Anthropicは、オープンソースプロジェクト281件に対してClaude Mythos Previewを走らせ、脆弱性の候補23,019件を収集しました。このうち1,900件については外部セキュリティ企業がレビューを実施しています。メンテナーには1,596件の報告が届き、1,451件が受理されました。そのうち97件の修正が本流に反映され、88件の発見が正式なセキュリティアドバイザリとして公開されています(いずれも2026年5月22日時点の件数)。残る21,119件の候補については、Anthropic以外の誰もレビューしていません。
Anthropicはこの落差の原因を検証作業を担う人員の不足にあるとしています。実際にレビューを受けた分の結果もそれを裏付けています。1,900件のうち1,726件、比率にして90.8%が、実在する脆弱性であることが確認されました。これらの数字をまとめたソフトウェアサプライチェーン企業のEchoは、一つの留保を付け加えています。レビューに回された1,900件は、全候補からの無作為抽出とは考えにくく、90.8%という数字は「候補の中でも特に優れたものがどれほど良質だったか」を示しているに過ぎない可能性があるというのです。残る21,000件についての正解率は、Anthropicからまだ公表されていません。
深刻度評価はレビューに耐えなかった
88件のアドバイザリのうち27件にCVEが割り当てられています。Mythosはこのうち8件をCritical、15件をHigh、4件をMediumと評価し、Lowと評価したものはありませんでした。一方、独立したCVSS採点および影響を受けたメンテナー自身による評価では、内訳はCriticalが1件、Highが16件、Mediumが8件、Lowが2件と大きく異なる結果になりました。Mythosが下した8件のCritical評価のうち、実際にCriticalのまま残ったのは1件のみです。
格下げされた2件の事例は、モデルに見えていなかったものを浮き彫りにしています。Temporal Serverのケースでは、MythosはこれをCriticalと判定し、攻撃者が複数の名前空間にまたがってワークフローを掌握できると説明していました。しかしTemporalのメンテナーはこの問題を2.3、すなわちLowと採点しています。悪用には、すでに特権的な内部認証情報を保持する、攻撃者が制御可能な名前空間が前提として必要であり、影響範囲も既知のワークフローに限定されるためです。MinIOのケースでも、Mythosは再びCriticalと判定し、外部セキュリティ企業はHighとしましたが、MinIOはMediumで決着させました。攻撃には既存のクラスタrootのJWTが必要であり、可能なのも読み取りアクセスのみだったためです。深刻度はデプロイメント上の前提条件や権限の境界線、攻撃の成立条件次第で変わるものであり、こうした要素はソースコードだけから読み取るのが難しいのです。
あらかじめ深刻度が付与された状態で届く発見は、セキュリティチームにとってのトリアージ用の入力データにすぎません。CVEが付いた27件のうち14件で深刻度評価に食い違いがあり、そのうち13件は過大評価、残る1件、コマンドラインのJSON処理ツール「jq」の欠陥については過小評価でした。もしモデル自身の評価だけを基準にキューを並べていたら、本来上位に来るべきではない案件が最優先の位置に置かれていたことになります。
エクスプロイト成功率の急伸は本物だが、額面ほど広くはない
Anthropicは、Firefox 147に搭載されているJavaScriptエンジンSpiderMonkeyで過去に発見された既知の脆弱性50件をもとにベンチマークを構築し、各モデルに脆弱性1件あたり5回の試行機会を与えて、合計250回の試行を実施しました。Claude Mythos Previewは、既知のクラッシュを実際に動作する任意コード実行エクスプロイトへと変換することに181回、比率にして72.4%の試行で成功し、さらに29回の試行ではレジスタの部分的な制御を達成しました。
これに対しClaude Opus 4.6が成功したのはわずか2回、成功率にして1%を下回りました。世代間でおよそ90倍という飛躍的な差が生じたことになりますが、これには3つの条件が伴います。すべての試行は、誰かがすでに発見済みのクラッシュから開始している点、テスト環境がFirefoxのブラウザサンドボックスやその他の多層防御を取り除いた状態である点、そしてこの評価自体がAnthropicによって設計・実施されたものであり、第三者による独立した再現検証をまだ経ていない点です。
コスト面でも変化が見られました。Anthropicは、Linuxカーネルの既知のuse-after-free脆弱性を、推論コスト2,000ドル未満、実行時間1日未満で、実際に動作するroot権限奪取エクスプロイトへと変換しました。この際、カーネルのトラフィック制御スケジューラで新たに発見した2つ目のuse-after-freeと連鎖させています。とはいえ、対処に値する脆弱性を1件発見するにはなお数千ドル規模のコストがかかり、その結果が高深刻度あるいはCriticalレベルの欠陥である保証もありません。
Echoは2026年7月、米国のシニアセキュリティ責任者80名超を対象に調査を実施しました。この調査では、37%が修復能力を上回るペースで脆弱性が検出されてしまうことを、ソフトウェアサプライチェーンセキュリティ改善の最大の障壁として挙げました。また11%は、検出・スキャン機能の強化を次の投資先に据えると回答しています。Anthropicはこれまでに、手作業で確認済みでありながらメンテナーへ送付していない脆弱性も抱えています。理由は、Anthropic自身のチームおよび外部パートナーの双方に、それらを処理しきるだけのレビュー能力が不足しているためです。
翻訳元: https://www.helpnetsecurity.com/2026/09/04/echo-claude-mythos-vulnerability-findings/
