AnthropicのClaude Mythosは、今年初めに公開されて以降、脆弱性管理を経営会議の議題に押し上げました。その後も議論は進展しています。報道は新たな切り口を見つけ続けており、AIがサイバーセキュリティのあらゆる側面をどう変えているかについても、数多くの議論が交わされています。
Mythos Previewの初回公開から数カ月の間に、Mythosにできることと、利用できる人の範囲をめぐって、いくつかの動きがありました。では、これは自社の脆弱性管理プログラムにとって、実際に何を意味するのでしょうか。
より強力なモデル、より広いアクセス
Anthropicは9月にClaude Mythos 5.1を公開しました。同社は、これまでにリリースしたモデルの中でサイバー能力が最も高いと位置づけています。Mythos 5.1は、一般提供されているFable 5.1と同じベースモデルを基に、異なるセーフガードを組み合わせたものです。続く10月には、一部の重要インフラ事業者や業界パートナーにMythosへの早期アクセスを提供していたプログラム「Project Glasswing」を、拡充した段階制のCyber Verification Program(CVP)に統合しました。刷新されたCVPは、日常的な防御業務から、機密性が最も高い重要インフラまでを対象としています。
つまり、公開当初は少数のグループに限られていた機械速度の脆弱性発見が、より多くの防御担当者に行き渡ることになります。Anthropicによると、Glasswingのパートナーは4月から7月にかけて、検証済みの脆弱性を12万9,000件以上発見しました。このうち3万3,000件以上は、深刻度が「クリティカル」または「高」でした。Mythosクラスの脆弱性発見にアクセスできる組織が増えれば、より多くの組織でより速く脆弱性が見つかるように思えます。それは事実ですが、この大きな数字だけでは全体像は見えません。
発見と悪用は同じではない
Anthropicは発表の中で、一般提供のFable 5.1でソフトウェアの脆弱性を発見できるようになったものの、その脆弱性を悪用するエクスプロイトの開発は明確に対象外だと述べています。ペネトレーションテストやエクスプロイトの生成など、悪用されうる行為は、下位のモデルに振り分けられます。同じ制限はMythosにも適用されます。CVPの3つのアクセス階層のうち、ペネトレーションテストとレッドチームの業務は、審査が最も厳しい上位2階層でのみ可能です。
このため、Mythosクラスの能力へのアクセスが広がっても、広がるのは「より速く見つける」ための手段です。それだけで「何かを攻撃する」手段が広がるわけではありません。また、Mythosは依然として広く提供されてはいません。アクセスはCVPで審査を受けた組織に限られており、攻撃者が容易に入手できるものではありません。
自動化された攻撃が起きていないという意味ではありません。ただし、それは別の動きであり、Mythosに直接さかのぼるものではありません。エージェント型AIのリスクを一括りにしてしまうと、実際のエクスポージャーがどこから生じているのかを見誤ります。
脆弱性管理の核心は変わらない
Mythosをめぐる報道の多くは、必要以上に不安をあおっています。確かに脆弱性の発見は大幅に速くなりますが、Mythosが登場する前から、既知のCVEをすべてパッチ適用できていたセキュリティチームはありませんでした。防御にAIエージェントを活用すれば、チームの速度と対応範囲は広がります。それでも本当の差を生むのは、どの検出結果が実際に稼働中でロードされているパッケージにあり、到達可能で、現実のリスクになっているのかを見極めることです。恐ろしげなCVSSスコアが付いているだけのノイズと区別する力が問われます。
エクスプロイトも速くなっています。Mandiantは現在、エクスプロイトまでの平均時間をマイナス7日としています。脆弱性が公表される前に、すでに悪用が始まっているということです。だからこそ、基本原則に基づいて脆弱性管理プログラムを構築することが、いっそう重要になります。
AIによる脆弱性発見の時代には、脆弱性管理の基本がこれまで以上に重要です。
- CVAおよびCVE以外の検出結果も含め、すべてを一元的にスキャン・発見する。
- スコアの高さだけでなく、実際に使用されていて悪用可能なものを優先する。
- ダウンストリームの各インスタンスに個別にパッチを当てるのではなく、根本で修復を自動化する。
- 露出したままのものに対する安全網として、ランタイムセキュリティを位置づける。
脆弱性対応の計画は、発見が速くなったからといって書き換える必要はありません。エージェント型AIは防御側でも活用でき、これらの各ステップを自動化・高速化して、増え続ける検出結果への対応を支援します。Mythosに関する見出しのたびに危機と受け止めたり、アクセスが再び拡大するたびにプログラムを作り直したりする必要はありません。
ウェビナーで詳しく解説
「Mythos対応」の脆弱性管理プログラムの構築について詳しく知りたい方は、ウェビナー「Mythos Decoded: What’s Actually Changed in Vulnerability Management」にご参加ください。Mythosとは何で、何ではないのかを解説するとともに、AIによって加速する脆弱性発見のペースに、慌てることなく追随するための実践的な手順を紹介します。
