Mythosが示した「コードを読み解くAI」の現在地——中小企業のIT担当が知っておくべきこと

※ 本記事は2026年4月時点の公開情報に基づきます。各サービスの仕様・料金は変更される可能性があります。

2026年4月7日、AnthropicがClaude Mythos Previewを発表しました。技術者の間では「コードを読む能力が人間の熟練エンジニア並みに達した」と受け止められています（出典: Anthropic公式 Claude Mythos Preview）。

中小企業の情シス・IT担当者の方から「結局、自社の業務に関係あるのか」という質問をよくいただきます。結論から言えば、Mythos自体は使えませんが、その能力が1〜2年で商用モデルに降りてくる前提で、準備を始めるべきタイミングです。

Mythosが実際に何をやったのか

公開されているベンチマーク結果を整理します（出典: Anthropic公式、TechCrunch 2026年4月7日）。

要するに、「人間の熟練セキュリティエンジニアが何週間もかけて探していた脆弱性を、AIが数時間・低コストで、しかも人間に近い判断精度で見つける」段階に入ったということです。

技術的に何が起きているのか

2023〜2025年の生成AIは「コード補完」「ボイラープレート生成」が主な使い道でした。GitHub Copilot、Cursor、Claude Codeなどです。これらは「書く」を高速化するツールです。

Mythosが示したのは、「読む」と「推論する」の飛躍です。

• 長い依存関係の追跡：数十のファイルにまたがる関数呼び出しを追い、データの流れを理解する
• 脆弱性パターンの適用：既知の攻撃手法を未知のコードに当てはめて弱点を探す
• 自律的な実験：「こう攻撃したらどうなるか」を自分で試し、結果をもとに次の手を考える
• JITヒープスプレイのような高度な攻撃の自動組み立て：単発の脆弱性を連鎖させて権限昇格を実現

これまでのAIが「下書き担当」だったとすると、Mythosは「一人前のエンジニア」に近づいています。

中小企業のシステムへの3つの影響

影響1：既存のWebサイト・業務システムの「古いコード」が狙われる

中小企業のサイト・業務システムの多くは、過去に作って放置されたコードを抱えています。WordPressのプラグイン、古いPHPフレームワーク、独自開発の受発注システムなどです。

これまでは「古いから狙われない」「目立たないから大丈夫」が通用していました。Mythos級のAIが攻撃側に回った場合、その前提は崩れます。低コストで大量のサイトをスキャンし、脆弱性のある順に並べられるからです。

やるべきこと：

• WordPressサイトはプラグインとテーマを最新化（週1回の自動更新を推奨）
• サポート終了したPHP/Node.jsバージョンのシステムは更新計画を立てる
• 公開されているAPIのバージョン管理と認証強化

影響2：社内で使っている「ノーコード」ツールもスコープに入る

2026年現在、中小企業でもkintone、Airtable、Zapier、Make、Bubbleなどのノーコード・ローコードツールが普及しています。これらは便利ですが、権限設計を間違えると情報漏洩経路になります。

AIが自動でスキャンする世界では、「うちは小さいから狙われない」という発想は成り立ちません。

やるべきこと：

• 外部共有リンクの定期棚卸し（Google Drive、Dropbox、kintoneなど）
• ノーコードアプリの権限レビュー（退職者アカウントの削除も含む）
• 外部連携（Zapier、Make等）のAPIキー管理

影響3：サプライチェーン経由の侵入リスク

Project Glasswingに大手クラウド・セキュリティ企業が揃っているのは、重要インフラへの攻撃を前提にした動きです。中小企業でも、取引先の大企業経由で攻撃対象になるケースが増えます。

• 取引先に納品するデータに不要な情報が混ざっていないか
• 共有サーバーやクラウドストレージのアクセスログを取っているか
• 下請け・外注先の情報管理体制を把握しているか

「守る側」のAIも進化している

Mythosのニュースは攻撃能力の話に注目が集まりがちですが、同じ能力は防御側にも使えます。AnthropicがProject Glasswingで行っているのは、まさに「防御側に先回りで渡す」取り組みです。

中小企業が使える防御側のAIツールも徐々に増えています。

最後の「AIに設定ファイルを見せて点検する」のは、すぐ始められる手法です。Nginxの設定、Firewallルール、WordPressの管理画面の権限設定などを、月に1回AIにレビューしてもらうだけで、抜けが見つかることは珍しくありません。

中小企業のIT担当者が今日やるべきこと

• 自社システムの棚卸し表を作る：URL、使っているフレームワーク、最終更新日、担当者をリスト化
• サポート切れソフトウェアを特定する：OS・PHP・Python・Node.jsなどのバージョン
• 退職者アカウントを全サービスで削除：クラウド会計、Google Workspace、社内ツール
• AIレビューを月次ルーチンに入れる：設定ファイル、コード、運用ドキュメントをAIに点検依頼
• 主要AIベンダーの発表を月1チェック：Anthropic、OpenAI、Googleの公式ブログ

まとめ

• Mythosは「コードを読み解き、脆弱性を自律発見するAI」の最新到達点
• 一般公開はされないが、商用モデルに降りるのは時間の問題
• 中小企業の古いWebサイト、ノーコードツール、サプライチェーンが攻撃対象になる
• 防御側AIも進化しており、月数千円で始められる対策がある
• まず棚卸しと退職者アカウント削除、AIによる設定レビューから始める

AIの進化は、便利さと脅威を同時にもたらします。Mythosが示したのは、両方が想定より早く来ている、という事実です。技術責任者・IT担当者として、今のうちに「何を守り、何を捨てるか」の整理を進めてください。パニックにならず、優先順位を決めて動くことが、中小企業では何より重要です。