プロジェクト・グラスウィングの下で、AnthropicのClaude MythosモデルはMicrosoftの修正能力を上回るペースで同社ソフトウェアのセキュリティ上の欠陥を発見し続けており、開示が宙に浮いたまま、未修正の脆弱性のバックログが拡大しつつある。
2026年4月に発表されたプロジェクト・グラスウィングは、最先端のAIモデルが重要ソフトウェアの保護のあり方を根本的に変え得るという前提のもと、Amazon、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorganChase、Linux Foundation、Microsoft、Nvidia、Palo Alto Networksなどが参集した取り組みである。Anthropicは、コード解析と脆弱性発見の能力を強化して訓練されたモデルであるClaude Mythosのプレビューへのアクセスを提供した。
その結果は劇的であり、業界を揺るがすものとなっている。ProPublicaの報道によれば、Microsoftのエンジニアは次の発見が届く前に脆弱性を修正しようと奔走している。5月中旬のあるセッションでは、数十人のMicrosoftのエンジニアと管理者が同社のレドモンド本社に集まり、グラスウィングの分析の1ラウンド分の結果について協議した。Anthropicのモデルが特定した重大な脆弱性の量は、修正に充てられるエンジニアの工数を繰り返し上回っている。
この力学は異例の圧力を生み出している。バグの発見によってソフトウェアをより安全にする同じAIツールが、人間主導の修正パイプラインがいかに脆いかも明らかにしているのだ。Microsoftは発見を無視しているわけではなく、順次対応を進めている。しかし、コードレビューのサイクル、回帰テスト、展開スケジュールに制約される人間のセキュリティエンジニアの処理能力は、機械の速度でコードベースを解析するモデルの出力に追いつけない。
国家安全保障の専門家たちは、グラスウィングが公開されて以来、まさにこのシナリオを予期して注視してきた。AIによる発見が人間による修正を上回り、既知の脆弱性が修正されないまま存在する時間枠が生まれるというシナリオである。人間の研究者が一度に1つのバグを発見することを前提に構築された従来の責任ある開示モデルは、AIが数百ものバグを発見する世界を想定して設計されたものではない。
この状況は、サイバーセキュリティにおけるより広範な変化を浮き彫りにしている。ボトルネックはもはや検出ではなく、修正である。そしてそれは、いかに高性能なモデルであってもまだ解決されていない問題である。
雅子 訳
Sources: Ars Technica (Jul 29, 2026); ProPublica (Jul 29, 2026); Anthropic (Apr 7, 2026)