背景と概要
Anthropicは2026年4月7日、新フロンティアモデル「Claude Mythos Preview」を核とするサイバーセキュリティイニシアティブ「Project Glasswing」を発表した。Mythos Previewは過去数週間で「数千件のゼロデイ脆弱性（多くはクリティカルレベル）」を自律発見し、そのうち72.4%で実際に動作するエクスプロイトコードを生成することを確認。前モデルのClaude Opus 4.6の成功率がほぼ0%であったことと対比すると、能力の跳躍は飛躍的だ。17年間パッチ未適用だったFreeBSDのRCE脆弱性の発見・完全自律悪用や、4つの脆弱性をチェーンしたブラウザエクスプロイト（レンダラーとOSサンドボックス双方の脱出を達成）なども報告された。パートナーにはAWS、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorgan Chase、Linuxファンデーション、Microsoft、NVIDIA、Palo Alto Networksが名を連ねており、一般公開は行わず、防衛的なセキュリティ研究目的に限定されている。
本質的な課題
現代のソフトウェアエコシステムにおけるゼロデイ脆弱性の発見・対処速度の非対称性。攻撃者は一度の脆弱性発見で甚大な被害をもたらせるが、防御側は人的リソースの制約から網羅的なコードレビュー・脆弱性探索が不可能だった。AIによる自律的な脆弱性発見は、この防御側の「スケール問題」を根本から解決し得る。
日本市場における障壁
法的障壁：能動的サイバー防衛法の解釈リスク
2026年より施行された日本の能動的サイバー防衛法は、政府機関の攻撃的サイバー行動を限定的に許可するが、民間企業によるAI自動脆弱性スキャン・エクスプロイト生成は「不正アクセス禁止法」との整合性が曖昧なグレーゾーンに位置する。Mythos Previewが生成する「動作するエクスプロイト」は、法的解釈によっては不正プログラム作成罪（刑法168条の2）に抵触するリスクがある。経産省・警察庁間での省庁横断的なガイドライン整備が先行条件となる。
文化的障壁：意思決定の遅延と「AI自律行動」への組織的拒否反応
日本の大企業ではIT投資にあたって取締役会・法務・情報システム部門の多層承認が必要であり、「AIが自律的に脆弱性を発見・悪用する」というコンセプト自体が経営層のリスク感覚と相克する。特に金融・インフラ系企業では、AIが本番環境に近いシステムをスキャンすること自体に強い心理的抵抗が生じやすく、PoC段階で案件が凍結するケースが想定される。
技術的障壁：日本語・レガシーシステムへの対応不足
日本のエンタープライズIT環境は、独自カスタマイズされたオンプレミス系レガシーシステム（SAP/Oracle の大規模日本語カスタム版、官公庁向けCOBOLベース基幹系）が広く稼働する。Anthropicのパートナー企業が対象とするのは欧米標準のOSS・商用ソフトウェアであり、日本固有の「ガラパゴスレガシー」に対する脆弱性スキャン能力は未検証。ローカライズと追加ファインチューニングなしには実効性が低い。
影響を受ける産業
この変化の影響は一部の業界にとどまらない。とりわけ伝統的SIerのセキュリティ事業部門（NTTデータ、富士通、NEC）：人月ベースのペネトレーションテストサービスがAIで代替されるリスク、脆弱性管理SaaS（国内ベンダーのSCAN SaaS、GMOサイバーセキュリティ等）：AI自律スキャンとの差別化が困難になる、バグバウンティプラットフォーム（IssueHunt等）：AI自身がバウンティを獲得する世界でビジネスモデルが根底から変化、セキュリティコンサルティング会社（PwC Japan、デロイトのサイバー部門）：レポート作成・分析業務がMythos級のモデルに代替されるリスクといった領域では、既存のビジネスモデルや競争構造の見直しを迫られる可能性が高い。
今後のシナリオ
楽観シナリオ
「AIセキュリティ特区」創設で日本がグローバルな防衛拠点に
経産省がProject Glasswingに準じた「官民AI脆弱性共有プラットフォーム」を2026年内に立ち上げ、NTTデータ・ソフトバンクなどがAnthropicとのパートナーシップを締結。能動的サイバー防衛法の施行ガイドラインが「防衛目的の自律AIスキャン」を明示的に合法化することで、日本の基幹インフラ（電力・金融・交通）の脆弱性が世界最速レベルで発見・修正される。2028年には日本発の「AIサイバー防衛ユニコーン」が誕生する。
現実シナリオ
グローバル大企業・重要インフラ限定での段階的導入
トヨタ、ソニー、三菱UFJ等の「グローバルリスクを抱える超大手企業」が、社内セキュリティチームとAnthropicパートナー企業（CrowdStrike日本法人等）を通じた間接的な形でMythos活用を開始。2026年末〜2027年前半にかけて、ISO27001・SOC2認証要件との整合を取った「AI支援脆弱性診断サービス」として国内市場に着地する。中堅企業以下はコストと法的リスクを理由に2030年頃まで普及が遅れる。
