Anthropicが開発したサイバーセキュリティ特化型AI「Claude Mythos Preview」が、公開済みの脆弱性である「N-day」から、実際に動作する攻撃コードを数時間で作成できる可能性を示しました。従来、N-day脆弱性はパッチ公開後に攻撃者が解析し、数日から数週間かけて悪用コードを開発するものと考えられていました。しかしAnthropicの検証では、Claude Mythos Previewが約12分で最初のPoCを作成し、40分で13個、最終的には複数の実用的なエクスプロイトを数時間以内に生成できたとされています。これにより、脆弱性対策の常識は「N-day」から「N-hour」へ変わりつつあります。

⚠️ N-dayとは何か？ゼロデイより現実的に危険な脅威

ゼロデイは、開発元がまだ把握しておらず修正パッチも存在しない未知の脆弱性を指します。一方でN-dayは、すでに脆弱性情報やパッチが公開されているものの、利用者側の更新が間に合っていない状態を狙う攻撃です。現実のサイバー攻撃では、完全な未知のゼロデイよりも、修正済みなのに放置されたN-dayが悪用されるケースが多く、CISAも実際に悪用が確認された脆弱性を「Known Exploited Vulnerabilities Catalog」として公開しています。

企業や自治体で問題になりやすいのは、パッチが出ていてもすぐ適用できないことです。業務システムの互換性確認、停止時間の調整、委託先との連携、古いOSや機器の存在などが重なり、実際の適用まで数日から数週間かかることがあります。これまではその時間差が防御側の猶予でしたが、AIが攻撃コード作成を数時間単位に短縮するなら、猶予は一気に失われます。

🤖 Claude Mythos Previewの何が異常なのか

Claude Mythos Previewは、Anthropicの「Project Glasswing」を通じて一部の信頼済み組織に提供されてきたAIモデルです。Anthropicによると、同モデルは重要ソフトウェアの脆弱性発見に使われ、MozillaはFirefox 150の検証中に271件の脆弱性を発見・修正したとされています。また、英国AI Security Instituteのテストでは、複数段階のサイバー攻撃を模した環境をエンドツーエンドで解決した初のモデルだと報告されています。

今回のN-day検証では、Claude Mythos Previewが他のClaudeモデルよりも一貫して高い成功率を示しました。特にWindowsの脆弱性からブルースクリーンを発生させるPoC作成や、マシンをクラッシュさせるエクスプロイト開発で優位性が目立ち、従来のAIモデルでは解けなかった領域に踏み込んでいます。Anthropicはこの結果について、パッチ公開後の攻撃開発が「日単位」ではなく「時間単位」になりうると警告しています。

📌 防御側が直面する新しい課題

AIによって攻撃開発が高速化すると、セキュリティ運用の優先順位も変わります。これまでのように「月例パッチでまとめて対応」「重要度を見て順番に処理」という運用では、公開直後の脆弱性が数時間で攻撃可能になる時代に追いつけない可能性があります。

特に注意すべきポイントは以下です。

公開済み脆弱性の悪用コード作成が高速化する
パッチ未適用期間のリスクが大幅に上がる
OSSメンテナーや小規模開発者の負担が増える
攻撃者だけでなく防御側もAI活用が必須になる
CVSSだけでなく「実際に悪用されているか」を重視する必要がある

CISAのKEVカタログのように、実際に悪用が確認された脆弱性を優先する仕組みは今後さらに重要になります。単に「危険度が高い脆弱性」ではなく、「攻撃者が今すぐ使える脆弱性」を先に潰す発想が求められます。

🔐 企業が取るべき対策は「速く直す仕組み」の構築

Claude Mythos PreviewのようなAIが登場したことで、企業のセキュリティ対策は「脆弱性を知る」段階から「すぐ直す」段階へ移っています。特にインターネット公開サーバー、VPN、ファイアウォール、メールゲートウェイ、認証基盤、リモート管理ツールなどは、N-day攻撃の標的になりやすい領域です。

現実的な対策としては、重要資産の棚卸し、パッチ適用の自動化、緊急パッチ手順の整備、外部公開資産の継続監視、WAFやEDRによる暫定防御、バックアップと復旧訓練が必要になります。また、防御側もAIを使って脆弱性調査やログ分析を高速化しなければ、人間だけでAI攻撃の速度に対抗するのは難しくなっていくでしょう。

🏁 まとめ：AI時代の脆弱性対応は「数日以内」では遅い可能性

Claude Mythos Previewの検証結果は、AIがサイバー防御だけでなく攻撃側の能力も大きく引き上げることを示しています。これまでN-day脆弱性は、パッチ公開から実際の攻撃まである程度の時間差があると考えられていました。しかしAIが解析、PoC作成、エクスプロイト開発を自動化することで、その猶予は数時間まで縮む可能性があります。

今後のセキュリティ運用では、脆弱性情報を見てから対応を考えるのではなく、重要システムを即時更新できる体制そのものが競争力になります。AIによって「攻撃が速くなる」なら、防御側も同じ速度で動ける仕組みを整える必要があります。