「脆弱性の発見」はもはやボトルネックではない。AI時代のセキュリティ戦略『Project Glasswing』が突きつけた現実

AIが数週間で「数十年のバグ」を掘り起こした

2026年4月、Anthropicが発表したサイバーセキュリティ連合「Project Glasswing」。Amazon、Google、Microsoft、Appleなど名だたるテック企業が参加するこのプロジェクトから、驚くべき初期報告が届きました。

彼らの未公開AIモデル「Claude Mythos Preview」を重要ソフトウェアのコードベースに投入した結果、わずか数週間で10,000件以上の深刻な脆弱性が発見されました。その中には、27年間誰にも気づかれなかったバグや、幾多のコードレビューをすり抜けてきた脆弱性も含まれています。

この記事では、この衝撃的な報告から何が読み取れるのか、これからのIT実務にどう影響するのかを解説します。

1. Project Glasswing とは何者か？

Project Glasswingは、Anthropicが主導する「防御側（ディフェンダー）を強化するための連合」です。

• Claude Mythos Preview: 防御に特化したAnthropicの最先端AI。脆弱性の発見だけでなく、実際の攻撃手法の推論や、エクスプロイト（攻撃コード）の実証までを自律的に行います。

• 目的: 悪意ある攻撃者がAIを使って攻撃を仕掛けてくる「AI時代」の到来を見越し、先回りして重要インフラの脆弱性を潰すこと。

2. 突きつけられた残酷な現実：ボトルネックの移動

Anthropicのレポートが最も強く訴えているのは、「セキュリティにおけるボトルネックが『発見』から『修復』へ完全に移行した」という点です。

• 以前: 熟練のセキュリティ研究者が、膨大な時間をかけて脆弱性を「探し出す」ことが最大のハードルでした。

• 現在: Claude Mythos Previewのようなモデルを使えば、人間が何年もかかっていたバグ発見が数時間で完了します。

結果として何が起きるのか？ 膨大な量の脆弱性が短期間で提示されることになりますが、肝心の「修正（パッチ適用）」が追いつきません。今のシステムは、AIが提示する修正スピードに耐えられる構造になっていないのです。

3. 私たちエンジニア・開発者が取るべき次の一手

レポートでは、この状況下で現場が意識すべき「基本」を再確認しています。

1. パッチサイクルの短縮: 「パッチが出たらすぐ当てる」というプロセスを自動化・迅速化する。

2. 防御の多層化: 個別のパッチが当たっていない状態でも守れるよう、ネットワークのデフォルト設定の堅牢化（Hardening）、ゼロトラスト（MFAの徹底など）を強化する。

3. 修復の優先順位付け: AIが発見する「大量のバグ」に対し、どれが最もクリティカルかを判断・処理する人間のリソースをどう配分するか、マネジメントの意識改革が必要。

結論：AIを「脅威」ではなく「ツール」にする

Claude Mythos Previewは、攻撃側が使えば恐ろしい兵器になります。しかし、Project Glasswingはそれを逆手に取り、防御側が先にAIを使ってコードの穴を塞ぐという「先制防御」の重要性を示しました。

「AIが脆弱性を見つけてくれるから安心」ではなく、「AIが山ほど持ってくるバグを、どう早く消し込むか」。これこそが、これからのセキュリティエンジニアや開発者に求められる腕の見せ所になりそうです。