AIで脆弱性を見つける時代——Project Glasswingに学ぶ「攻めと守り」のセキュリティ

※ 本記事は2026年5月時点の公開情報に基づきます。最新情報は各社公式等をご参照ください。

セキュリティの世界で、AIの役割が一段深まりました。Anthropicは、未公開の最先端モデル「Claude Mythos Preview」を、AWS・Apple・Cisco・Google・JPMorgan・Microsoftなどの限定された組織に提供し、重大なソフトウェアの脆弱性を発見・修正する取り組み「Project Glasswing」を始めたと報じられています（出典: LLM-Stats）。

これは、AIが「守り」の最前線で使われ始めたことを示します。同時に裏を返せば、同じ力は攻撃側にも使われうるということです。セキュリティ責任者として、この両面を冷静に押さえておく必要があります。

AIが「攻めと守り」の両方を加速する

AIは、防御側にとって強力な味方です。

• 大量のコードを解析し、人が見落とす脆弱性を見つける
• 攻撃の兆候を、膨大なログから素早く検知する

しかし同じ能力は、攻撃側も手にします。

• AIで弱点を効率的に探し出す
• 巧妙な偽メール（フィッシング）を大量に自動生成する

つまり、攻撃の質とスピードが上がることを前提に、守りを固める必要があるのです。

中小企業が取るべき守りの基本

最先端の取り組みは大企業の話ですが、狙われるのは大企業だけではありません。むしろ守りの手薄な中小企業が標的になります。基本を徹底することが最大の防御です。

1. 「当たり前」を徹底する パスワードの使い回しをやめる、多要素認証を有効にする、ソフトを最新に保つ。派手な対策より、この基本の徹底が被害の大半を防ぎます。

2. AIに入力してよい情報を線引きする 便利だからと機密情報や顧客情報を安易にAIに入力しない。何を入れてよいかのルールを明文化します。

3. 「人を狙う攻撃」に備える AIが作る巧妙な偽メールは、システムでなく人を騙します。社員が「おかしい」と気づき、確認できる習慣を作ることが重要です。

セキュリティは経営の問題

セキュリティは、IT担当者だけの仕事ではありません。AIによって攻撃が高度化する時代、何を守り、何が起きたら誰が止めるかを決めるのは経営の責任です。最先端の防御技術を導入できなくても、基本の徹底とルールの明文化なら、今日から始められます。

まとめ

• AnthropicがProject Glasswingで、AIによる脆弱性の発見・修正を大手と推進
• AIは守りを強化する一方、攻撃の質とスピードも上げる
• 狙われるのは大企業だけでない。守りの手薄な中小企業こそ標的になりうる
• 基本の徹底・AI入力の線引き・人を狙う攻撃への備えが最大の防御

AIが攻守の両面を加速する時代、最も確実な備えは奇策ではなく基本の徹底です。何を守り、誰が止めるかを経営として決めること——それがコンプライアンスの出発点です。