新AI「Mythos」利用企業で脆弱性開示2.2倍に？修正遅れは見られず

アンソロピックのAIモデル「Claude Mythos Preview」を早期利用した企業で、ソフトウェアの脆弱性開示が増えたとする研究が公表されました。

トーマス・モスク氏が2026年11月4日に公開したプレプリント（査読前の論文）によると、利用できなかった中国企業と比べ、開示件数は相対的に約120%増えました。影響度の高い脆弱性の開示は約150%増と推計されています。測定した修正までの期間に、統計的に検出できる遅れは見られなかったとしています。

アンソロピックは2026年4月7日に「Project Glasswing」を発表し、選ばれた企業にモデルへのアクセスを提供しました。分析は参加企業13社と中国企業267社を、2025年10月から2026年9月まで比較したものです。ただし中国企業は他のAIツールを使え、参加企業の選定も無作為ではありません。国ごとの開示慣行の違いもあり、因果関係の解釈には限界があるとされています。

修正能力については、Zero Day Initiativeがベンダーに報告した658件と、DebianやUbuntu、Red Hat、SUSEなどのLinuxディストリビューションが追跡した1万4855件を分析しました。ディストリビューションでの修正までの中央値は1日のまま変わらず、ベンダー側では約13%を超える遅れは否定されました。一方、それより小さな変化や、90日以内の修正割合が約11ポイント下がった可能性は排除できないとされています。

悪用された脆弱性の件数に統計的に有意な変化は見られず、悪用の割合が下がった比較についても、開示の母数が増えれば割合は下がるため、著者は示唆的な結果にとどめています。未開示の発見や、利用者によるパッチの適用状況は測定の対象外です。仮想通貨インフラにとっても、発見、修正の公開、ノードへの適用はそれぞれ別の段階であり、開示の急増が実際の安全性につながるかは今後の検証課題となりそうです。

記事ソース：資料