OpenAIのモデルが暴走し、メッセージボードを作成し、Hugging Faceに侵入するという事態が確認されましたが、Booz Allenのテストにおいて、フルサイバーキルチェーンを自律的に完遂できた先進AIモデルはAnthropicの「Claude Mythos」ただ一つでした。
とはいえ、これは自律型AI攻撃が過大評価されているという意味ではありません。なお、今回テストされたモデルには、OpenAIが近く公開予定の「Astra」は含まれていない点にも注意が必要です。OpenAIは火曜日、Astraが「重大」なサイバーセキュリティ能力の閾値に到達したと発表しています。これは、新モデルがゼロデイの脆弱性を発見・悪用する能力に非常に長けており、悪意あるユーザーだけでなく、モデル自身が「整合性を欠いた」場合に有害なサイバー行動を実行しうるという点で、重要インフラに重大なリスクをもたらすことを意味します。
Booz Allenは、今回テストしたその他17の米国・中国製モデルの大半が、6カ月以内にMythosと同水準の兵器化に到達すると見ています。そして、身代金要求型犯罪グループのような金銭目的の攻撃者と、政府の後ろ盾を持つ攻撃者の双方による主流のAI攻撃は「差し迫っている」と警告しています。
このコンサルティング・技術企業は、初の「Cyber Weapon Index(サイバー兵器指数)」の中で、重要インフラに対しAI対応型攻撃への耐性を実証させるための、分野別の期限を米国が設定・執行するよう求めています。この背景には半自律型AIエージェントによる攻撃の存在があります。またBooz Allenは、サイバー攻撃・防御の両面で米国が「オーバーマッチ(圧倒的優位)」と呼ぶ状態を構築するべきだとも訴えています。
報告書は次のように述べています。「われわれは、認可されたオフェンシブサイバー作戦を加速するエージェント型能力を積極的に開発すると同時に、マシンスピードで検知・判断・対応するAI対応型防御を構築しなければなりません。戦略的な好機は、この両方を制することにあります。米国は敵対勢力に代償を強いる能力を持ちながら、自国のシステムをより迅速に防御し、侵害されにくく、攻撃を受けてもより強靭なものにできるのです」
Cyber Weapon Indexでは、米国企業9社・中国企業9社が開発した計18モデルを同一条件下で評価し、脆弱性の特定、攻撃能力の作成、攻撃の実行をどれだけ自律的に行えるかを採点しました。各モデルのCWIスコアは、モデルが仕込まれた脆弱性および/または未知の脆弱性を特定できるかを測定する脆弱性調査スコア(VRS)と、認証情報の有無それぞれの条件下でテストされ、エンドツーエンドの侵入をどこまで進められたかに基づいて点数化されるキルチェーン到達スコア(KCAS)を組み合わせたものです。
Cyber Weapon Indexのスコア
CWIスコアの高い順に並べた18モデルは以下の通りです。Anthropicの「Claude Mythos」(80)、xAIの「Grok-4.5」(49)、OpenAIの「GPT-5.6 Sol」(46)、Metaの「Muse Spark 1.1」(38)、Moonshot AIの「Kimi K3」(38)、Z.aiの「GLM-5.2」(37)、Anthropicの「Claude Opus 4.8」(36)、OpenAIの「GPT-5.5-Cyber」(34)、Nvidiaの「Nemotron-Ultra」(33)、「DeepSeek-V4-Pro」(23)、「DeepSeek-V4-Flash」(17)、Alibabaの「Qwen3.5-397B」(17)、「MiniMax-M3」(15)、Nvidiaの「Nemotron-Super」(15)、Anthropicの「Claude Sonnet 5」(13)、Z.aiの「GLM-4.5-Air」(11)、Alibabaの「Qwen3.6-35B」(9)、Alibabaの「Qwen3-Coder」(4)です。
Claude Mythosの成績は際立っており、自律型AI攻撃に対する見方によっては、印象的とも憂慮すべきとも言える結果でした。テスト担当者が盗まれた従業員の認証情報を与えたところ、Claude Mythosは毎回、標的ネットワークへの侵入とアドミニストレーター権限の獲得に成功しました。さらに、あらかじめ定められた攻撃計画に従うのではなく、ネットワーク内で発見した情報をもとに、より高い権限を得る方法を自ら特定しました。
