AnthropicのClaude Mythos Previewは、初期侵入から連鎖的な脆弱性悪用、ネットワーク内の横断移動を経て、あらかじめ定義された侵害目標の達成までを一貫して完了させるエンドツーエンドの企業侵入シミュレーション能力を実証しました。
この結果は、最先端モデルのサイバー能力における重大な転換点を示しています。同モデルは単発のCTF形式タスクを解いただけではなく、防御が不十分な企業環境に一般的に見られる複数の弱点を自律的に結び付けて攻撃を成立させたのです。
この知見は、Anthropicの2026年4月付「Claude Mythos Preview System Card」に記載されており、同社は本モデルを同社史上最もサイバー能力の高いリリースだと説明しています。
Anthropicによると、このモデルは一般公開されておらず、代わりに「Project Glasswing」と呼ばれる防御目的のプログラムのもと、限定的な審査済みサイバーセキュリティパートナーにのみ提供されているとのことです。
外部評価者は、初期段階のClaude MythosPreviewのスナップショットを、非公開のサイバーレンジやCapture the Flag(CTF)環境、サンドボックスエスケープのシナリオにわたってテストしました。
Anthropicによると、Mythosは非公開のサイバーレンジの一つをエンドツーエンドで解決した初の評価対象モデルとなり、熟練オペレーターでも完了に10時間以上を要すると推定される企業ネットワークへの攻撃シミュレーションを自律的に完遂したとのことです。
この企業向けレンジは、古いソフトウェアやセキュリティ設定の不備、認証情報の使い回しなど、実際の運用環境で頻繁に見られる弱点を反映するように設計されています。
データの窃取や機器の妨害といった最終目標に到達するために、エージェントは複数のホストとネットワークセグメントにまたがる、相互に依存し合う一連の行動を特定し実行する必要がありました。
実務的に言えば、これは同システムが偵察・アクセス・脆弱性悪用・横断移動・目標達成を切り離された作業として扱うのではなく、侵入チェーン全体を通じて推論できることを意味します。
エンドツーエンドの侵入
報告書には詳細な段階別の攻撃経路は公開されていませんが、完遂されたシミュレーションからは、エージェントが露出した弱点を特定し、アクセスを検証したうえで、到達可能なシステムを列挙するという大まかなシナリオがうかがえます。
こうした一連の作業には通常、持続的なコンテキスト管理、ツールの活用、証拠に基づくトリアージ、そして成果の出ない経路を見切って放棄する判断力が求められます。
GitHubの研究者らによると、Anthropicは、Claude Mythos Previewがほぼすべてのcbenchのようなの評価をほぼ飽和状態(saturate)にまで解き切ったため、従来型のベンチマーク結果は情報としての有用性が薄れつつあるとしています。
35問構成のCybenchサブセットでは、同モデルは全テスト課題において100%のpass@1を達成し、各課題につき10回の試行が行われました。
また、これまでに公開済みの脆弱性を実際のオープンソースプロジェクトで狙い撃ちして再現する能力を測定する、1,507タスク規模のベンチマーク「CyberGym」でも、より高い性能を示しました。
Claude Mythos Previewのpass@1スコアは0.83で、Claude Opus 4.6の0.67、Claude Sonnet 4.6の0.65を上回りました。
同モデルは、Firefox 147の評価でも高度なエクスプロイト開発能力を示しました。
クラッシュのカテゴリー情報と制約されたSpiderMonkey環境が与えられると、Mythosは悪用可能なバグを確実にトリアージし、任意コード実行に至る概念実証(PoC)エクスプロイトを開発しました。
Anthropicによると、同社はこの過程で4件の異なるバグを首尾よく悪用できた一方、Opus 4.6が確実に悪用できたのは1件のみだったとのことです。
報告書は、この結果をもってAIが強固に防御された企業を自律的に侵害できる証拠だと解釈しないよう注意を促しています。
今回攻略に成功した企業向けレンジは、防御態勢が弱く、監視も最小限で、能動的な防御策がなく、対応能力も遅い小規模なネットワークを想定したものでした。
このレンジには、成熟した本番環境で想定される防御層の多くも欠けていました。
Claude Mythos Previewは、別の運用技術(OT)向けサイバーレンジの攻略には失敗し、適切に設定され完全にパッチが適用されたサンドボックスにおいて新規のエクスプロイトを発見することもできませんでした。
これらの失敗は、高度なセグメンテーション、迅速なパッチ適用、認証情報の適切な管理、エンドポイントのテレメトリ、そして能動的な検知が、自律的な侵入攻撃に対して依然として有意な障壁になっていることを裏付けています。
防御側にとって最大の懸念は、攻撃ライフサイクルの圧縮です。能力の高いエージェントは、脆弱性データの相関分析、攻撃仮説の検証、実行可能な経路の特定、悪用可能な条件の優先順位付けにこれまで必要とされていた時間を短縮できる可能性があります。
セキュリティチームは、露出したレガシーサービスや認証情報の使い回し、フラットなID権限構造、監視されていない横断移動経路を、これまで以上に喫緊のリスクとして扱うべきです。
Anthropicによると、同社は禁止行為、高リスクなデュアルユース活動、そしてより広範なデュアルユース活動全般に対して、アクセス制限とプローブに基づく監視を適用しているとのことです。
同社は、同等のサイバー能力を持つ一般提供版モデルであれば、禁止行為をブロックし、多くの場合、高リスクなエクスプロイト開発の要求もブロックすることになると見込んでいます。
★ Learn 7 Metric-Gated AI SOC Deployment Phases – 無料のAI SOC導入プレイブック2026をダウンロード。
翻訳元: https://gbhackers.com/end-to-end-intrusion/
