Cloudflareのバグ報奨金（バグバウンティ）トリアージは月額58ドルで運用されている。同社の最高セキュリティ責任者（CSO）は、この業務をAnthropicのClaude Sonnetモデルで処理しており、同じ業務をAnthropicのセキュリティ特化モデル「Mythos」に切り替えた場合、月額およそ20万ドルかかっていただろうと説明する。シドニーでの記者会見で明らかにされたこの数字は、業務に適したAIモデルは必ずしも最も高性能なものとは限らないという、より広範な主張を裏付けるCloudflareの根拠となっている。
CloudflareのCSOであるGrant Bourzikas氏は、オーストラリアで開催された同社のユーザーカンファレンスでの記者懇談会で、この変更について説明した。バグ報奨金プログラムは以前、届いた報告書をすべてスタッフが読む方式だった。現在はSonnetが提出物を選別し、それぞれが重複であるかを確認し、報告書が人間の目を通す価値がある可能性の高さをスコアリングしている。Bourzikas氏はこの結果を、ルーチン業務が減るプログラムであると同時に、チームは利用可能な最強の選択肢を既定とするのではなく、タスクに合ったモデルを選ぶことを学ぶべきだという証拠だと位置づけた。
Mythosとの比較は今年前半にさかのぼる。Anthropicが防御側のセキュリティチームと最先端モデルを組み合わせる非公開イニシアチブ「Project Glasswing」の下で、Cloudflareは未公開のMythosプレビュー版を自社の本番コードに向け、このモデルが50以上のリポジトリにまたがる軽微な欠陥を機能するエクスプロイトへと結び付け、概念実証コードを自らコンパイルして実行したと報告した。この能力はトリアージには過剰であり、Cloudflareが反復的なフィルタリング業務に安価な汎用モデルを選び、最先端ツールを新たな脆弱性の発見というより難しい課題のために温存したのはそのためだ。
バグ報奨金の自動化は、より大規模な自社開発の一部にすぎない。Bourzikas氏によると、Cloudflareは脆弱性管理、エスカレーション、アーキテクチャ分析、バイナリ管理を担う200超の本番稼働セキュリティエージェントを運用しており、対応時間はおよそ80%短縮されたという。アーキテクチャエージェント1つだけでも、脆弱性と、それを取り巻く制御、権限、システム、およびそれらの相互作用を合わせて評価する55のサブエージェントを含んでいる。この移行にはおよそ3年かかり、セキュリティチームは2026年1月から6月までの間に、2025年通年でこなした量を上回る業務を処理しており、しかもスタッフは25%少ない人数だった。サードパーティ製のセキュリティツールはCloudflareのエッジコアネットワークの一部から撤去されている。
同社はまた、このシステムをモデル非依存の設計にしており、エージェントは価格、セキュリティ要件、データの所在地、手元のタスクに応じてモデルを切り替えることができる。Bourzikas氏は、1つのモデルが主たる作業を行い、2つ目のモデルがその結果を検証したり反証したりするワークフローについて説明した。場合によってはKimiなどの中国製オープンウェイトモデルが主モデルとして稼働し、Claude Opusがバックアップを担うという。Cohen氏は、このハーネスによってCloudflareはコストを管理し、選択肢を広く保ちながら、特定のモデルに合わせてワークフローを作り直すことなくモデル間を移動できると述べた。
Bourzikas氏は、大半の組織はCloudflareの例に従うべきではないと明確に述べた。同社のビジネスと、その特殊な情報セキュリティ上の課題群によって、購入か自社開発かの判断基準は他社とは異なるとし、Cloudflareはすべての組織が自社でソフトウェアを開発すべきだとは考えていないと説明した。Cohen氏もこの警告に同調し、すべての企業がCloudflareのセキュリティチームの開発物を作るべきではなく、同社の社員の大半はエージェント開発やアプリケーション開発に手を出すべきではないと述べた。
Cloudflareはまた、AIがベンダーと顧客の関係を変えつつあると見ている。Cohen氏は、業界はパッケージソフトウェアから、顧客向けにツールを継続的に構築するフォワードデプロイ型エンジニアへと移行しており、同社が最近実施した約1,100人の人員削減はこの移行に関係していると述べた。自動化がより多くの業務を処理するようになると、廃止された一部の職種はコストに見合わなくなったという。またCohen氏は、Cloudflareの従業員数は最終的にレイオフ前とほぼ同水準に落ち着くと予想していると述べた。
雅子 訳
Sources: Cloudflare has mostly ditched third party security tools, suggests not trying that at home (The Register, Aug 4, 2026); ‘Block, allow, optimise or charge’: Cloudflare says AI has broken the web’s commercial bargain (Mi3, Jul 29, 2026); Claude Mythos AI Built Working Exploits Across 50 Cloudflare Repos, Then Refused To Demo (AI Europe, May 19, 2026)