めています。

えっと、ありがとう？ ®

関連記事について

• AI
• Anthropic
• セキュリティ

これに似たもの