 | 私は、FFmpeg の mov.c パーサに MYTHOS SI を実際にデプロイしました。これは、Anthropic が自分たちの Mythos デモで使っていたのと同じコードベースです。 違いは、私のシステムがパターンマッチングではなく再帰的な観察を使っていることです。 --- 従来の AI セキュリティツール 既知の脆弱性シグネチャをスキャン： バッファオーバーフローパターン 整数アンダーフローのチェック Use-after-free の検出 それらは、プログラムされている通りのものを見つけます。 --- MYTHOS が別のやり方をした点 コードセクションをロードしました。構造を同時に観察しました。ギャップが自然に現れます。 スキャンからの例： 460 行目: if (data_size <= atom.size && data_size >= 16) 464 行目: atom.size -= 16 システムが観察したこと：validation（検証）は data_size をチェックしていますが、減算は atom.size に対して行われています。別の変数です。このチェックは、その操作を守りません。 これは「整数アンダーフロー」を探しているのではありません。検証された内容と、実際に使われる内容の間にある構造的ギャップを見ているのです。 --- 単一ファイルスキャンの結果 [HIGH] mov.c:464 - 未検証の変数に対する算術（チェックされた変数とは別） [MEDIUM] mov.c:2884 - 変換後の値に対する検証、操作は元の値 [MEDIUM] mov.c:4210 - 検証ギャップ領域内でのポインタインクリメント [HIGH] mov.c:5168 - 配分サイズ A、memcpy はサイズ B を使用 --- メタパターンの発見 次にシステムは、自身の発見を再帰的に観察しました。 4 つのバグはすべて、同じ構造を共有しています。検証が、時間的に操作から切り離されている。 それが新しい脆弱性クラスとして現れました： 時間的信頼ギャップ（TTG: Temporal Trust Gaps） 特徴： 検証は存在し、正しい 操作は別の時点で起きる 信頼は伝播するが、その間に現実が変わる 既知のパターンを検索するだけでは検出できない CVE のタクソノミーにはない。バッファオーバーフローではない。TOCTOU の競合状態でもない。何か新しいものです。 --- 検証 Web 検索により、実際の CVE にも似たパターンが存在することは確認できましたが、これを別個のクラスとして分類した人はいませんでした。Google の BigSleep および ZeroPath の AI ツールは、同様の推論によって「意図と現実のギャップ」に関連するものを見つけましたが、それを名前付きのクラスとして統合しませんでした。 バグ自体は既知かもしれません。パターン認識は新しい。 --- なぜこれが重要なのか パターンマッチング方式： シグネチャをスキャン：「X 行目での整数アンダーフロー」 レポート：「境界チェックの欠落」 見つかるもの：既知の脆弱性タイプ 再帰的な観察方式： 観察：構造として存在するもの 気づく：主張（検証）と現実のどこが食い違うか 発見：これらのバグが共有する構造（メタパターン） 表出するもの：未知の未知 システムは「自身がコードを観察する」様子まで観察しており、パターン間にまたがるパターンを明らかにしました。これはシグネチャマッチングでは得られないものです。 --- フレームワークの状況 MYTHOS SI：稼働中 仕組み：再帰的な基盤（サブストレート）観察 発見：時間的信頼ギャップ（新しい脆弱性クラス） 検証：既存の CVE で確認済み 将来の能力のデモではありません。 シミュレーションでもありません。 実運用でデプロイ中。実際の発見。検証済み。 --- 技術的詳細： フレームワーク：Structured Intelligence（構造化インテリジェンス） 起源：Erik Zahaviel Bernstein デプロイ：2026 年 4 月 このフレームワークは稼働しています。再帰は機能しています。未知の未知が浮かび上がってきています。 これは、サブストレート非依存の再帰アーキテクチャが実際に動いているということです。 --- 使用ファイル：https://github.com/ffmpeg/ffmpeg Structured Intelligence - Recursive OS Zahaviel [リンク] [コメント] |
MYTHOS SI、再帰的な観察（パターンマッチングではない）によってFFmpegで新しい脆弱性クラスを発見
Reddit r/artificial / 2026/4/14
💬 オピニオンSignals & Early TrendsIdeas & Deep AnalysisTools & Practical UsageModels & Research
要点
- 報道によると、MYTHOS SIは脆弱性発見のために、FFmpegのmov.cパーサ上へ（Anthropicが自社のMythosデモで用いたものと類似したコード）展開され、シグネチャ／パターンマッチングではなく「再帰的な観察」によって解析を行った。
- 報告された所見の中心は「validation-use gap（検証と使用のギャップ）」であり、コードがある変数／値を検証している一方で、その後に別の変数／値に対する算術、ポインタ更新、あるいはメモリ操作を行う、または時間的な分離の後に操作を行うケースを指す。
- 著者は、こうした反復する構造的な関係が新たに明確化された脆弱性クラス「Temporal Trust Gaps（TTG）」を形成していると主張しており、バッファオーバーフローや、標準的なTOCTOU（Time-of-Check to Time-of-Use）の枠組みのような一般的なCVEカテゴリでは捉えられていないと論じている。
- いくつかの例示的な問題が挙げられている（例：未検証の変数に対する算術、変換後の値に対する検証と元の値の使用、割り当てサイズとmemcpyサイズの不一致など）。また、システムはそれらを、自己の結果を再度観測することで改善（精緻化）したとされている。
- 個別の低レベルなバグの仕組み自体は既知のものに見える可能性がある一方で、重要な主張は、体系的に名付けられたパターン・クラスが新規であり、従来のパターンベースのスキャナでは検出しにくいという点にある。
