Anthropicの「Glasswing」1カ月で重大な脆弱性を1万件以上検出、修正が追いつかず

セキュリティの常識を覆す検出ペース

これまでのサイバーセキュリティの世界では、重大な脆弱性は見つけること自体が最も困難な作業とされてきました。人間のアナリストが何週間もコードを精査し、ようやく未知のバグを1つ掘り出すのが普通でした。

Anthropicが立ち上げた「Project Glasswing」の最新レポートは、その前提を完全に覆しました。同社が開発中のモデル「Claude Mythos Preview」を約50社のパートナー企業とともに導入したところ、わずか1カ月で1万件を超える高重大度・重大（High/Critical）レベルの脆弱性が検出されました。

各社の現場からは驚異的な数字が上がっています。Cloudflareは基幹システム全体で2,000件のバグを検出し、そのうち400件が高重大度以上でした。誤検知率は人間のテスターよりも低かったと報告されています。MozillaもFirefox 150のテストにおいて、従来のClaude Opus 4.6と比べて10倍以上となる271件の脆弱性を修正しました。英国のAI安全性研究所の評価では、Mythos Previewはシミュレーション環境における複数工程のサイバー攻撃を初めてエンドツーエンドで突破したとされています。

悲鳴を上げるオープンソースの現場

商用ソフトウエア企業が対応に追われる一方で、より深刻な歪みが生じているのがオープンソースの世界です。

Anthropicはインターネットの土台を支える1,000以上のオープンソースプロジェクトをMythos Previewでスキャンしました。その結果、高重大度・重大と推計されるバグだけで6,202件が見つかりました。独立系調査会社が精査した1,752件のうち、90.6%が本物のバグであり、62.4%が実際に高重大度・重大であると確認されています。

実際に、世界中の数十億台の端末で使われる暗号化ライブラリ「wolfSSL」では、偽の証明書を作成して正規の金融機関やメールプロバイダーになりすませる深刻な脆弱性（CVE-2026-5194）が検出されました。

問題は、見つけるスピードに修正がまったく追いつかない点です。通報済みの530件の重大バグのうち、現時点で修正パッチが提供されたのはわずか75件にとどまります。1件のパッチ作成には平均2週間かかっており、過密な作業に悲鳴を上げたメンテナーから「報告のペースを落としてほしい」とAnthropicに要請が入る事態となっています。

なぜ重要か

この動きが示す本質的な変化は、脆弱性対策のボトルネックが「発見」から「修正」へと完全に移行した点にあると考えられます。

開発者やセキュリティ担当者にとって、高精度なAI監査は強力な武器です。しかし、修正作業や動作検証の工数が人間の手作業に残されている以上、大量の重要バグを突きつけられる現場はパンク寸前に追い込まれます。オープンソースのメンテナーが無償の善意に頼っている現状では、AIによる報告ラッシュが逆にコミュニティを疲弊させるリスクがあります。

業界全体にとって最大の懸念は時間の猶予です。現在はAnthropicと提携パートナーが90日間の開示猶予ルールに沿って防御側で動いていますが、同等水準の能力を持つモデルが広く普及するのは時間の問題とみられます。修正パッチが配備される前に悪意ある攻撃者が同様のAIツールを手にすれば、未曾有の規模で自動化されたゼロデイ攻撃が仕掛けられることになります。自動発見だけでなく、安全なパッチの自動生成と適用まで自動化できなければ、防御側が構造的な劣勢に立たされる可能性があります。