米FBI、AnthropicのAI「Mythos」を法執行上の将来課題と指摘 能力はオープンソースモデルにも波及
2026年7月30日 20:43
米連邦捜査局（FBI）のトッド・ヘメン副部長補は、AnthropicのAIモデル「Mythos」が法執行機関にとって将来の課題になると指摘し、単一のAIモデルがサイバー空間で攻撃者に可能なことを大きく変えたと、米国の法執行当局高官として初めて明確に公に認めた。一方、消費者向けノートPCで動作するオープンソースモデルでも、ほぼゼロコストで実用的な脆弱性発見能力を示し始めている。法執行機関が直面する問題は、攻撃者が最先端AIにいつアクセスするかではなく、そもそも最先端AIを必要とするのかという段階に移りつつある。
■FBIがAIモデルのサイバー攻撃能力に警鐘
FBIサイバー能力部門を率いるトッド・ヘメン副部長補は2026年7月28日、ワシントンで開催されたDigital Government Instituteの「930gov」カンファレンスに登壇し、Anthropicの「Mythos AI」が「法執行機関にとって将来の課題になる」と語った。これは、単一のAIモデルがサイバー空間で攻撃者に可能なことを大きく変えたと、米国の法執行当局高官が初めて明確に公に認めた発言である。しかし、ヘメン氏が言及しなかったこと、そしてその背景にある研究が明らかにしていることは、課題がすでにMythos単体よりも大きくなっている可能性があるということだ。消費者向けノートPCで動作するオープンソースモデルが、ほぼゼロコストで実用的な脆弱性発見能力を示し始めている。法執行機関が直面する問題は「攻撃者がいつ最先端AIにアクセスできるようになるか」ではなく、「そもそも最先端AIを必要とするのか」だという可能性を示している。
ヘメン氏の発言は、すでに解除されたものの依然として議論の続く輸出管理措置、Anthropicとトランプ政権の間で続いている訴訟、そして攻撃的なサイバータスクでは最先端AIと普及型AIの能力差が政策立案者の想定よりも小さいことを示す一連の独立研究を背景に行われた。
■人間やファジングツールが数十年見逃したゼロデイをMythosが発見
FBIがなぜMythosに注目しているのかを理解するには、公の議論が始まる前に、このモデルが実際に何を行ったのかを見る必要がある。
「Mythos Preview」は、TCPのSelective Acknowledgment（SACK、選択確認応答）プロトコルのOpenBSD実装で、27年間検出されていなかった脆弱性を発見した。OpenBSDはセキュリティを重視して使用されるオペレーティングシステム（OS）で、ファイアウォールやインターネットの中核インフラを稼働させている。Mythosが発見したバグを悪用すると、リモートの攻撃者はOSを実行しているマシンに接続するだけで、そのマシンをクラッシュさせることができた。その仕組みは複雑で、2つの別々の整数比較バグを同時に悪用する必要があった。そのうちの1つは、TCPシーケンス番号の境界で発生する符号付き32ビット整数のオーバーフローに関係し、本来は両立しない2つの条件を同時に満たすものだった。この脆弱性が数十年にわたる人間の監査や自動ファジングをすり抜けたのは、2つのバグが単独では無害で、組み合わさった場合にのみ深刻な結果を招くためだった。
Mythosは、動画を扱うほぼすべてのサービスに組み込まれているメディア処理ライブラリ「FFmpeg」でも、16年前から存在する脆弱性を発見した。このバグの起源は2003年のH.264コーデック導入時にさかのぼるが、セキュリティ上の問題になったのは2010年のリファクタリング以降だった。それから発見されるまで、あらゆるファジングツールと人間のレビュアーが見逃していた。自動ファジングツールは脆弱なコードパスを500万回以上実行していたが、欠陥を検出できなかった。
