新AI Mythos利用企業で脆弱性開示が2.2倍に増加？修正遅れは見られず

2026年11月12日

新AI Mythosを早期利用した企業で、脆弱性開示が比較対象に対して約2.2倍になったとする研究が注目されています。一方、脆弱性の修正が遅れたという統計的な証拠は確認されていません。ただし、研究は査読前であり、開示件数の増加がそのまま製品やサービスの安全性向上を意味するわけではありません。数字の意味や調査の限界、企業や利用者が確認したいポイントを解説します。

新AI Mythosの利用企業で脆弱性開示が増加

アンソロピックのAIモデル「Claude Mythos Preview」を早期に利用した企業では、ソフトウェアの脆弱性開示が増えたとする研究が公表されました。研究者が比較したところ、利用企業の開示件数は、比較対象となった中国企業に比べて相対的に約120％増加したと推計されています。つまり、基準となる件数を100とすると約220に相当し、「約2.2倍」という表現になります。

影響度の高い脆弱性についても、開示が約150％増えたとの推計が示されています。ただし、これは脆弱性が必ず2.5倍発見された、あるいは被害が減ったという意味ではありません。研究が扱うのは、公開された脆弱性の件数です。発見されても公表されなかった問題や、利用者が修正プログラムを適用したかどうかは、同じ数字からは分かりません。

数字の大きさだけを見ると、AIが脆弱性の発見を一気に加速させたように感じるかもしれません。しかし、利用企業の選ばれ方や各国の公表慣行なども結果に影響し得ます。ニュース解説として押さえておきたいのは、約2.2倍という値が研究上の比較推計であり、すべての企業に同じ効果が生じると確かめられたわけではない点です。

研究の対象と比較方法

研究は、Claude Mythos Previewへの早期アクセスを得た企業13社と、中国企業267社を対象に、2025年10月から2026年9月までの脆弱性開示を比較したものです。研究者のトーマス・モスク氏が2026年11月4日に公開したプレプリントに基づいています。プレプリントとは、学術誌などで査読を受ける前に公表される論文のことで、第三者による検証や修正が今後行われる可能性があります。

調査項目	研究で示された内容	読み取る際の注意点
対象企業	早期利用企業13社、中国企業267社	企業数や選定方法に差がある
比較期間	2025年10月〜2026年9月	調査期間内の公開情報が対象
脆弱性の開示	相対的に約120％増	公開された件数の比較
影響度の高い開示	約150％増との推計	すべての深刻な問題を網羅するとは限らない
修正までの期間	統計的に明確な遅延は確認されず	小さな遅延の可能性までは否定できない

比較対象の中国企業が、同じAIを利用できなかったことだけで、結果をAIの効果と断定することはできません。研究は無作為に企業を割り当てた実験ではなく、早期利用企業には、もともとセキュリティ体制や開示への積極性が高い企業が選ばれた可能性があります。また、中国と他国では脆弱性を公表する慣行が異なるかもしれません。こうした条件の違いを踏まえ、結果は強い因果関係の証明ではなく、今後検証すべき兆候として読む必要があります。

脆弱性開示が増えた理由とAIの役割

AIがソフトウェアのコードを調べ、問題の候補を見つける能力を高めれば、従来は見落とされていた欠陥が報告される機会も増えると考えられます。開発者がコードを確認する作業を支援したり、修正案の検討を早めたりできれば、脆弱性の発見から報告までの流れが変わる可能性があります。今回の開示増加は、そうしたAI活用の可能性を示す結果の一つです。

ただし、開示件数の増加はAIだけで説明できるとは限りません。セキュリティ担当者の増員や調査活動の強化、企業の報告方針の変更、外部研究者との連携などでも、公表される件数は変わります。AIの利用が始まった時期と開示の増加が重なったとしても、それだけでAIが増加を引き起こしたと確定することはできません。

また、脆弱性の「発見」と「開示」は別の段階です。企業が内部で問題を見つけても、影響範囲の確認や修正準備のために、公表を後にする場合があります。反対に、同じ期間に複数の問題がまとめて公開されれば、開示件数が一時的に増えることもあります。AIの効果を評価するには、件数だけでなく、発見から修正までの時間や、修正後の利用状況もあわせて見る必要があります。

修正遅れは確認されず、ただし小さな影響は不明

研究では、脆弱性の発見や報告が増えた一方、修正までの期間が統計的に明確に延びたとは確認されませんでした。修正が追いつかず、脆弱性の放置期間が大きく伸びたと示す結果ではなかった点は、企業のセキュリティ担当者にとって注目すべきところです。ただし、「遅れがなかった」と完全に証明されたわけではありません。

