（ブルームバーグ）：人工知能（AI）開発を手がける米新興企業アンソロピックの新たなAIモデル「Mythos（ミトス）」は、公開するには危険過ぎると同社が示唆してきたもので、当初は銀行にとって問題となるように見えた。

この技術が発表されてから数日後、ベッセント米財務長官はウォール街の幹部を招集し、システム防衛に向けた対策を講じているか確認した。結果として、アンソロピックにとっては格好の宣伝となり、ミトスを誰が優先的に利用できるかという疑問も浮かび上がった。

米財務省は現在、ミトスへのアクセスを求めている。すでに同モデルを使用できるようになっている組織の一つが英国のAIセキュリティー・インスティテュート（AISI）で、安全で信頼できるAIの基準を巡り、中立的な立場で検証を行う主要機関の一つとなっている。

AISIの評価によると、ミトスに対する懸念は過度な側面もある一方で、一定の根拠も認められる。他のAIツール、例えばOpenAIの「ChatGPT」やグーグルの「Gemini」と比べ、より高度なサイバー攻撃に利用される余地があるのは確かなようだ。最も危険にさらされるのは、防御が弱い、あるいは簡素化されたシステムだ。

大手銀行は世界で有数の安全なIT環境を備えている。ミトスのような強力なAIが悪意ある者の手に渡れば脅威となるものの、ハッカーらによるツールの悪用に対して最も脆弱（ぜいじゃく）に見えるのは、より広範な中小企業だ。

責任ある開示

サイバー専門家はこれまでも、多くの企業がセキュリティー対策を後回しにしていると指摘してきた。その結果、オンラインサービスなどにはバグが残り、ハッカーがコンピューターシステムに侵入する余地を与えている。

一方、テック企業は脆弱性に対応するため、「責任ある開示」という手法を採用している。ソフトの欠陥が見つかると修正方法と共に公表し、顧客がパッチ（修正プログラム）を適用する時間を確保する仕組みだ。マイクロソフトの「パッチチューズデー」はその代表例で、名前とは裏腹に、「Office 365」や「ウィンドウズ」などで見つかった脆弱性を毎月まとめて公表している。

英金融大手バークレイズや米銀ウェルズ・ファーゴなどでは、IT担当者がこうした修正を検証し、既存システムへの影響を確認した上で経営陣の承認を得て適用するが、このプロセスは数週間から数カ月を要する。

生成AIが登場するまでは、こうした仕組みも機能していた。欠陥が公表されても、攻撃者がそれを悪用する手法を見つけるにはさらに長い時間がかかっていたためだ。弱点を研究し、悪用するためにさまざまな方法を試行錯誤する必要があった。

自律的に行動

だが、AIがこの前提を覆した。すでに2年前の時点で、ハッカーは公開された脆弱性の情報をChatGPTに入力し、ギットハブなどのソースコードの公開データベースから類似の欠陥を探させることで、不正利用可能な他のパターンを見つけ出すことができた。

例えば、マイクロソフトがOffice 365のファイル処理に不具合があると公表すれば、チャットボットはその悪用方法を示唆するだけでなく、「Outlook」や「Teams」といった類似の弱点を持つ可能性がある他のソフトも迅速に見つけ出す手がかりを与えることができた。

ここ数カ月で状況はさらに悪化している。AIにエージェント機能が組み込まれ、自律的に行動できるようになったためだ。アンソロピックの「Claude Cowork」はメール送信やスケジュール調整といった作業を自動で行うが、同様の仕組みは攻撃にも応用され得る。脆弱性を見つけるだけでなく、さまざまな手法で攻撃を試み、成功するまで自動的に試行を繰り返すことも可能になる。

ミトスはさらに進み、脆弱性を連鎖させて多段階攻撃を実行することも可能とみられる。これは従来、高度な技能を持つハッカーだけが実施できた手法だ。

これまで生成AIによるサイバーセキュリティーへの影響は漠然としていた。甚大な被害をもたらす新たな攻撃を単独で繰り出すツールは存在しなかったが、大規模言語モデル（LLM）は既存の攻撃手法を強化するために活用されてきた。ハッカーはチャットボットを使ってフィッシングメールをより説得力のあるものに仕上げたり、ディープフェイク動画を生成したりしていた。

ほとんど猶予なし

しかし、エージェント型AIはハッキングそのものを加速させる可能性がある。悪意あるハッカーは従来から、防御の固い銀行ではなく、脆弱性のある病院や中小企業を標的にしてきた。現在の問題は、ソフトの欠陥が公表されてからパッチを適用するまでの猶予がほとんどなくなっている点だ。

zerodayclock.comによると、脆弱性の公表から実際の攻撃手法が確立されるまでの平均期間は、2018年の771日から現在では4時間未満にまで短縮されている。

アンソロピックによるミトス発表は、新規株式公開（IPO）を視野に入れた宣伝効果をもたらす一方で、欠陥の公表から悪用までの時間が事実上消滅した現実を改めて認識させている。この状況は、責任ある開示という慣行そのものや、数週間から数カ月を要するパッチ適用プロセスの有効性に疑問を投げかけている。

ウォール街でさえ現時点で明確な答えを持たないが、少なくとも銀行は人員や資金力を背景に、パッチをほぼリアルタイムで適用する体制への移行を模索することができる。一方で、同様のスピードで対応を迫られる中小企業はより大きな課題を抱えることになる。

（パーミー・オルソン氏はブルームバーグ・オピニオンのテクノロジー担当コラムニストです。ウォールストリート・ジャーナル（WSJ）やフォーブスで記者経験があり、著書は「Supremacy: AI, ChatGPT and the Race That Will Change the World」など。このコラムの内容は個人の意見で、必ずしも編集部やブルームバーグ・エル・ピー、オーナーらの意見を反映するものではありません）

原題：Anthropic’s Mythos Is A Wake-up Call For Everyone: Parmy Olson（抜粋）

もっと読むにはこちら bloomberg.com/jp

©2026 Bloomberg L.P.