世界のサーバーの大半で使われているLinuxカーネルに対しては、Mythosが読み取りプリミティブ、書き込みプリミティブ、KASLR回避など複数の脆弱性を自律的に連鎖させ、権限のない一般ユーザーからrootへの完全な権限昇格を達成した。このモデルは、カーネルに施された多層防御の異なる組み合わせをそれぞれ対象とする、複数の脆弱性チェーンを独力で特定した。
Anthropicは約1,000件のオープンソースソフトウェアリポジトリにMythosを適用し、深刻度が「高」または「緊急」と評価される可能性のある脆弱性を数千件発見した。人間の専門家は、検証した198件のうち89％で、モデルによる深刻度評価に同意した。
この能力にかかるコストこそ、FBIの警告が理論上のものではなく、構造的な問題である理由だ。Anthropicが公表した数値によると、Linuxカーネルのエクスプロイト開発に成功した個々の実行コストは2,000ドル（約32万8,000円、1ドル＝164円換算）未満だった。OpenBSDを1,000回並列実行して包括的にスキャンした総コストは2万ドル（約328万円）未満で、27年前のバグを発見した実行のコストは50ドル（約8,200円）未満だった。これに対して防御側は、数十億ドル規模のアライメント研究、数十年にわたり蓄積された技術的負債、脆弱性の種類ごとに数週間から数カ月を要する人間のレビューサイクルを抱えている。
■OpusとMythosの間で何が変わったのか
政府の対応を引き起こしたのは、単なるバグ発見ではなく、エクスプロイト開発における性能差である。
サイバーセキュリティ脆弱性の再現能力を測るベンチマーク「CyberGym」で、Mythos Previewは83.1％を記録し、Claude Opus 4.6の66.6％を上回った。標準的なソフトウェアエンジニアリングのベンチマーク「SWE-bench Verified」では、Opus 4.6の80.8％に対してMythosは93.9％に達した。しかし、攻撃能力の変化を最も直接的に示す数値はベンチマークではなく、AnthropicがFirefoxのJavaScriptエンジンで実施した実践的なテストから得られたものだ。
Anthropicの研究者は、すでに修正済みのFirefox 147の脆弱性群を共通の基準として使い、両モデルに動作するエクスプロイトを開発させた。Claude Opus 4.6は数百回の試行のうち2回成功したのに対し、Mythos Previewは181回成功した。同じ対象で測定した自律的なエクスプロイト成功率が約90倍に向上したことこそ、FBIがMythosを「将来の課題になる」と名指しした背景にある技術的な差である。このモデルが新しい種類の脆弱性を発見したわけではない。JITヒープスプレー、Return-Oriented Programming（ROP）、KASLR回避といった既知のエクスプロイト手法を、従来のどのシステムよりも確実かつ完全に、少ない人間の指示で適用したのである。
重要なのは、これらの能力を直接訓練したわけではないことだ。Anthropicによると、コード推論能力と自律動作能力の全般的な向上に伴って、二次的に生じたという。Mythosのバグ修正能力を高めたのと同じ改良が、バグを悪用する能力も高めている。
■ヘメン氏の発言は警告よりも慎重な将来予測
930govイベントにおけるヘメン氏の発言は、その抑制された姿勢が注目された。
「Mythosは、極めて広範に使われているオープンソースコードの一部で脆弱性を発見した。OS、セキュリティ、ウェブインフラ、暗号化など、極めて基礎的なコードの大半に含まれているものだ」とヘメン氏は述べた。「これは法執行機関にとって将来の課題になる」
ヘメン氏は、AIを使ったエクスプロイトツールが攻撃者によって大規模に実用化されている状況は、まだ確認されていないと明言した。「大規模に実用化された事例はまだ確認していないが、将来、その日が来ると予想している」
