Firefox 150では、1回のリリースで271件のセキュリティ脆弱性が修正された。
Mozillaにとって、これは単一リリースでの修正数として過去最多だ。1年前の同時期には、Firefoxの1リリースで修正される脆弱性はおよそ31件だった。31件から271件へ。これは単なる増加ではなく、桁が変わったということだ。
その差を生んだ名前が、Claude Mythosである。
Mozillaは数カ月にわたりMythosを使っていた
Anthropicが2026年4月にMythosを公表する前から、一部の大手企業にはプレビュー版が提供されていた。AWS、Apple、Google、Microsoft、Mozillaなど十数社が、Project Glasswingと呼ばれる内部プログラムに参加していた。
MozillaはMythos Previewを数カ月運用した。その結果、Firefox 150の修正には次のような数字が並んだ。
- 報告された271件の脆弱性はすべて修正された。
- そのうち180件はMozillaがsec-highに分類した。通常のブラウジング中にも悪用され得る、同社内部で最も高い深刻度の区分だ。
- 正式なCVE番号が付いたものは3件、CVE-2026-6746、CVE-2026-6757、CVE-2026-6758だった。残りの多くは内部発見、堅牢化、または悪用可能とは見なされていないコード経路の問題だった。
- 最も古い不具合は15年間残っていた。2011年以前のコードに由来するHTML解析のバグだ。
Firefox CTOのBobby Holleyは、興味深い言い方をしている。励みになるのは、トップクラスの人間の研究者が見つけられないような脆弱性は見当たらなかったことだ、という趣旨だ。
つまりMythosは「AIにしかできないこと」をしていたわけではない。人間の研究者がすでにできる仕事を、何十倍もの速度で進めていたのである。
Mozillaが認めた不都合な現実
Mozillaの主任エンジニアBrian GrinsteadはTechCrunchに対し、この変化の大きさは誇張しにくいほどで、こうしたツールが突然とても優秀になったと語った。
より重要なのは、修正工程についての発言だ。
それぞれの修正では、今もエンジニアがパッチを書き、別のエンジニアがレビューしている。この工程は自動化できていない。
ここに本質がある。Mythosは穴を見つける。しかし穴を塞ぐのは、まだ人間の仕事だ。Mozillaのエンジニアが直面しているのは、バグが減った世界ではない。直すべきバグの列が一気に長くなった世界である。
数字もそれを裏付ける。Firefoxは2026年4月に423件のバグを修正した。前年同月は31件だった。
言い換えれば、AIによって「見つける」速度は桁違いに上がったが、「直す」工程はなお人員に依存している。ボトルネックはスキャンから修復へ移った。
Anthropicが一般公開しない理由
MythosはいまもProject Glasswingの中にとどまっている。プレビュー版を使えるのは、信頼された少数のパートナーだけだ。Anthropicの理由は明快で、悪用されれば深く埋もれた0-dayを掘り起こせるからである。
Palo Alto Networksのテストでは、Mythosによる1回の侵入テストが人間の1年分の作業に相当し、それを3週間未満で終えた。
Anthropicが公開を急がない理由はここにある。脆弱性研究では、速度が攻防の先着順を決める。Mythos級のシステムが防御側の修正能力を超えて攻撃者に渡れば、悪用可能な穴は善意の側が塞ぐより速く増えていく。
Firefoxの271件という数字自体が、この水準のAI脆弱性ハンターが不可逆な技術変化であることを示している。残る問題は、それが起きるかどうかではなく、誰が先に使うのかだ。
Anthropicから見れば、十数社の信頼できるパートナーの中で成熟させるほうが、いきなり公開するより安全だ。一方でオープンソースの側から見れば、OpenBSD、Apache、LinuxカーネルといったプロジェクトはProject Glasswingのリストに入っていない。
この戦いの後半は、かなり興味深いものになる。
参考資料：CocoLoop、How Anthropic's Mythos has rewritten Firefox's approach to cybersecurity（TechCrunch）、Claude Mythos Finds 271 Firefox Vulnerabilities（SecurityWeek）、Behind the Scenes Hardening Firefox with Claude Mythos Preview（Mozilla Hacks）