AI「Mythos」がOSSプロジェクト2万3000の脆弱性を発見

AIがOSSの脆弱性を大量検出

Anthropicが自社のAIモデル「Claude Mythos」を活用し、1000以上のオープンソースソフトウェア（OSS）プロジェクトから2万3000超の潜在的脆弱性を発見したと発表した。このニュースは、AI技術がサイバーセキュリティ分野で果たす役割が急速に拡大していることを象徴する出来事として、業界に大きな波紋を広げている。

SecurityWeekが報じた内容によると、Mythos Previewと呼ばれるこのモデルが検出した脆弱性のうち、1900件が外部セキュリティ企業によるレビューを受け、1726件が実際に確認された。さらに、そのうち1000超が「高（high）」または「重大（critical）」の深刻度で評価されている。

検出数は今後さらに増加する見通し

Anthropicは、現在の発見に基づくだけでも、約3900件の重大および高深刻度の脆弱性が確認されると推定している。スキャン作業はまだ継続中であり、深刻な脆弱性の総数は最終的に6200件に達する可能性があるという。

これは、従来のセキュリティ監査手法では到底見つけられなかった規模の発見だと言える。人間のセキュリティ研究者が一つ一つのプロジェクトを手作業でレビューするのに対し、AIモデルは膨大なコードベースを高速かつ体系的にスキャンできるという強みを活かしている。

修正対応はまだ序盤

現時点で、検証されていない発見のうち1100件以上がベンダーに報告されており、重大または高深刻度の脆弱性のうち75件がすでに修正されている。ベンダーは65件のセキュリティアドバイザリーを公開した。

ただし、Anthropicは修正パッチの数がまだ比較的少ないことについて、3つの理由を挙げている。 第一に、協調的脆弱性開示（Coordinated Vulnerability Disclosure）ポリシーで設定された90日間の猶予期間のまだ序盤にあるという点だ。今後さらに多くのパッチが適用されることが期待されている。 第二に、脆弱性が公開アドバイザリーなしに修正されるケースもあり、その場合にはAnthropicがClaudeを使ってパッチを自らスキャンする必要があるため、実際の修正数を過小評価している可能性があるという。 第三に、パッチ適用の遅さは、深刻な問題を映し出しているとAnthropicは指摘する。比較的ゆっくりとしたペースでの開示であっても、Mythos Previewはすでに過負荷状態にあるセキュリティ生態系にさらに負荷を加えているという現実がある。

OSSセキュリティの構造的課題が浮き彫りに

今回の発見は、OSSエコシステムが抱える根本的な脆弱性を改めて浮き彫りにしている。OSSプロジェクトの多くは、限られたリソースとボランティアベースの開発体制で維持されている。セキュリティ監査に十分な人的リソースを割けないプロジェクトも数多く存在するのが実情だ。

こうした状況の中で、AIによる脆弱性検出は二面的な影響を持つ。一方では、これまで見過ごされていたセキュリティ上の欠陥を早期に発見できるという大きなメリットがある。他方では、大量の脆弱性が一度に報告されることで、それを処理する側のキャパシティが追いつかなくなるという課題も生じる。 Anthropic自身もこの点を認識しており、「Mythos Previewはすでに過負荷状態にあるセキュリティ生態系に負荷を加えている」と率直に認めている。

AI主導の脆弱性検出がもたらす変化

Claude Mythosの成果は、AI技術のセキュリティ分野における応用可能性を示す重要な事例となる。従来、脆弱性の検出は専門のセキュリティ研究者や、静的解析ツール、動的解析ツールなどに依存してきた。しかし、大規模言語モデル（LLM）を活用したアプローチは、コードの文脈や論理的な流れを理解した上で潜在的な問題を指摘できるという点で、従来手法とは異なるアプローチを提供する。

Anthropicが今回発表した数字は、AIが実際にセキュリティ改善に貢献できる可能性を具体的に示すものだ。一方で、検出された脆弱性のすべてが実際に悪用可能なものであるかどうか、また実世界への影響度がどの程度かについては、引き続き慎重な評価が必要となる。

今後の展望と課題

Anthropicはスキャン作業を継続中であり、今後さらに多くの脆弱性が発見される可能性がある。90日間の開示猶予期間が経過するにつれて、ベンダーによるパッチ適用も加速することが期待されるが、OSSコミュニティ全体としての対応能力が問われることになるだろう。

AIによる脆弱性検出が一般化すれば、セキュリティ研究者の役割も変化していく可能性がある。大量の検出結果の中から本当に重要なものを特定し、優先順位をつけて対応していくという判断が、これまで以上に重要になる。 今回の発見は、AIとセキュリティの交差点において、新たな時代の幕開けを告げる出来事として記憶されることになりそうだ。