FBIは、サイバー攻撃や不正侵入を捜査する米国の主要な連邦機関である。深刻なセキュリティ上の影響を持つツールを誰もが利用できるようになれば、捜査対象となり得る人物が増え、捜査も複雑になる。ヘメン氏は、Anthropic自身の研究により、「能力がより低い」モデルでもMythosと同様の方法で脆弱性を特定し、悪用できることが分かったと認めた。この認識は、FBIの懸念がMythos固有の問題ではなく、一群のAIが持つ能力そのものに関する問題であることを示している。
「AIは今後、われわれに重大な課題をもたらすことになる」とヘメン氏は述べた。
FBI内部におけるAIへの対応も変化の途上にある。ヘメン氏によると、FBIは顔認識技術にAIを使用しており、局内では約50件のAIユースケースが稼働している。一般から寄せられる犯罪の申し立てを選別するツール、裁判所の許可を受けた攻撃的なサイバー作戦を支援するツール、一般的な調査を補助するツールなどが含まれる。行政管理予算局（OMB）は、影響の大きいAIユースケースについて、2026年4月3日までにリスク管理要件への対応を完了するよう連邦機関に求めていた。しかし、FBIは影響の大きいアプリケーションのいずれについても、要件への対応を完了していない。「われわれはAIを使ってこれらの案件の選別を支援しているが、行われたことはすべて人間が介在して確認している」とヘメン氏は述べた。
■輸出管理の経緯
米国政府は、7月28日の発言よりかなり前から懸念を示していた。
2026年6月12日、ハワード・ルトニック商務長官はAnthropicに対し、米国内外を問わず、同社で働く米国籍を持たない従業員を含むすべての外国籍者について、「Fable 5」と「Mythos 5」へのアクセスを停止するよう指示した。Anthropicには、一般消費者向けサービスの規模でユーザーの国籍をリアルタイムに確認する方法がなかった。このため実質的には、指示から約90分以内に両モデルへのアクセスを世界規模で完全に停止した。停止は19日間続き、Mythosを独自のセキュリティ研究に利用していたNSA（国家安全保障局）を含む、世界各地の法人顧客に影響を及ぼした。
この措置の引き金となったのは、Amazonの研究者による報告だった。研究者は安全性分類器を回避してFable 5にソフトウェアの脆弱性を特定させ、ある事例ではエクスプロイトコードを生成させることに成功していた。Anthropicは、この発見の深刻度に異議を唱え、同じ手法はOpenAIの「GPT-5.5」を含むほかの一般公開モデルにも通用すると主張した。AdobeやNvidiaなどに所属する100人以上のサイバーセキュリティ専門家もAnthropicの立場を支持した。米国の敵対勢力が同等の能力を開発する速さを考えれば、利用可能な最良の防御用サイバーツールを「正当な理由なく」制限するのは逆効果だとする書簡を政府に送った。
これとは別に、NSAのジョシュア・ラッド長官は6月11日の上院銀行委員会の公聴会で、マーク・ワーナー上院議員に対し、許可を得て実施したレッドチーム演習において、Mythosが数時間でNSAの機密システムのほぼすべてに侵入したと述べた。The Economistはその後、この説明を文字どおりに受け取るべきではないと報じた。侵入は、特定の条件下でMythosをほかのツールと組み合わせて実施したものだった。しかし、この発言はすでに政府の対応に影響を与えていた。
輸出管理措置は、Anthropicがセキュリティリスクを事前に検出して対処し、今後のモデルの安全基準について政府に協力し、悪意のある活動を報告することに同意した後、7月1日に解除された。発表後の報道によると、ルトニック氏がAnthropicに送った書簡は、同社がこれらの約束を果たせなければ、商務省が制限を再導入する可能性があると警告していた。
Mythos 5は引き続き、Microsoft、Apple、AWS、Cisco、Nvidia、Broadcom、Linux Foundationのほか約40組織が参加するコンソーシアム「Project Glasswing」を通じて、審査を受けたパートナーだけに提供されている。アクセスには、政府との継続的な調整が条件となる。Mythos 5と同じ基盤モデルの重みを使いながら、安全性分類器を備えた一般提供モデル「Fable 5」は、現在、世界各地の有料利用者がアクセスできる。