修正までの期間を評価するため、研究では複数のデータ群が分析されました。ベンダーに報告された658件の脆弱性や、Debian、Ubuntu、Red Hat、SUSEなどが追跡した1万4,855件が対象に含まれています。Linuxディストリビューションで修正までの中央値は1日のままでした。一方、ベンダー側の分析では、約13％を超える遅れは確認できないとされており、より小さな変化があった可能性は残ります。

さらに、90日以内に修正された割合が約11ポイント低下した可能性も、研究の結果だけでは排除できないとされています。つまり、全体として大きな修正遅れは示されなかったものの、影響の小さい遅延や一部の製品での滞留まで否定する材料はありません。脆弱性のランキングや件数だけで安心せず、実際の修正状況を個別に追うことが重要です。

企業が修正状況を確認するときのポイント

AIによる発見数が増えても、組織の対応手順が整っていなければ、利用者のリスクは下がりません。企業は、次のような指標を継続して確認するとよいでしょう。

脆弱性の発見から担当部署への通知までにかかった時間
重要度別の修正完了までの期間
修正プログラムの公開後、社内システムへ適用されるまでの時間
修正できない機器やシステムに対する代替策の有無
AIが作成・提案した修正内容を人間が検証した記録

研究結果の限界と悪用リスク

今回の研究は、公開された情報をもとに脆弱性の開示や修正状況を分析しています。そのため、公表されていない脆弱性の発見数や、攻撃者がすでに悪用しているかどうかを漏れなく把握したものではありません。開示された件数が増えても、未公表の問題が同時にどれだけ存在したかは、この分析だけから判断できません。

悪用された脆弱性の件数については、統計的に有意な変化が確認されなかったとされています。また、開示された脆弱性全体に占める悪用事例の割合が低く見える比較もありますが、開示の母数が増えれば割合が下がる可能性があります。そのため、研究者はこれを明確な安全性向上の証拠ではなく、慎重に扱うべき示唆として位置付けています。

AIによる脆弱性調査には、守る側だけでなく攻撃する側も利用できるという課題があります。発見が速くなれば、修正や防御を早められる一方、悪用可能な問題を見つける手段として使われるおそれもあります。企業には、AIの利用ルールやアクセス管理、発見内容の報告先、修正前の情報を扱う手順などを整えることが求められます。開示件数の増加を歓迎するだけでなく、情報を安全に修正へつなぐ体制があるかを確かめる必要があります。

仮想通貨や重要インフラへの影響

仮想通貨の取引所、ウォレット、ブロックチェーンのノードなども、ソフトウェアの脆弱性と無縁ではありません。サービスを支えるプログラムに問題があれば、資産の保管や送金、ネットワークの運用に影響が及ぶ可能性があります。そのため、新AI Mythosによる脆弱性開示の増加は、一般企業だけでなく、金融や仮想通貨に関わる組織にとっても参考になる動きです。

ただし、脆弱性が公表されたことと、仮想通貨サービスが安全になったことは同じではありません。発見された問題が修正され、修正プログラムが公開され、その後に各事業者や利用者が適用するまでには段階があります。たとえばノード運営者が更新を適用していなければ、修正情報が公開されていても、実際の環境には古いソフトウェアが残ることがあります。

事業者を利用する側は、AIを導入しているかどうかだけで安全性を判断するのではなく、セキュリティ情報の公開、障害や脆弱性への対応方針、ソフトウェアの更新状況などを確認するのが現実的です。企業側も、脆弱性の発見件数を成果として示すだけでなく、修正完了率や対応に要した期間を説明できる体制が望まれます。AIの能力を、実際の防御につなげられているかが問われます。

AI利用企業が今後確認すべきこと

今回の研究から得られる実務的な教訓は、AIを導入すること自体よりも、発見した問題を適切に処理する仕組みが重要だということです。AIが多くの脆弱性候補を提示しても、誤検知の確認、影響範囲の評価、修正の優先順位付けができなければ、担当者の負荷だけが増える可能性があります。開示件数の多さを目標にするのではなく、リスクを減らす成果を測る必要があります。

導入前には、AIへ入力するソースコードや機密情報の扱いを定め、利用できる担当者や環境を管理します。導入後は、AIの出力を人間が確認し、誤った修正や別の不具合を招かないようテストすることが欠かせません。特に、外部サービスにコードを送信する場合は、データの保存や再利用の条件、アクセス権限、監査記録を確認しておきましょう。

実務では、以下のような観点を定期的に見直すと、AIの活用を安全性の向上につなげやすくなります。