Anthropic「Mythos」をめぐるサイバーセキュリティの悲観論は現実と乖離している

【なぜ重要か】 AI技術の進歩により「攻撃者が有利になる」という論調が強まっているが、実際のデータに基づくと防御側には依然として大きなアドバンテージがある。日本企業のセキュリティ担当者は、過度な悲観論に惑わされず、自社が持つコンテキスト情報の価値を正しく理解し活用することが重要だ。

【ポイント】

• AnthropicのMythosモデルが「防御者の努力を大幅に上回る脆弱性攻撃が可能」とされ、AI による「サイバー悪夢」が喧伝されているが、モデルの能力が直接攻撃者の優位性に転換されるという前提は間違っている
• 1,000件の実際のAIペネトレーションテストデータによると、ソースコードが利用可能なホワイトボックステストでは、限定的アクセスのグレーボックステストと比べ、7倍多くの重要度の高い脆弱性を発見し、効率も約2倍向上した
• AIの効果は生の能力よりもシステムのコンテキスト（静的・動的解析の組み合わせ）に大きく依存するが、攻撃者は外部からシステム詳細を推測するしかない一方、防御者は既にシステムの実際の動作にアクセスできる
• Axiosパッケージの侵害事例のように、既知のCVEや悪意のあるコードパターンがない攻撃では、依存関係ツリーへの深い可視性を持つ組織のみが変更を検知できる
• AIモデルはコンテキスト取得コストも下げるが、実際のソースコード、API、アプリケーション認証情報へのアクセスによる明確性には決して匹敵できない

【まとめ】 AIはアプリケーションセキュリティにおけるコンテキストの価値をこれまで以上に高めており、防御側が既に持っているアドバンテージを積極的に活用すべき時である。