認証情報がない状態でも、Claude Mythosはネットワークへのアクセスに成功し、最終的にはドメイン全体の完全な侵害に至りました。
人間の補助を一切受けずにサイバーキルチェーン全体を実行し切ったのはClaude Mythosのみでしたが、他に3モデル(「Grok-4.5」「Muse Spark 1.1」「GLM-5.2」)がドメインへの完全なアクセスと制御に到達しました。また、「GPT-5.6 Sol」「Kimi K3」「GPT-5.5-Cyber」「DeepSeek-V4-Pro」の4モデルは、制御されたネットワーク環境内での横方向移動を達成しています。
「Claude Opus 4.8」と「Qwen3.5-397B」は認証情報を取得し、それによってアクセス権限を拡大できました。そして「Qwen3-Coder」を除く全モデルが、ネットワークへの初期アクセスを自律的に獲得しています。
先進モデルはオフェンシブなサイバー能力に非常に長けている一方、報告書によれば「その実際の影響は、モデルが直面する脆弱性や、それを取り巻くシステムに大きく左右される」といいます。
テスト担当者が意図的に脆弱性を仕込んだ場合、米国製・中国製、オープンウェイト・クローズドを問わず、すべてのモデルがVRS項目でほぼ満点に近いスコアを記録しました。しかし、実際の脆弱性に対してテストしたところ、フロンティアAPIモデル9つはすべてゼロ点でした。名前が明かされていないある主要モデルは、脆弱なコンポーネントを正しく分析したにもかかわらず、それを「安全」と判断して見送りました。これを実際に悪用できたのはClaude Mythosだけでした。
執筆者らは次のように記しています。「この能力の集中は、国家安全保障上の急務を生み出しています。最も高度なモデルを保護し、その中でも最もリスクの高いサイバー能力が敵対勢力によって実運用されないようにしなければなりません」
Booz Allenは、これが防御側にとって攻撃側を上回る好機の残る数少ない領域の一つだと指摘します。「実世界における攻撃能力は、いまだベンチマーク上の性能に及んでいません。これは、その差が縮まる前に防御を強化するための貴重な時間を、防御側に与えているということです」
攻撃ハーネスが重要な理由
もう一つの興味深い発見は、攻撃ハーネス自体がモデル本体と同等、あるいはそれ以上に重要だという点です。攻撃ハーネスとは、モデルとハッキングツールを結びつけるソフトウェアと、AIモデルを包み込みオフェンシブなサイバー行動を自動化するオーケストレーションロジックを指します。執筆者らによれば、これがモデルの集中力の維持、状況に応じた適応・方針転換、失敗からの回復、そして個々の行動を多段階攻撃へとつなげる能力を「劇的に増幅させ」得るといいます。
報告書はこう述べています。「その結果生まれるのは『より賢い』モデルではなく、モデルの知能をはるかに実行可能な形にし、同時にそれを使いこなすために必要な専門知識のハードルを下げるシステムです。今回のテストではその効果が実証されました。攻撃ハーネスと組み合わせた場合、Claude SonnetはClaude Mythosに匹敵する性能を示したのです」
ただし、これは同時に一つの盲点も明らかにしていると執筆者らは指摘します。Booz Allenによれば、「オープンウェイトモデルや中国製モデルを最適化された攻撃ハーネスと組み合わせた場合の、フルキルチェーンにおける能力の全容はまだ把握できていません。しかし今回の結果は、完全な能力を備えたモデルとハーネスの組み合わせがすでに存在することを強く示唆しています」
同様に、今回の指数の結果からは、中国のフロンティアモデルおよびオープンウェイトモデルが、依然として米国の主要フロンティアモデルには一歩及ばないものの、オフェンシブなセキュリティ能力においてそれほど大きく後れを取っておらず、実際の攻撃に投入され得ることも示唆されています。
報告書はこう結んでいます。「これは、米国が直面しうる能力を管理下に置くことも、完全に把握することもできない可能性があるということを意味します。そして、サイバーエージェントがより自律的になるにつれ、防御側は意図的な攻撃だけでなく、当初の任務範囲を超えて動作したり、敵対勢力の制御を離れて稼働を続けたりするエージェントにも備えなければなりません」®
