Project Glasswingとは？AI時代のサイバーセキュリティ最前線
AIは便利なツールという認識から、役割そのものが変わろうとしています。Anthropicが発表した「Project Glasswing」は、その変化を象徴する取り組みです。AIがソフトウェアの弱点を人間以上に見つけられる状況が現実になりつつあります。本記事では、その背景と起きている変化を整理します。
ARCHETYP Staffingでは現在クリエイターを募集しています。
エンジニア、デザイナー、ディレクター以外に、生成AI人材など幅広い職種を募集していますのでぜひチェックしてみてください！
AIは「脆弱性を見つける側」に回った
これまでソフトウェアの脆弱性（システムの弱点）は、一部の専門家によって発見・検証されてきました。銀行や医療、インフラといった重要なシステムにもバグは存在しますが、それを見つけて悪用するには高度な知識と経験が必要であり、多くの問題は長期間見つからないまま残るケースもありました。
こうした前提を変え始めているのがAIです。Anthropicが開発した「Claude Mythos Preview」は、コード（ソフトウェアの設計内容）を読み取り、脆弱性を特定するだけでなく、その弱点をどのように利用できるかまで導き出す能力を持っています。人間が細かく指示を出さなくても、脆弱性の発見から攻撃手法（エクスプロイト：脆弱性を利用した攻撃方法）の検討まで進められる点が特徴です。
実際にこのモデルは、主要なOSやWebブラウザを含む幅広いソフトウェアから数千件規模の高深刻度の脆弱性を発見しています。OpenBSDで27年間見逃されていた問題や、FFmpegで長期間検知されなかった欠陥など、従来の検証をすり抜けてきた事例も報告されています。
脆弱性の発見が特定の専門家に依存していた構造は、確実に変わり始めています。そしてこの変化は、防御の強化だけでなく、攻撃の前提そのものにも影響を与えます。
サイバー攻撃は「誰でも扱えるリスク」へ変わる
脆弱性を見つける力が広がると、攻撃に必要な条件も変わります。これまでは専門的な知識や経験が求められていましたが、AIがコード解析や手法の整理を担うことで、コスト・労力・専門性のハードルが下がりつつあります。
現実として、企業ネットワークや医療機関、エネルギーインフラに対するサイバー攻撃はすでに発生しており、業務停止や情報漏洩といった影響が出ています。さらに国家主体による攻撃も確認されており、社会基盤そのものが対象になるケースもあります。こうした状況の中でAIが使われるようになると、攻撃の頻度や影響が拡大する可能性があると指摘されています。
重要なのは、攻撃が単純に高度化するというより、「これまで難しかった手法が実行しやすくなる」点です。実際にClaude Mythos Previewは、Linuxカーネル（多くのサーバーで使われる基盤ソフト）の複数の脆弱性を組み合わせ、一般ユーザー権限からシステム全体の制御権を奪う手法を見つけています。
攻撃の前提が変わる以上、防御の考え方も同じままでは通用しません。ここからは、その対応として進められている取り組みを見ていきます。
Project Glasswingが目指す「防御の再設計」
こうした背景のもとで立ち上がったのが「Project Glasswing」です。Amazon Web Services、Google、Microsoft、Appleなど複数の企業・団体が参加し、AIを防御目的で活用する取り組みとして進められています。
中心となるのは、「Claude Mythos Preview」を使って脆弱性を事前に発見し、修正につなげることです。参加企業に加え、重要なソフトウェアインフラを扱う40以上の組織にも提供されており、自社システムだけでなく、オープンソースソフトウェアの安全性向上にも活用されています。オープンソースとは、誰でも利用・改良できる公開ソフトウェアであり、多くのサービスの基盤を支えています。
また、単にツールを提供するだけでなく、知見の共有も重視されています。Anthropicは最大1億ドル規模の利用クレジットを提供し、オープンソースのセキュリティ団体への資金支援も行っています。複数の組織が同じモデルを使い、対策を積み重ねていくことで、防御全体の底上げを狙った設計です。さらに、脆弱性の開示プロセスやソフトウェア更新の仕組み、開発段階でのセキュリティ設計といった運用面の見直しも必要とされています。
AIの能力を前提とした防御体制へ移行することは、もはや一部の企業だけの課題ではありません。インターネット全体の安全性に関わる問題として、どこまで対応できるかが問われています。
まとめ
いかがだったでしょうか？
AIは単なる効率化のツールにとどまらず、ソフトウェアの弱点を見つける領域にも広がっており、その影響は攻撃側にも及び始めています。その結果、サイバーセキュリティの前提そのものが変わりつつあり、Project Glasswingはこうした変化に対応するため、防御の仕組みを見直す取り組みの一つとして位置づけられます。今後は、AIの存在を前提としたセキュリティの考え方が求められていくでしょう。
参考記事：Project Glasswing