「攻撃には使えないが脆弱性は見つける」AnthropicのClaude Securityは何を変えるのか

Anthropicが、サイバーセキュリティに特化したモデル「Claude Mythos 5」を、企業向けの脆弱性スキャン機能「Claude Security」として一般提供し始めた。これまでMythos系のモデルは「Project Glasswing」を通じて審査を通った防御側の組織にしか開放されていなかったが、2026年8月21日からはClaude Enterpriseの契約者であれば、ブラウザ上の claude.ai/security からスキャンを走らせられるようになった。別料金のモデルアドオンも不要で、パブリックベータという位置づけだ。

具体的に何を返してくれるのか

スキャンの流れはシンプルだ。GitHubのリポジトリに接続し、ファイルをまたいでデータの流れ（データフロー）を追跡する。そして返ってくるのは、CWE（共通脆弱性タイプ一覧）で分類された指摘、確信度と重大度のレーティング、さらに修正パッチの提案までを含む。単に「ここが危ない」と赤くマークするだけでなく、「なぜ危ないか」と「どう直すか」をセットで出してくる点が、従来の静的解析ツールとの手触りの違いになる。CodeQLやSnykといった既存のデータフロー型スキャナも、CWE分類や重大度の提示まではやってくれる。ただ、そこから先の「コードの文脈を読んで、この箇所をこう書き換える」という判断は人間に丸投げされてきた。Mythos 5が踏み込むのはまさにその一歩先で、脆弱性の意味を言語化し、修正コードの形にまで落とし込む。ここが既存ツールとの本質的な差だと感じる。

Mythos 5はもともと攻撃・防御の両面で高い能力を持つとされる、いわゆるデュアルユース（軍民両用）なモデルだ。だからこそAnthropicは長らく一般には出してこなかった。それを「守る側」の用途に絞って開放したことが、今回の報道が海外のセキュリティ系メディアで一斉に取り上げられた理由である。

「モデルは渡さず、成果だけ渡す」という設計思想

今回いちばん議論を呼んでいるのは、機能そのものよりも設計思想のほうだ。Anthropicの立場は明快で、危険はユーザーがモデルに直接アクセスし、攻撃的な方向へ自由に操縦できる状況に集中する、というものだ。逆に、ユーザーが受け取れるものを「パッチ」や「セキュリティアラート」といった定義済みの出力だけに限定してしまえば、悪用リスクは大きく下がる、と主張する。

つまり、モデルに「攻撃はダメ」と説教して断らせる（リフューザル）方式に頼るのではなく、そもそも生の推論結果に触らせず、用途を固定した専用インターフェース越しにしか使わせない、というアーキテクチャで縛る発想だ。審査済み組織にOpusやSonnetの安全装置を緩めて渡す「Cyber Verification Program」も、数週間のうちにより広い両用能力へ拡大し、いずれMythosクラスも対象にすると予告されている。

この割り切りは、正直かなり評価できる。能力の高いモデルほど「使わせない」以外の安全策が難しいなかで、出力の形を絞ることで実用性と安全性を両立させようという、現実的な落としどころだからだ。一方で懸念もある。防御の知識は攻撃の裏返しであり、パッチを提案できるということは脆弱性の在り処を正確に言い当てられるということでもある。専用UIの内側で動くとはいえ、その出力をどう組み合わせるかまでは制御しきれない。加えて、パッチ提案の正しさを最終的に誰が担保するのか、という古くて新しい問いは残ったままだ。修正案をうのみにして適用すれば、別の穴を開けることもある。

それで、何が起こりうるのか

注目したいのは、この一手が周辺に何を波及させるかだ。高インパクトなものを3つ挙げたい。

第一に、オープンソース防御の底上げだ。Anthropicは同時に「Defender Advantage Fund（0xDAF）」として3,500万ドル分のClaudeクレジットを、OSSメンテナのセキュリティ支援に拠出すると発表した。対象は、広く使われるOSSの現に生きている脆弱性を塞ぐ取り組み、スキャンとパッチ適用を他プロジェクトにも横展開できる形で自動化する取り組み、そして特定の攻撃クラスそのものに強い構造を作る取り組み、の3方向だ。慢性的に人手が足りないOSSの現場に、スキャン能力が資金の形で流れ込むのは大きい。

第二に、企業のセキュリティ運用の質が変わりうる。これまで脆弱性の一次トリアージは、限られたセキュリティ人材のボトルネックだった。CWE分類と重大度、パッチ案までが自動で出るなら、開発者がプルリクエストの段階で自分で潰せる範囲が広がる。セキュリティチームは「機械が拾ったものの選別」から「本当に難しい設計レベルの判断」へと重心を移せる。

第三に、攻撃と防御の非対称性という綱引きだ。防御側だけに強力なAIを配ることで、理屈のうえでは守る側が有利になる。ただし世界は攻撃者にだけAIを禁じられるわけではない。同種の能力は他社モデルや流出した重みからも得られうるため、「防御側専用」という設計が実際にどこまで優位を作れるかは、まだ未知数だと見ている。

いずれにせよ、フロンティア級のサイバー能力を「封印する／全開放する」の二択ではなく、用途を彫刻するように絞って出すという第三の道を、Anthropicが本気で試し始めたことは記録に値する。詳細はAnthropicの公式ブログで確認できる。この設計が業界の標準的な渡し方になるのか、それとも「結局は攻撃にも効く知識」という批判に押し戻されるのか。次の数週間のCyber Verification Programの拡大が、その最初の試金石になりそうだ。