4月7日、AnthropicはMythosを正式に発表した。
当時の議論はほぼすべて、このモデルがどれほど恐ろしいか、制御不能になる可能性があるか、なぜホワイトハウスが緊急会議を開く必要があったか、という点に集中していた。
その15日後、マイクロソフトはMythosを自社のセキュリティ開発ライフサイクル（SDL）に統合すると発表した。
これはテストやパイロットではない。AIによる脆弱性スキャンを正式なソフトウェア開発プロセスに組み込むという意味だ。
この2つの出来事を合わせると、ひとつのことが明らかになる。サイバーセキュリティの分野において、Mythosは「危険すぎて公開できない」段階から「大企業がツールとして使い始める」段階に移行したのである。
SDLとは何か、統合の意味
セキュリティ開発ライフサイクル（SDL）は、マイクロソフトが2004年から使用しているセキュリティ開発手法である。すべてのマイクロソフト製品は、設計からコード、デプロイメントに至るまで、開発の各段階でセキュリティレビューを受けることが求められる。これは選択肢ではなく、すべてのマイクロソフト製品がリリース前に通過しなければならない必須プロセスである。
MythosをSDLに統合するということは、マイクロソフトのコードが本番環境に投入される前に、AIがそれをスキャンし、能動的に脆弱性を探すことを意味する。
マイクロソフトはMythosの評価に自社のCTI-REALMベンチマークを使用した。これは「現実世界の検出エンジニアリングタスク」向けに設計されたテストである。評価結果は「従来のモデルと比較して実質的な改善」と説明された。具体的なスコアは公開されていないが、このような表現はマイクロソフトの公式発表では軽々しく使われるものではない。
Mythosの実力
AnthropicのProject Glasswingの文書には明確に記されている。
「AIモデルは現在、ソフトウェアの弱点を自律的に発見し、複数の低重要度の脆弱性を連鎖させて使用可能なエンドツーエンドのエクスプロイトチェーンを構築し、実行可能な概念実証コードを生成することができる。」
わかりやすく言えば、以前のAIが「ここに潜在的なインジェクションリスクがあります」と伝えていたのに対し、Mythosは「ここにインジェクションリスクがあり、あそこに権限昇格の脆弱性があり、さらにこの認証の欠陥があります。エクスプロイトスクリプトも書いておきました」と伝えることができる。
これはスキャンツールではない。自ら複雑な攻撃の組み合わせを実行できるレッドチームのメンバーである。
Mythosはすでにオペレーティングシステムとブラウザにおいて、数千もの重大な脆弱性を発見している。この数字はマイクロソフトの発表によるものであり、推測ではない。
Project Glasswing：マイクロソフト、アマゾン、アップル
AnthropicはMythosのために、Project Glasswingと呼ばれる管理されたデプロイメントメカニズムを設計した。これは特定の大企業のみが厳格なアクセス制限の下で利用できるものである。
現在参加が確認されている3社は、マイクロソフト、アマゾン、アップルである。
これら3社に共通する点は、継続的なセキュリティメンテナンスを必要とする大量の自社開発コードを抱えていること、このようなツールを使用できる内部セキュリティチームを有していること、そしてMythosが発見する脆弱性の量に対処するための十分なリソースを持っていることである。
最後の点が極めて重要である。このツールを誰にでも開放することはできない。脆弱性を発見した後は修正しなければならないからだ。修正が追いつかなければ、脆弱性リスト自体がリスクとなる。漏洩した場合、発見されなかった場合よりもさらに悪い結果を招く。これが管理されたデプロイメントの論理である。
マイクロソフトは単一モデルに賭けていない
マイクロソフトの発表の中で注目すべき一文がある。「いかなる単一のモデルも、当社の戦略を定義するものではない」
これは、マイクロソフトが複数のAI企業のセキュリティ能力を同時にテストしていることを意味する。Mythosは現時点で最も優れたパフォーマンスを示しているが、マイクロソフトはいつでも切り替える権利を留保している。
マイクロソフトはこのポジションをマルチモデル競争構造として設計している。現在の勝者はMythosだが、その座は固定されていない。
これはAnthropicにとって微妙な立場である。世界最大のエンタープライズソフトウェア企業の中核的開発プロセスに組み込まれながらも、いつでも代替される可能性がある。この「有用だが堀はない」という立場は、エンタープライズAI市場では典型的なものである。
マイクロソフトは2026年6月に、マルチモデルに基づくAIセキュリティスキャンのプレビュー版をリリースする予定である。その際には、より多くの公開テストデータが利用可能になる見込みである。
攻撃的なAIセキュリティテストが大きな変数となる理由
サイバーセキュリティにおけるAIには2つの方向性がある。
防御側——攻撃の検出、悪意のあるトラフィックのフィルタリング、SOCの自動化を支援する。この分野ではすでに多くの企業が活動しており、市場は確立されている。
攻撃側（オフェンシブセキュリティ）——能動的にハッカーの役割を果たし、自社のコードの脆弱性を発見する。この道では、人間のレッドチームメンバーの供給には限界があり、コストが高く、カバレッジも限られる。製品リリースサイクルの中で何ラウンドのレッドチームテストを実行できるかは、基本的に人員数に依存する。
Mythosは2番目の道を進んでおり、現在のデータによれば、その能力は本番プロセスに組み込めるレベルに達している。
マイクロソフトが発表を行った当日、MSFT株は1.86%上昇した。市場の判断は直接的であった。
さらに興味深い疑問は、6月にマルチモデルスキャンソリューションが登場した後、それがすべての大規模ソフトウェア企業にとって標準となるかどうかである。もしそうなれば、これは規模の大きな新市場となり、攻撃側のプレイヤーは今日の時点ではまだほとんど存在しない。
出典：CocoLoop、Microsoft to integrate Anthropic's Mythos into its security development program（Reuters/iTnews）；AI-powered defense for an AI-accelerated threat landscape（Microsoft Security Blog）；Microsoft (MSFT) Stock Integrates Anthropic Claude Mythos Into Security Framework（CoinCentral）