米国 CISA が Anthropic Mythos を活用：政府ソフトウェアの脆弱性監査を強化

US Cyber Agency Uses Anthropic Mythos to Audit Government Code for Bugs

2026/07/06 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、政府ソフトウェアの脆弱性を監査するために、Anthropic の高度な AI モデル Mythos の使用を開始した。これは、AI 支援型サイバー防御活動への大きな転換を示すものである。この取り組みに詳しい情報筋によると、CISA は Mythos を展開し、連邦政府のコード・リポジトリを体系的にスキャンすることで、外国の敵対勢力またはサイバー犯罪グループに悪用される可能性のあるセキュリティ上の欠陥を特定している。

米国のサイバー機関が Anthropic Mythos を利用

ソフトウェア・サプライチェーンのセキュリティを強化し、重要システムに存在する悪用可能な弱点をプロアクティブに検出するために、政府が AI 駆動型ツールへの依存度を高めている状況が示されている。

連邦政府のインフラ全体を対象に、ペネトレーションテスト／レッドチーム活動／包括的なセキュリティ評価を実施する、CISA の専門部門である Attack Surface Evaluation (ASE) チームが、この監査を実施していると報じられている。ASE チームは、Mythos をワークフローへ統合することで、大規模なコード分析を自動化し、安全ではないコーディングパターン／ミスコンフィグ／潜在的なゼロデイ脆弱性を含む脆弱性の特定を迅速化している。

ロイター通信によると、AI 支援型レビューにより、すでに相当数の脆弱性が発見されたと、2 人の情報筋が述べているという。ただし、深刻度／影響を受けるシステム／修正スケジュールに関する具体的な詳細は、依然として公表されていない。

スキャン作業の正確な規模は不明である。しかし、Mythos の利用から見て取れるのは、脆弱性の発見やエクスプロイトのシミュレーションといった、攻撃者視点でのセキュリティ分析を可能にするために、AI モデルを採用していくという傾向である。

Mythos は、複雑な攻撃パスの特定や、複数の弱点を組み合わせた攻撃経路の分析において有効であると説明されている。過去において、こうした能力を発揮するためには、経験豊富なセキュリティ研究者による多大な手作業が必要であった。したがって、このツールは、広大かつ多様なコードベースを管理する連邦サイバー防御チームにとって、能力を増幅する手段として位置付けられている。

この動きは、Anthropic と米国政府の複雑かつ変化し続ける関係の中で発生している。自律型兵器システムや国内監視プログラムでの、AI モデルの使用を防止する安全措置の解除を、今年の初めに Anthropic が拒否したことで、両者の間で緊張が高まった。

これを受けて、Pentagon (国防総省) は、コンプライアンスおよび運用管理上の懸念を理由に、同社に対してサプライチェーンリスク指定を正式に発行し、同社の技術の利用を阻止した。しかし、その後に、この指定が連邦判事により差し止められたことで、Anthropic のツールとの限定的な連携が再開されることになった。

その後の展開は、両者の関係が徐々に正常化していることを示しており、National Security Agency (NSA) を含む情報機関は、遅くとも 2026年4月以降に、機密環境下で Mythos の評価を実施していると報じられている。また、初期のフィードバックでは、サイバーセキュリティ分野での用途における高い性能が示された。

当初の制限にもかかわらず、政府内での内部評価により、脆弱性調査と脅威分析における、同モデルの有用性に対する信頼が高まったようである。その一方で、Mythos の一般向けバージョンである Fable を、Anthropic がリリースしたことで状況が複雑化している。ホワイトハウスでは、外国勢力による悪用可能性をめぐり、政策上の懸念が生じた。

これにより、一時的な輸出規制およびアクセス制限が導入され、同モデルのグローバル展開が一時的に停止されたが、これらの制限は 6月下旬に解除された。この出来事が浮き彫りにしたのは、イノベーション／国家安全保障／AI ガバナンスの間において、緊張関係が継続している点である。

そして、今回の CISA による Mythos の採用が示すのは、連邦政府のサイバーセキュリティ・オペレーションにおいて、特にプロアクティブな脆弱性発見に最先端の AI を統合するという、最終的な戦略的転換である。脅威アクターによるソフトウェア脆弱性の大規模な悪用が増加する中、政府および重要インフラ分野における防御的サイバー戦略において、AI 駆動型監査ツールの活用が中核となっていく可能性がある。

訳者後書：この記事が示すのは、CISA が AI モデルを活用して、政府のソフトウェアに対する監査を開始した背景です。今回の取り組みの中心にあるのは、広大で多様なコードベースにおいては、 安全ではないコーディングパターン／ミスコンフィグ／ 潜在的なゼロデイ脆弱性が残ってしまい、人間による手作業のコード分析や脆弱性の特定では対処しきれないという現実です。従来の手法では、複雑な攻撃経路を網羅することが難しく、悪用可能なセキュリティ上の欠陥が残存する原因を生み出していました。こうした防御側のコード管理の盲点を、敵対勢力に悪用される前に、AI で自動分析して迅速に解消することが、今後のセキュリティ対策において非常に重要になります。