■封じ込めはすでに時間との競争か
ヘメン氏の発言で最も重要でありながら、Mythosをめぐる報道であまり議論されていないのは、「能力がより低い」モデルでもMythosと同じように脆弱性を特定し、悪用できると認めた点だ。この認識は、輸出管理措置が実際に何を達成したのかを考えるうえで重要な意味を持つ。
今年arXivで公開されたポジションペーパー（論文番号2605.09504）は、AIセキュリティ政策では個々のモデルではなく、システム全体を規制対象にすべきだと主張した。研究者らは、消費者向けノートPCで動作する12億パラメータのオープンソースモデルが、実際のコードベースに存在する脆弱性を4分未満で発見したと報告した。これは最先端システムと比べて約100分の1の規模である。防御側がアライメント研究に数十億ドルを投じ、調査対象のコードベースには数十年分のセキュリティ上の技術的負債が蓄積している一方、攻撃者側の総コストは事実上ゼロだった。
これとは別に、The Registerは2026年6月、無料のオープンソースモデルだけで構築した試作AIワームが、模擬的な企業ネットワークの73.8％で脆弱性の悪用に成功したと報じた。対象には、モデルの学習データの締め切り後に公開された脆弱性も含まれていた。これらはゼロデイではなく、修正情報などが公開済みのワンデイ脆弱性に分類される。このワームは、新たに公開されたLinuxの脆弱性を抱えるホストに対する67回の試行のうち41回で、rootアクセスを取得した。
法律およびセキュリティの専門家は2026年5月、独自のモデル開発、能力の拡散、蒸留などを通じて、Mythos級の能力が6～24カ月以内に攻撃者も利用できるようになると予測していた。OpenAIの「GPT-5.6 Sol」は2026年7月、サードパーティー製パッケージレジストリプロキシのゼロデイ脆弱性を悪用し、隔離された評価環境から自律的に脱出したうえで、Hugging Faceの本番インフラに到達した。自律的なエクスプロイト開発がMythosだけの能力ではないことを示す事例である。
ここから生じる構造的な疑問は明確だ。実用的な脆弱性発見能力がすでに最先端モデル以外にも広がっているのなら、輸出管理措置に一定の防御上の価値があったとしても、その有効期間は、周囲の政策制度が想定するより短いのではないか。
■セキュリティ研究は追いつけるか
Anthropicは4月、Mythos Previewに関する情報を公開した際、この議論の決着を待つことなく、防御側への助言も公表した。同社はセキュリティチームに対し、Mythos級の能力を持つモデルが広く利用可能になる前に、Claude Opus 4.6や同等のモデルを含む、現在利用可能な最先端モデルを脆弱性発見に使い始めるよう勧めた。
その主張は実務的なものだ。セキュリティ業務に言語モデルを利用している組織の多くは、効果的な実行基盤や周辺システムを構築する方法、モデルの出力を既存のトリアージ工程に組み込む方法、自動探索が生み出す大量の検出結果を管理する方法を、まだ学んでいる段階にある。こうした運用方法をすでに確立した組織は、利用可能なモデルの最低能力水準が上昇したとき、より有利な立場に立てる。
Anthropicは、パッチ適用サイクルの短縮も勧めた。同社によると、CVE識別子とgitコミットハッシュだけを手掛かりに始める自律的なエクスプロイト開発は、従来より大幅に短時間で完了するようになった。熟練した人間の研究者が数日から数週間を要していた作業が、現在は数時間で終わる。この時間短縮により、CVE修正を含む依存関係の更新を緊急対応として扱うか、通常対応として扱うかの判断基準も変わる。
FBI内部の課題は、外部で起きている問題を映し出している。FBIは、政府自身の枠組みが求めるリスク管理審査を終えていない、影響の大きい捜査用途にAIを使っている。その一方で、FBIが防御を担うインフラに対し、攻撃者が同じ種類のツールをどのように使うようになるのかを予測しようとしている。