悲観シナリオ
法的グレーゾーンの長期化でガラパゴス防衛環境が固定化
不正アクセス禁止法とAI自律行動の相克が省庁間協議で解消されないまま、日本企業は「人間の監督下でのみ動作する旧世代ツール」に縛られ続ける。一方、中国・北朝鮮系のAPT（高度持続的脅威）グループはMythos級の技術を攻撃側に転用し、日本の金融・製造業への侵害が2027年以降に急増する。防衛側の空白が攻撃側に利用される非対称戦争が現実化する。
編集部の見立てでは、これらの動きが日本市場へ本格的に波及するまでには、 およそ6〜9ヶ月（Project Glasswingパートナーへのアジア企業参加が実現する場合の予測。ただし法的グレーゾーン未解決の場合は1年半以上遅延する）を要すると考えられる。
日本市場での事業機会
AI自律ペネトレーションテストaaS「PenMind」——Mythos×日本のSES人材モデルの融合
Anthropic APIを中心に、国内SES企業が抱えるセキュリティ人材を「AIアウトプットの法的解釈・報告書作成・顧客折衝」に特化させる分業モデル。AIが技術的スキャンを担い、人間が日本語でのコンプライアンス対応・稟議書作成を担当することで、「AI単独」「人間単独」どちらでもないハイブリッド型のペネトレーションテストサービスを構築する。従来1,000万円〜3,000万円/案件だったペネトレストコストを200〜300万円帯に引き下げ、中堅製造業や地銀へ市場を拡張できる。初期MVPはClaude APIとBurp Suite相当のOSSツールを組み合わせた自動レポート生成から着手。
レガシーCOBOL・汎用機の脆弱性棚卸しサービス——「ガラパゴスIT負債の可視化」
Mythos/Claude系モデルを、欧米ソフトウェアではなく日本固有のレガシーシステム（COBOL、VB6、Access、SAP日本語カスタム）の脆弱性診断に転用する。日本には2030年問題として知られる「2025年の崖」の残存問題があり、未モダナイズのレガシーシステムが数万件規模で稼働している。AIによる静的解析+脆弱性マッピングをSaaS化し、「DX補助金申請における現状評価レポート」として経産省の補助金スキームと連携させることで、中小企業への展開も可能。
セキュリティ監査の「紙ベース自己申告」の完全廃止——AI継続的証跡サービス
現在の日本のISMS・PマークなどのセキュリティセッティングはExcelベースのチェックリストと年次監査が主流。Mythos級のAIによる「継続的自動脆弱性発見+証跡自動生成」を活用し、『毎四半期の人手監査』を『AIによる常時スキャン+月次レポート』に置き換えるSaaSを展開する。JIS Q 27001への対応を自動証明できる機能を持たせることで、監査法人・コンサルが独占してきた「コンプライアンス市場」に切り込む起業機会がある。
戦略的アクション
経営層が取るべき行動
【黒の視点・最大リスク】Mythos Preview は既に「攻撃側」に知識が流出するリスクと不可分だ。Project Glasswingへの参加は防御側先行者利益をもたらすが、自社のセキュリティ成熟度が低い状態でAI自律スキャンを導入した場合、発見した脆弱性の管理・修正体制が追いつかず、「発見したが放置した脆弱性」によるレピュテーションリスクが拡大する。【黄の視点・先行者利益】日本のサイバーセキュリティ市場は2026年に1兆1,430億円規模、CAGRは10.6%と高成長だ。Project GlasswingパートナーのCrowdStrike・Palo Alto Networks日本法人との戦略アライアンスを今期中に検討し、Mythos活用の内製化検討を開始せよ。法的グレーゾーンを理由に静観する企業は、攻撃側にリードを奪われる2〜3年後に後手対応を余儀なくされるリスクが高い。
エンジニアが取るべき行動
【白の視点・技術的ハードル】Mythos PreviewはAPIとして一般公開されておらず、Anthropicのパートナー企業経由でのアクセスが現実的経路。Claude 3.5/Opus 4.6のAPIを使った脆弱性スキャンの自動化から着手し、Mythos相当の機能が公開された際の移行コストを最小化する技術スタックを今から構築すること。LangChain/LlamaIndex上でOSSのSAST（Semgrep、Bandit等）と組み合わせたハイブリッドスキャナーのMVP開発は、個人・小チーム規模で6〜8週間で着手可能。【緑の視点・アービトラージ機会】日本語ドキュメントへの対応と「稟議・コンプライアンスレポート自動生成」機能をMythos系AIにラップすることで、欧米ベンダーが手をつけない「日本語対応AI脆弱性診断SaaS」の隙間が存在する。特に地銀・地域医療・自治体向けは競合が薄く、初期受注を取りやすい。
