Anthropic「Project Glasswing」始動――Claudeの最新モデルが、全主要OSとブラウザで未知の脆弱性を数千個発見した

3行サマリー

Anthropicが未公開の最新モデル「Claude Mythos Preview」を、AWS・Apple・Google・Microsoft・Nvidiaなど12社に限定提供する「Project Glasswing」を発表した。
このモデルは過去数週間で、全主要OSと全主要ブラウザを含むソフトウェアから、数千件の未知の脆弱性（ゼロデイ）を自律的に発見した――OpenBSDでは27年間放置されていたバグも見つけた。
あまりに能力が高すぎるため一般公開はせず、防御目的の限定パートナーにのみ開放。約150億円分の利用クレジットを拠出する大型イニシアチブだ。

何が起きたのか
「全主要OSと全主要ブラウザ」で数千の脆弱性
なぜ一般公開しないのか
SYNCONの視点：これは「テック企業の話」ではない
情報ソース

何が起きたのか

2026年4月7日（現地時間）、Anthropicは新たなサイバーセキュリティ・イニシアチブ「Project Glasswing」を発表した。これは、同社が一般公開を見送っている最新フロンティアモデル「Claude Mythos Preview」を、世界の重要インフラを担う12の大企業に限定提供し、彼らのシステムに潜む脆弱性を発見・修正するための共同プロジェクトだ。

パートナーには、Amazon Web Services、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorganChase、Linux Foundation、Microsoft、Nvidia、Palo Alto Networksといった名だたる企業が並ぶ。さらに、重要ソフトウェアを開発・保守する40以上の組織にもアクセスが提供される。Anthropicはこの取り組みに最大1億ドル（約150億円）の利用クレジットと、オープンソースセキュリティ団体への400万ドル（約6億円）の直接寄付を約束している。

「全主要OSと全主要ブラウザ」で数千の脆弱性

Anthropicの公式発表によれば、Claude Mythos Previewは過去数週間で、全主要オペレーティングシステム（Windows、macOS、Linux、その他）と全主要Webブラウザを含むソフトウェアから、数千件の高深刻度ゼロデイ脆弱性を発見した。ゼロデイとは、ソフトウェア開発者自身も知らなかった未知の欠陥のことだ。

象徴的な発見の一つが、セキュリティを最重視することで知られるOpenBSDで27年間放置されていたバグだ。このバグを使えば、わずか数バイトのデータを送るだけで任意のOpenBSDサーバーをクラッシュさせることができる。Linuxカーネルでは、複数の脆弱性を連鎖させてマシンを完全制御できる経路まで自律的に発見した。

Anthropicのフロンティア・レッドチームでサイバー部門を率いるNewton Cheng氏はインタビューで「攻撃側よりも先に防御側に頭一つ分のリードを与えたい」と語っている。

なぜ一般公開しないのか

興味深いのは、Claude Mythos Previewはサイバーセキュリティ専用に訓練されたわけではないという点だ。汎用の言語モデルでありながら、強力なエージェント的コーディング能力と推論能力の副産物として、桁違いのセキュリティ能力を獲得した。

つまり、これと同等の能力を持つモデルが攻撃者の手に渡れば、世界中のシステムが一夜にして無防備になりうる。Anthropicは「我々はClaude Mythos Previewを一般公開する予定はない」と明言し、Cheng氏も「AIの進歩のペースを考えれば、こうした能力が安全な管理下を離れて拡散するのも時間の問題だ。経済、公共安全、国家安全保障への影響は深刻なものになり得る」と警告している。

Anthropicは、次世代のClaude Opusモデルでセキュリティ・セーフガードを強化したうえで、将来的にはMythosクラスのモデルを安全に展開できる体制を整える方針だ。

SYNCONの視点：これは「テック企業の話」ではない

このニュースを「シリコンバレーの内輪話」として読み流してはいけない。経営の視点で見ると、ここには3つの重大なメッセージが埋まっている。

① 攻撃と防御の時間差が消滅した
パートナー企業の発言で最も印象的なのが「脆弱性が発見されてから攻撃に使われるまでの時間は、かつては数か月だったが、今やAIによって数分に縮まった」というものだ。これまで企業のセキュリティ対策は「パッチを当てる時間がある」という前提で設計されてきた。その前提が崩れた。

② AIは「両刃の剣」ではなく、もはや「主役」
同じAIモデルが、防御に使えば最強の盾になり、攻撃に使えば最悪の矛になる。Anthropicがこれほど慎重にゲートを設けるのは、能力そのものが従来のセキュリティ業界の常識を超えているからだ。逆に言えば、AIを使わない防御はもはや成立しない時代が来ている。

③ あなたの会社の取引先は、もうAIで守られているかもしれない
AWS、Microsoft、Google、Appleがこの輪の中にいるということは、これらのクラウド・OSを使っているすべての企業が、間接的にこの恩恵を受けることになる。逆に、自社で独自のソフトウェアを抱えている企業ほど、相対的に「無防備な領域」が浮き彫りになる。今こそ、自社が依存しているソフトウェア資産の棚卸しと、ベンダーのAI活用状況の確認をすべきタイミングだ。

「AIに仕事を奪われるか」を議論している間に、世界の基準は「AIに守られているか」へ移っている。同期（Sync）するなら、今だ。