人工知能（AI）企業のAnthropicがAIモデル「Claudeミトス・プレビュー」を活用し、1カ月で世界の主要ソフトウエアにおいて高リスク・致命的なセキュリティ脆弱性を1万件以上発見したことが分かった。
25日、業界によるとAnthropicは22日、自社の研究ブログで「プロジェクト・グラスウィング」の初期成果を公開した。
プロジェクト・グラスウィングは、ミトス・プレビューのような高性能AIモデルがサイバー攻撃に悪用される前に主要ソフトウエアのセキュリティを強化するための協力プロジェクトである。脆弱性とは、ハッカーがシステムに侵入したり情報を抜き取ったりする際に悪用できるソフトウエアの弱点を指す。
Anthropicはマイクロソフト（MS）、アップルなど主要企業・機関とともにミトス・プレビューを活用して主要ソフトウエアを点検してきた。この過程で、これまでに高リスク・致命的水準の脆弱性が1万件以上見つかったことが明らかになった。
クラウドフレアは中核システムでバグ2000件を見つけ、このうち400件は高リスク・致命的水準だった。ウェブブラウザー運営社のモジラもミトス・プレビューを活用し、Firefox 150で脆弱性271件を見つけ修正した。これは従来モデル「Claudeオーパス4.6」でFirefox 148を点検した際より10倍以上大きい規模である。一部のパートナー社は、ミトス・プレビュー導入後にバグ発見のスピードが10倍以上速くなったと述べた。
オープンソースプロジェクトの点検過程でも大規模な脆弱性が発見された。Anthropicは1000件以上のオープンソースプロジェクトを分析した結果、脆弱性2万3019件を見つけ、このうち6202件を高リスク・致命的水準と推定した。
このうち高リスク・致命的脆弱性として分類された1752件を外部のセキュリティ企業などが再検証した結果、1587件が実際の脆弱性であることが確認された。検証対象の90.6%が実際の脆弱性だった計算である。
外部機関の評価も出た。英国AI安全研究所は、ミトス・プレビューが多段階サイバー攻撃を模擬した2つのテスト環境を初めて最後まで解決したモデルだと評価した。セキュリティプラットフォームのXBOW（エックスボウ）も、ミトス・プレビューがウェブ脆弱性攻撃の性能評価で従来モデルを大きく上回ったと明らかにした。
Anthropicは、AIの脆弱性検出スピードが人間の検証・パッチのスピードを上回っていると診断した。会社は「過去には新たな脆弱性をどれほど速く見つけられるかがソフトウエアセキュリティの進展を左右したが、いまはAIが見つけた大規模な脆弱性をどれほど速く検証し公開しパッチできるかが要となった」と明らかにした。
ただしAnthropicは、ミトス級AIモデルが攻撃者に悪用される可能性を懸念し、まだ一般には公開していない。会社は、濫用を防ぐ安全装置が十分に整っていないと判断しており、今後は中核パートナー社と協力してプロジェクト・グラスウィングの参加対象を拡大する計画だと説明した。