Claudeがセキュリティ脆弱性1万件超を自律発見

AnthropicがAIエージェント「Claude Mythos」を使い、実際のソフトウェア環境で1万件以上のセキュリティ脆弱性を自律的に発見したと公式レポートで報告した。要は「AIがセキュリティ検査を人間の何倍もの速度でこなせる段階に入った」ということ。ただし発表で同時に指摘されているのが「発見数に対して修正が追いつかない」という現実で、AIが問題を洗い出すスピードが人間の処理能力を超えてしまっている構図が浮かび上がっている。Claude Codeなど開発系ツールとの接点でAnthropicの動向を追っている人にとっては、同社がエージェント活用を「実環境の問題解決」に本格投入し始めたことを示す事例として押さえておきたいニュースだ。

これまでAIによるセキュリティ診断は「補助ツール」の位置付けが大半だった。人間のセキュリティエンジニアが主導し、AIはコードレビューの補助や既知パターンの照合に使われる程度。今回の「Claude Mythos」の事例が示すのは、AIエージェントが「実環境で自律的に動き、未知の脆弱性を1万件規模で洗い出す」段階へ移行したということだ。

ここで注目したいのは、発見数そのものより「修正フローが破綻しかけている」という副次的な課題だ。AIが出力する問題リストが人間の処理能力を超えると、発見→修正→検証というサイクルが回らなくなる。これはセキュリティに限らず、AIをコンテンツ生成・分析・営業資料作成などに使い倒している人が早晩直面する構造問題でもある。「AIが出力したものを人間が全部さばける前提」の設計が限界を迎えるタイミングが近づいている。

競合との比較で言えば、GoogleやMicrosoftもAIによるセキュリティ自動化に取り組んでいるが、Anthropicが今回選んだのは「公開レポートで課題ごと開示する」という透明性重視のアプローチ。この姿勢はClaude全体の開発思想と一致しており、使う側にとっては「何ができて何ができていないか」を判断する材料が手に入りやすいという実用上のメリットがある。AIを「使い倒す」人たちが急増中、その実態でも触れたように、使う側に回るための第一歩は「何がどこまでできるかの解像度を上げること」であり、今回のレポートはその材料として読む価値がある。

Q. 「Claude Mythos」は一般公開されているツールなの？

現時点では一般向けに公開されているプロダクトではない。AnthropicがセキュリティリサーチとしてのAIエージェント活用を検証・報告したもので、「Claude Mythos」という名称のツールを誰でもダウンロードして使えるわけではない。一般ユーザーが近い用途で活用できるのはClaude CodeやClaude APIを通じた自作エージェントの構築になる。

Q. 1万件以上の脆弱性を「発見」したとはいえ、精度はどうなの？

公式レポートの範囲で判断できる材料として、Anthropicは「実環境での発見」と明示している。ただし「発見数に対して修正が追いつかない」という記述は、全件が即座に修正すべき問題とは限らない可能性も示唆している。精度や誤検知率の詳細は公式レポートの原文を確認するのが確実で、数字だけで判断せず「どんな種類の脆弱性を対象にしているか」まで読み込む必要がある。

Q. Claude Codeの料金は？無料で試せる？

Claude CodeはAnthropicのAPIを使うため、基本的にはAPIの利用料が発生する。Claude.aiのProプラン（月額20ドル程度）でも利用できる枠があるが、ヘビーな使い方をすると上限に達する。従量課金でAPIキーを取得して使う場合は、使った分だけの課金になる。まず試したい人はClaude.aiのProプランで上限を感じてから、APIへの移行を検討する順番が現実的だ。