投稿者 global-ai-media 
Anthropic社が新たなAIモデル「Mythos（マイソス）」のプレビュー版を発表し、サイバーセキュリティ領域への取り組みを強化しています。レガシーシステムの脆弱性にも対応しうる本モデルの動向から、日本企業が考慮すべきセキュリティ実務でのAI活用とガバナンスの要点を解説します。
Anthropicの新たな汎用モデル「Mythos」の概要
大規模言語モデル（LLM）「Claude」シリーズを開発するAnthropic社は、新たなサイバーセキュリティ・イニシアチブの一環として、新モデル「Mythos（マイソス）」のプレビュー版を発表しました。限られた公開情報によれば、MythosはClaudeシステム向けの汎用モデルでありながら、特にセキュリティ領域における高度な推論能力や知識を備えていると推測されます。
注目すべきは、本モデルが「10〜20年前の古い脆弱性」についても言及・対応できる能力を持っている点です。サイバー攻撃の手法が日々高度化する一方で、実際に標的となるのは、長年アップデートされずに放置された古いシステムの既知の脆弱性であるケースが少なくありません。幅広い年代の技術的文脈を学習している汎用モデルをセキュリティ実務に組み込むことで、こうした見落とされがちなリスクの発見に寄与することが期待されます。
サイバーセキュリティ実務におけるLLM活用の現在地と限界
現在、サイバーセキュリティの現場では、膨大なセキュリティアラート（ログ）の分析、マルウェアの挙動解析、ソースコードの脆弱性診断などに生成AIを応用する試みが進んでいます。LLMは自然言語とプログラミング言語の双方を深く理解できるため、セキュリティエンジニアが専門的なクエリを書かずとも、対話形式でシステムの潜在的な脅威を調査することが可能になりつつあります。
しかし、メリットばかりではありません。LLM特有のハルシネーション（もっともらしいが事実と異なる情報を生成する現象）により、存在しない脆弱性を指摘する過検知（フォールス・ポジティブ）が発生するリスクがあります。また、コンテキストウィンドウ（一度に処理できる情報量）が拡大しているとはいえ、システム全体の複雑なアーキテクチャを完全に把握して論理的な欠陥を100%見抜くことは現時点では困難です。そのため、AIを過信せず、最終的な検証を人間の専門家が行う「Human-in-the-Loop」のプロセスが不可欠です。
日本の組織環境と「レガシーシステム」へのアプローチ
日本国内のエンタープライズ企業や行政機関において、AIによるセキュリティ支援は特有の価値を持ちます。日本では、長年稼働を続けるレガシーシステム（いわゆる「2025年の崖」として問題視される基幹システムなど）が多数存在し、当時の開発者が退職したことで中身がブラックボックス化しているケースが珍しくありません。
Mythosのように10〜20年前の古い脆弱性や技術仕様に通じたAIモデルは、こうした古いソースコードの監査や、リファクタリング（プログラムの内部構造を整理すること）、セキュリティパッチ適用時の影響調査において強力なアシスタントになり得ます。
一方で、日本の組織文化において、社内の機密情報であるソースコードやネットワーク構成図を外部のクラウドAI（API）に入力することへの抵抗感は依然として強いのが実情です。個人情報保護法や各業界のセキュリティガイドラインを遵守しつつAIを活用するためには、入力データを学習に利用させない「オプトアウト契約」の締結や、機密情報を秘匿化（マスキング）する前処理の仕組みなど、技術と契約の両面でのガバナンス体制が求められます。
日本企業のAI活用への示唆
Anthropic社のMythos発表に見られるように、AIモデルの進化は業務効率化だけでなく、サイバーセキュリティという専門的かつリスクの高い領域にも浸透し始めています。日本企業がこのトレンドを実務に取り入れるための要点は以下の通りです。
第1に、技術的負債の解消に向けたAI活用の検討です。自社で運用を続ける古いシステムに対する脆弱性診断やコード解析において、最新のAIモデルを補助ツールとして導入することで、人材不足が叫ばれるセキュリティ担当者の負荷を軽減できる可能性があります。
第2に、セキュリティと利便性のトレードオフを管理するポリシーの策定です。現場のエンジニアが独自に外部のAIサービスへソースコードをペーストしてしまう「シャドーAI」を防ぐため、企業として安全に利用できるAPI環境や専用の社内AIインターフェースを整備し、明確な利用ガイドラインを運用することが急務です。
第3に、AIは「万能の盾」ではなく、あくまで「高度な提案者」であるという認識の徹底です。AIが提示する脆弱性の指摘や修正案をそのまま本番環境に適用するのではなく、必ず人間がコードレビューを行い、セキュリティテストを実施するプロセスを標準化することが、安全で持続可能なAI運用の鍵となります。