スキャン規模と検証プロセス
Claude Mythos Previewは約50社のパートナーとともに、1,000超のオープンソースプロジェクトをスキャンした。そのうち高・重大度と評価された6,202件のうち1,752件を、6つの独立したセキュリティ研究機関またはAnthropicが直接レビュー。90.6%が有効な脆弱性と確認され、62.4%が高・重大度として裏付けられた。偽陽性率の低さは、Mythosのスキャン精度が従来手法を大幅に上回ることを示している。

パッチ適用の現実——530件開示で75件のみ修正
Anthropicが高・重大度バグとして外部に開示したのは530件。しかしパッチが適用されたのはわずか75件、公開セキュリティ勧告が出たのは65件にとどまる。発見率が劇的に向上した一方で、修正・適用の速度が追いついていないことが数字から明らかだ。Palo Alto Networksは最新リリースで通常の5倍以上のパッチを含めたが、それでも追いつかない状況が続いている。

Cloudflare——「10倍の発見率」の意味
Cloudflareは世界のインターネットトラフィックの約20%を処理するクリティカルなインフラだ。そのCloudflareが重要システムで2,000件のバグを発見し、そのうち400件が高・重大度だったという事実は、世界規模のインフラに深刻な脆弱性が潜在していたことを示す。発見率が10倍以上に増加しながら偽陽性が減少したという点は、Mythosのスキャン精度が単なる量的増加ではないことを示している。

Mozilla——「271件のFirefox脆弱性」という数字の重み
MozillaはFirefox 150において271件の脆弱性を特定し修正した。これを以前の評価で使用したClaude Opus 4.6の結果と比較し「大幅に検出率が向上した」と報告した。Firefoxは世界で数億人が使用するブラウザだ。これらの脆弱性が修正されずにいた場合のリスクは計り知れない。

銀行パートナー——150万ドルの不正送金阻止という「リアルワールド防御」
脆弱性発見だけでなく、リアルタイムの不正検知においてもMythosが機能したことが確認された。攻撃者が顧客のメールアカウントを侵害した上で偽の電話を使い、150万ドルの不正送金を実行しようとしたケースをMythosが検知・阻止した。これは「脆弱性スキャン」という枠を超えて、AIが金融犯罪の「行動パターン検知」にも機能することを実証した初めての公式事例だ。

wolfSSLとは何か
wolfSSLは世界で数十億台のデバイスに組み込まれているオープンソースの暗号ライブラリだ。IoTデバイス・自動車・産業システム・組み込み機器など、インターネットに接続するあらゆる機器のセキュリティ基盤として機能している。

発見された脆弱性——攻撃者が偽の銀行サイトを「本物に見せる」ことができた
Mythos Previewが構築したエクスプロイトにより、攻撃者はSSL証明書を偽造し、銀行やメールプロバイダーの偽サイトを「完全に正規に見える」形でホストできることが判明した。エンドユーザーはブラウザの「鍵マーク」を見ても偽サイトを見抜けない。これはフィッシング詐欺・認証情報の窃取・中間者攻撃を劇的に容易にする深刻な脆弱性だ。

現在の状況——修正済み、完全技術分析は近日公開
この脆弱性はCVE-2026-5194として登録され、wolfSSL側でパッチが適用済みだ。Anthropicは「近日中に完全な技術分析を公開する」と発表した。

「カレンダー速度 vs. マシン速度」という根本的な非対称性
Anthropicの公式ブログは「進歩はもはや脆弱性を発見できる速度によって制限されていない。今や検証・開示・パッチ適用という大量の脆弱性に対応できる速度によって制限されている」と明記した。Mythosは機械の速度で脆弱性を発見するが、それを検証・修正するのは人間だ。人間はカレンダー速度でしか動けない。この非対称性が、Glasswingの最大の課題として浮上した。

平均パッチ適用まで2週間——攻撃者はその間に動ける
Anthropicによると、Mythosが発見した高・重大度バグが修正されるまでの平均期間は2週間だ。この2週間の間、脆弱性情報は開示プロセスの中にあり、攻撃者がそれを知れば悪用できる。「発見から修正まで」の時間を短縮する仕組みの整備が、Glasswingの次のフェーズの課題だ。

セキュリティ研究者・開発者への新たな負荷
PicusSecurity（サイバーセキュリティ専門機関）は「さらなる発見事項をすでに過負荷なプロセスに追加することは、何も解決しない」と指摘した。Glasswingが成功するかどうかは、脆弱性発見だけでなく「修正のパイプライン」をAIが支援できるかどうかにかかっている。

Anthropicが言ったこと——「広範なアクセスを検討」
Interesting Engineeringによると、Anthropicは「より強固な安全策を開発した後、Mythosクラスのシステムへのより広範なアクセスを検討しながら、追加のパートナーや政府とのGlasswingを拡大している」と述べた。これは「検討（considering）」という言葉であり、「公開する（will release）」ではない。

Anthropicが言わなかったこと——スケジュール・対象・条件
具体的なスケジュール、対象範囲（一般公開なのか、認定パートナーの拡大なのか）、必要な安全策の内容——これらは一切言及されていない。WaveSpeedAIのまとめによると「現時点でMythos Previewは招待制のみで、Anthropicは現段階での一般公開を予定していないと述べている」という状況は変わっていない。

「Mythosクラスの能力」とは何を指すのか
Petronella Cybersecurityは「MythosのCapabilityはいずれ次のOpusリリースに受け継がれる」という見方を示している。つまり「Mythos自体を一般公開する」のではなく、「Mythosで実証された能力を将来の公開モデルに統合する」という形での「広範アクセス」が現実的なシナリオとして考えられる。

7月のサマリーレポートが次のチェックポイント
VulnCheckによると、Anthropicは完全な公開サマリーレポートを2026年7月ごろ公開する予定だ。このレポートで発見・修正・共有された脆弱性の全体像が明らかになる。同時に「広範アクセス」に向けた安全策の進捗も、このレポートで確認できる可能性がある。

Cloudflareの10倍発見率、Mozillaの271件修正、銀行の150万ドル不正送金阻止——これらは「MythosがProject Glasswingの目的を果たしている」ことを示す。wolfSSL CVE-2026-5194のような数十億台に影響する脆弱性が発見・修正されたことは、Glasswingがなければ見つからなかった可能性が高い。

しかし問題は残る。AIが機械の速度で脆弱性を発見する一方、人間はカレンダー速度でしか修正できない。この非対称性を解消しない限り、Glasswingは「世界中の未修正脆弱性リストを増やす仕組み」になりかねない。

Anthropicが示した「Mythosクラスの広範アクセス」への言及は、この問題への答えを持った上で次のフェーズに進む意志の表明だ。7月のサマリーレポートが、その答えの輪郭を示す最初の機会になる。日本の3メガバンクが5月末にアクセスを取得するタイミングと重なるこの夏が、日本のAIサイバー防衛の実質的なスタートラインだ。