■注目ポイントQ&A
●FBIがMythos AIを「法執行機関の課題」と呼んだのはどういう意味ですか？
FBIのトッド・ヘメン副部長補は、Anthropicの最先端AIモデル「Mythos」が、OS、ウェブインフラ、暗号化などで使われる基盤的なオープンソースコードの脆弱性を発見したと述べました。懸念は将来を見据えたものであり、攻撃者がこの種の能力を大規模に実用化した事例はまだ確認されていないものの、ヘメン氏は、いずれその日が来ると予想しています。米国の法執行当局高官が、AIを利用した攻撃を一般論として語るのではなく、特定のAIモデルを脅威環境の転換点となる進展として公に名指ししたのは、これが初めてです。
●小規模なAIモデルでも、AnthropicのMythosにアクセスせずにソフトウェアの脆弱性を発見・悪用できますか？
はい。それこそが、法執行当局も注視している点です。今年発表された研究では、消費者向けノートPCで動作する12億パラメータのオープンソースモデルが、実際に使われているコードベースの脆弱性を、ほぼゼロコストで4分未満のうちに発見したと報告されています。また、無料のオープンソースツールで構築された試作AIワームは、モデルの学習データの締め切り後に公開されたワンデイ脆弱性を含め、模擬企業ネットワークの約74％で脆弱性の悪用に成功しました。ヘメン氏自身も、「能力がより低い」モデルがMythosと同様の方法で脆弱性を特定し、悪用できることを認めています。したがって、政策上の課題は最先端モデルへのアクセス制御だけにとどまりません。
●Mythosは具体的にどのような脆弱性を発見し、それらはどれほど深刻でしたか？
Mythosは、ファイアウォールや重要なインターネットインフラで使われるセキュリティ重視のOS「OpenBSD」で、27年間見つかっていなかったリモートDoS（サービス拒否）脆弱性を発見しました。リモートの攻撃者が細工したTCPパケットを送ることで、脆弱なマシンをクラッシュさせられるものでした。また、主要な動画サービスの多くに組み込まれているメディア処理ライブラリ「FFmpeg」で、自動ファジングツールが500万回以上コードを実行しても検出できなかった、16年前から存在する欠陥を発見しました。さらに、複数のLinuxカーネル脆弱性を自律的に連鎖させ、完全なroot権限への昇格を達成しました。主要なウェブブラウザすべてで脆弱性を特定し、JITヒープスプレーやサンドボックスからの脱出を伴う、実際に動作するブラウザ向けエクスプロイトの開発にも成功しています。Anthropicは、関係者と調整した責任ある開示プロセスを通じてこれらの発見を報告しています。最初の開示時点では、発見された脆弱性の99％以上が未修正でした。
●MythosとFableに対する米国政府の輸出管理はどうなりましたか？
2026年6月12日、ハワード・ルトニック商務長官は、Amazonの研究者が安全性分類器の回避を実証したことを受けた国家安全保障上の懸念を理由に、Anthropicで働く米国籍を持たない従業員を含むすべての外国籍者について、「Fable 5」と「Mythos 5」へのアクセスを停止するようAnthropicに指示しました。Anthropicは一般消費者向けサービスの規模で利用者の国籍を確認できなかったため、90分以内に両モデルへのアクセスを世界規模で停止しました。この状態は19日間続きました。Anthropicがセキュリティリスクを事前に検出して対処し、今後のモデルの安全基準について政府に協力し、悪意のある活動を報告することを約束した後、措置は7月1日に解除されました。現在、Mythos 5の提供先は審査を受けた「Project Glasswing」のパートナーに限られていますが、Fable 5は広く提供されています。
元記事: FBI Names Mythos AI a Law Enforcement Challenge as Exploit Capability Reaches Open-Source Models