「Mythos」が見せたサイバーセキュリティの一大変革【第108回】

　サイバー攻撃が増加している。2026年に起きたニチレイグループや2025年のアサヒグループホールディングスでの不正被害は、消費材流通に影響を引き起こし大きなニュースになった。これらの企業は、不正アクセスに起因するシステム障害によって、出荷業務や入出庫業務の停止、受注への影響、個人情報流出といった被害を受けた。

脆弱性を侵入経路にする攻撃が最も多い

　2025年に発表された国内セキュリティインシデントの数は559件（トレンドマイクロ調べ）。対象は製造業やEC（電子商取引）・物流業、自治体、医療機関など、様々な業種に及び、サイバー攻撃の被害は大きな社会問題になっている。世界最大級の通信会社である米VERIZONがまとめた『2026年度データ漏洩／侵害調査報告書（DBIR）』は、サイバー攻撃の特徴に関して次の点を指摘している。

●データ漏洩／侵害の31％はソフトウェアの脆弱性を侵入経路にしている。パスワードの盗用による侵入を上回り、攻撃者が侵入する最も主要な手段になっている
●全データ漏洩／侵害の48％にランサムウェアが関与している。身代金の支払額は縮小傾向にある
●モバイル端末はクリック率が40％も高く、新たな主要ターゲットとなっている

　脆弱性を侵入経路とするケースが最も多く31％を占めている。この脆弱性の発見に関して、米Anthropicの「Claude Mythos（Mythos）」が大きな注目を集めている。高度な推論能力とコード理解力を基に、タスクを自律的に実行し、サイバーセキュリティ分野での高い能力を示したからだ。その能力の高さから米政府が使用制限をかける状態にもなった。

　MythosをはじめAI（人工知能）技術の推論機能は進化している。質問を個々のステップに分解し思考の連鎖を使って、より正確な回答を導き出すことで、複雑な問題を段階的に処理し、高度な判断やタスクを実行する。

　ベースになっているLLM（Large Language Model：大規模言語モデル）は、知識の質や文脈理解の深さが強みである。だが回答時は、次の単語を統計的な推測に基づいて導き出しており、回答における思考の深さが足りないケースや、回答を誤る可能性があるため、そこを推論機能では回避しようとしている。

コード全体を理解したうえで原因と対策を提示

　Mythosの機能をみてみたい。既存の脆弱性スキャナーは、情報システムを構成する、さまざまな要素に対し脆弱性データベースと照合し、未修正の欠陥や設定の不備の存在を発見する。脆弱性データベースは定期的にアップデートされるが基本的には静的・定型的な検査にとどまる。これに対しMythos は、次のような方法で脆弱性を見つける。

（1）コードを読み、コードベース全体を理解する
　その過程では、モジュール間の依存関係や、API（Application Programming Interface）の呼び出し関係、外部ライブラリの使用、データの流れ、認証についても調べる。コードが読めない場合は、限界があるが、ブラックボックスとして、入力や認証やコードの実行を見るペネトレーションテスターとして使う方法がある。
　パッケージソフトウェアに対しては、製品やバージョン、設定、依存ソフトウェア、運用権限を含めた検査が必要になる。

（2）攻撃者視点で攻撃を洗い出す
　コードから攻撃のポイントを洗い出す。例えば外部から入力できるポイントを明らかにして、攻撃者が、どこから侵入するかの観点からポイントを特定する。

（3）データフローを解析する
　データの入力とその流れを解析する。問い合わせフォームや検索欄に、HTMLタグやスクリプトがそのまま入ると、悪意ある動作につながる動きがあるケースがある。そうした動きを検知し、また、危険な入力文字の処理や、権限やバリデーションを解析する。

（4）コンテキストを理解して推論する
　コードの意味を理解して脆弱性の可能性を推論する。例えばAPI呼び出し時の引数などの内容を検証する。

（5）複数ファイルを横断して解析する
　静的解析で見逃しやすい、複数ファイルにまたがる認可の不備などをチェックする。

（6）実際に悪用できるかを評価する
　実際に入力可能であっても、コードを改ざんする時の認証などによって、改ざんが実際に可能かどうかをチェックする。

（7）根本原因（Root Cause）と修正案を生成する
　見つけた脆弱性の根本原因を明示し、どこを直せばいいかの修正案を提案する。

　このようにMythosは、複数ファイルの解析やコードの意味理解、悪用可能性の評価、修正案生成までを実行する。コード全体を見て、その使われ方を検証し、攻撃対象になる原因を想定したチェックにより脆弱性を発見する。専門家が時間をかけて対応している大量のコードやシステム構成の確認を短時間で分析できる。