2026年、AI業界とセキュリティ業界を同時に揺るがす出来事がありました。米Anthropic社の高度AIモデル「Claude Mythos」が、ソフトウェアの脆弱性を人間の手を借りずに自律的に発見し、攻撃コードまで自動生成する能力を示したのです。いわゆる「Mythosショック」。この記事では、何が起きたのかを整理したうえで、中小企業がいま何をすべきかを考えます。

何が起きたのか

Anthropicは2026年4月、Claude Mythosを発表しましたが、「能力が強力すぎる」として一般公開を見送りました。代わりに「Project Glasswing」という防衛目的の枠組みを作り、Microsoft・Apple・Googleなどの大手テック企業に限定して提供。その最初の成果として、主要なOSやブラウザを含む基幹ソフトウェアから1万件を超える重大な脆弱性（ゼロデイ）を自律的に発見したと報告されています。

これは防御に使えば強力な味方ですが、裏を返せば「同水準のAIが攻撃側に渡れば、兵器になる」ということでもあります。実際、米政府は2026年6月末、安全保障上の懸念を理由に、Anthropicの最上位モデル（Fable 5／Mythos 5）へのアクセス制限・提供停止の措置に踏み切りました。AIが「便利な道具」から「国家が管理を意識する戦略物資」へ——それを世界に印象づけた出来事でした。

なぜ「ショック」なのか——攻守のバランスが崩れた

これまで高度なサイバー攻撃には、優れた技術者の知識と時間が必要でした。ところがAIが脆弱性の発見から攻撃コードの作成までを自動化すると、「高度な攻撃を仕掛けるコスト」が桁違いに下がります。報道では、脆弱性が公表されてから実際の攻撃が確認されるまでの時間が約20時間まで縮んだという指摘もあります。「パッチは月例でまとめて適用」という従来の常識では、もう間に合わない世界が来つつあるのです。

ここで重要なのは、攻撃が自動化されると「狙われるのは大企業だけ」ではなくなることです。人間の攻撃者は費用対効果で標的を選びますが、自動化された攻撃は無差別に、24時間、大量に実行できます。従業員10人の会社でも、顧客の個人情報や取引先とのメールは狙う価値のある資産です。

中小企業がやるべき「基本の守り」5つ

と言っても、中小企業が最先端のAI防御システムを導入する必要はありません。攻撃の入り口の大半は昔ながらの弱点——更新されていないソフト、使い回されたパスワード、不用意に開いた添付ファイル——です。基本を確実にやることが、AI時代でも最も費用対効果の高い防御です。

第一に、ソフトウェアの更新を自動化すること。OS・ブラウザ・業務ソフトの自動更新を有効にし、「あとで」を挟まない仕組みにします。攻撃までの時間が短くなった今、更新の放置がいちばんの穴になります。

第二に、多要素認証（MFA）を全員に。パスワードが漏れても乗っ取られない二段目の鍵です。メール・クラウド・会計など、主要サービスから順に有効化しましょう。

第三に、バックアップの分離保管。ランサムウェア（身代金型ウイルス）に備え、業務データはクラウドや外部媒体に自動バックアップし、復元手順を年に一度は試しておきます。

第四に、個人情報の棚卸しと最小化。どこに誰の情報が、何のために置いてあるかを一覧にし、不要なものは消す。持っていない情報は漏れようがありません。これは個人情報保護法への対応そのものでもあります。

第五に、「AIが書いた偽メール」を前提にした社員教育。生成AIの普及で、フィッシングメールから不自然な日本語が消えました。「怪しい日本語を見抜く」から「送金・パスワード・急かしは必ず電話等で再確認する」というルールへの切り替えが必要です。

あわせて考えたい——特定のAIへの依存リスク

Mythosショックにはもうひとつの教訓があります。米政府の措置で示されたとおり、AIサービスは国家の判断で突然使えなくなることがあるということです。業務を特定のAIに深く依存させるなら、プロンプトや手順を自社の資産として文書化し、代替サービスを平時に評価しておく——そんな「止まっても倒れない」構えをおすすめします。AI導入のルールづくりは「企業のAI導入、最初に決めるべきこと」で詳しく整理しています。

おわりに

Mythosショックは怖い話に聞こえますが、見方を変えれば、守りの基本の価値が上がったということでもあります。自動更新、多要素認証、バックアップ、個人情報の整理、社員教育——どれも今日から着手でき、大きな投資も要りません。AIの恩恵を安心して受けるために、まずは自社の「基本の守り」を一度点検してみてください。

稀株式会社は、自社でAIプロダクトを開発・運用する立場から、セキュリティにも目配りした現実的なAI活用をご支援しています。ご相談はお問い合わせフォームからどうぞ。

本稿の内容は執筆時点の報道・公開情報に基づきます。脆弱性の件数や各社サービスの提供状況等は報道によるものであり、最新の公式情報をご確認ください。

← コラム一覧へ戻る