■Mythos？

"AIがプログラムのバグや弱点を見つけて、攻撃方法まで考える"

容易に想像していた未来ですが、現実のものとなりました。
特に最近セキュリティ界隈で話題に上がるのは「Mythos」、「Claude Mythos」、「Claude Mythos Preview」です。
※本記事では都合上Mythosで統一しますが、厳密にはそれぞれ違いがありますのでご留意ください。


いま「Mythos」がセキュリティ界隈で話題なのは、

AIが"コード補助"ではなく、実際に攻撃研究者レベルの動きを始めた

と言われている(もしくはそうした結果がすでに出ている)からです。

特に AI (Mythos) × 脆弱性 で最近のトピックとして挙がるのは以下の4つです。

---

1. 脆弱性発見能力

Mythos は大量のコードを解析して、

• メモリ関連
• 競合関連の脆弱性
• ロジック設計の脆弱性

という複雑な脆弱性を自動で見つけることが可能です。

従来の「既知パターン検出」より、人間に近い探索型になってきたのが大きな変化です。
とはいえ、大量のコードを解析できる時点で人力よりリードしてる感はありますね。
特に他人が書いたコードって読みにくかったりしますし。

2. exploit chain の自動生成

単一の脆弱性のみではなく、攻撃のフローである

• 初期侵入
• 権限昇格
• サンドボックス回避

などを理解する能力にも長けています。

最近では Mythos を使って macOS の防御機構を突破した研究が話題になりました。

macOSはそもそも権限管理がかなり堅牢で、端末を守る為のセキュリティソフトであっても保護を行うことが難しい側面があります。
それすらも突破してしまうというのは非常に高い水準の能力を持っていることが伝わってきます。

3. ゼロデイ探索

AIが攻撃に関与することで、一番インパクトが大きい部分かもしれません。

• パッチ差分解析（更新前後のコード比較）
• ファジング（異常入力による脆弱性探索）
• 実行経路解析（コードの動作追跡）

を高速でトライして、未公開の脆弱性（ゼロデイ）を見つけることも可能です。
ただでさえ対応することが難しいゼロデイ攻撃が一気に大量に発生する。といえばイメージしやすいでしょうか。


まとめるとこんな感じです。

---

こうした背景から、攻撃側と防御側双方がAIを使い始めています。

例えばAI agent に

• reconnaissance（対象環境の情報収集）
• 脆弱性探索（弱点や不備の発見）
• exploit生成（攻撃コードの作成）
• lateral movement（内部ネットワーク内での横展開）

みたいな攻撃のテストをさせて利用しています。

こうした流れの中で特に問題視されているのはAIによって攻撃コストが大幅に下がり、攻撃手法の開発も高速化していることです。
これまで高度な知識が必要だった攻撃手法をより低レベルの攻撃者でも扱いやすくなり、「攻撃の量」そのものの急増が懸念されています。

---

■どう対応していく？

対応を難しくしている要素は、
脆弱性発見から攻撃手法化までのスピードが急激に短くなっている
という点です。

また、最近はpatch 公開直後の攻撃への転用、AI によるゼロデイ探索、攻撃チェーンの自動生成
が現実的になってきており、従来の"後追い型"や"気づいた時運用"では対応が難しくなっています。

これから重要なのは、
・きめ細かく短いスパンで行われるリスクアセスメント
・迅速なパッチ適用による脆弱性対応
・端末の厳格なルール/ポリシー管理によるガバナンス強化

です。

さらにこれらを実現するうえで人力というアンサーは既に最適解ではなくなっています。
Autonomous Endpoint Managementという、自律型のエンドポイントのセキュリティ管理が必要になります。

AI によって攻撃側が高速化する時代だからこそ、防御側にも "Autonomous" な運用基盤が求められている。
または"Autonomous" が前提条件となる時代になったという事だと思います。

最近ではエンドポイントセキュリティ製品や資産管理系の製品が、
そういった部分にも着目し端末内に残る脆弱性の確認やパッチ適用などもできるようにしていたりします。

しかしながら、
現実的に考えて、それらはあくまでほかの分野(レジリエンス部分)をメインにして、オプション的にハイジーンも少しできる
という形になってしまいがちです。
もちろん保護という観点ではレジリエンスを考えることは決して間違いではありませんが、その場合ハイジーン部分は対応のスピード感や資産の管理性能。またはハイジーンを行う際のリソース効率や最適化などに課題を抱えてしまいがちです。

レジリエンス部分はレジリエンスが得意な製品に。
サイバーハイジーン部分はサイバーハイジーンを本職としている製品にしっかりと任せる。

という使い方が一番安全な考え方かもしれません。

---

■最後に

Mythosを起点にサイバーハイジーンを考える記事でした。
ご一読いただき、ありがとうございました。

---

※本ブログの内容は投稿時点での情報となります。今後アップデートが重なるにつれ
　正確性、最新性、完全性は保証できませんのでご了承ください。