Palo Alto Networksは、4月7日から1カ月間、AnthropicのClaude Mythos、Claude Opus 4.7、OpenAIのGPT-5.5-Cyberを自社コードベースに使ったと明らかにした。結果は26件のCVE、75件の具体的な脆弱性で、対象製品は130以上。通常月の約7倍のCVE数だという。
重要なのは、これが攻撃側ではなく防御側の利用だった点だ。Palo AltoはAnthropicのProject GlasswingとOpenAIのTrusted Access for Cyberを通じてモデルを使い、単にチャットでコードレビューを頼むのではなく、社内のscanning harnessに組み込んだ。
PoCまで書ける段階に来た
CPOのLee Klarichは、これらのモデルは過去のシステムより実際に動くexploitを書く能力が高いと述べた。社内テストではexploitの成功率が70%を超えた。一方で、モデルだけで魔法のように動くわけではなく、結果をセキュリティ工程へつなぐharnessの構築に大きな工数が必要だった。
26件のCVEは公開前にすべて修正され、advisoryでは実際の悪用は確認されていないとされた。より重い警告は時間軸だ。Palo Altoは、攻撃者が同等のfrontier AI能力を得るまで3〜5カ月しかない可能性があると見ており、防御側はコードスキャン、攻撃面縮小、自動検知・対応を急ぐ必要がある。
参考資料：CocoLoop、CNBC、Axios、Palo Alto Networks Blog。モデル名、CVE数、75件の脆弱性、exploit成功率、修正状況、3〜5カ月の警告を確認。