生成AIの進化は、単なる業務効率化の段階を超え始めています。
2026年に入り、米アンソロピックの新型AIモデル「Claude Mythos（クロード・ミュトス）」が大きな注目を集めています。特に問題視されているのは、単に脆弱性を発見するだけではなく、「攻撃そのもの」を自動実行できる可能性です。

これまでのサイバー攻撃は、高度な知識や経験を持つ専門集団が中心でした。しかしAIが攻撃工程を代替し始めると、状況は一変します。攻撃能力そのものが「汎用品化」し、国家・企業・個人を問わず、あらゆる主体がAIによる攻撃に晒される時代が到来する可能性があります。

今回の記事では、ミュトスを巡る報道を踏まえながら、AI時代のサイバー防衛がどのように変わるのかを整理します。

「脆弱性を探すAI」から「攻撃を完遂するAI」へ

従来の生成AIでも、コード生成や簡易的な脆弱性分析は可能でした。
しかしミュトスで問題視されているのは、「攻撃工程の自律化」です。

記事では、管理者権限の奪取を命じるだけで、AIが以下を自動実行すると説明されています。

脆弱性の探索
攻撃手法の選定
攻撃コードの生成
実行
権限取得

つまり、人間が細かな技術指示をしなくても、AI自身が攻撃シナリオを構築してしまう段階に入りつつあります。

これは「攻撃者の能力増強」というより、「攻撃者そのものの大量生産」に近い変化です。

サイバー攻撃の“コモディティー化”

これまで高度なサイバー攻撃には専門知識が必要でした。
しかしAIによって攻撃工程が自動化されると、技術力の低い主体でも攻撃可能になります。

この変化は、金融市場でいう「高頻度取引（HFT）」のような構造に近いともいえます。

人間同士の速度を前提としていた世界に、AI速度の攻撃が流れ込むことで、従来の防御設計が機能しなくなる可能性があります。

特に問題視されるのが「ゼロデイ攻撃」です。

“修正してから公開”では間に合わない時代

従来のセキュリティー対策は、

脆弱性発見
修正パッチ作成
配布
更新

という流れでした。

しかしAI時代では、脆弱性が発見された瞬間に、AIが攻撃コードまで自動生成する可能性があります。

つまり、防御側の修正スピードが、攻撃側のAI速度に追いつけなくなるのです。

その結果、従来型の「止めて修正する」発想ではなく、

止めずに修正する
被害前提で分散化する
即時切替できる

という発想が必要になります。

「止めずに直す」インフラ投資とは何か

記事では、代替サーバーを平時から準備する重要性が指摘されています。

これは単なるバックアップではありません。

重要なのは、

攻撃を受けても
サービス停止せず
即座に切替できる

という「継続運転前提」の設計です。

金融機関や社会インフラでは、この思想は極めて重要になります。

例えば、

銀行システム
決済ネットワーク
証券取引所
電力制御
通信基盤

などは、停止そのものが社会不安につながります。

AI時代の防御は、「侵入を完全防止する」よりも、「侵入されても止まらない」方向へ移行していく可能性があります。

レガシーシステム問題が一気に表面化する

特に危険なのが、長年改修を繰り返してきた基幹系システムです。

日本企業では、

古いシステムが複雑化
設計書不足
属人化
ベンダー依存

が深刻化しているケースも少なくありません。

従来は「閉じたシステムだから安全」と考えられていました。

しかしAIは、内部侵入後の解析能力を飛躍的に高めます。

一度侵入されれば、

システム構造解析
認証突破
横展開
権限昇格

が高速化される可能性があります。

つまり「古いから危険」ではなく、「複雑すぎて直せない」こと自体が最大リスクになり始めています。

AI時代は「境界防御」が崩壊する可能性

従来の企業防御は、

外部を防ぐ
内部は信用する

という「境界型防御」が中心でした。

しかしAI攻撃時代では、一度侵入されると内部解析が爆発的に高速化します。

そのため、

ゼロトラスト
権限最小化
常時監視
セグメント分離

など、「内部も信用しない」設計が重要になります。

これは単なるIT問題ではなく、経営問題です。

金融庁が「能動停止」を求めた意味

今回、金融庁は金融機関に対し、

「経営判断で能動的に停止する選択肢」

を事前検討するよう要請しました。

これは非常に象徴的です。

従来の金融システムでは、「止めないこと」が最優先でした。
しかしAI攻撃時代では、

無理に動かし続ける
被害拡大する

よりも、

一時停止
被害遮断
復旧優先

のほうが合理的になる場面が増える可能性があります。

つまり今後は、

「止めない経営」から
「制御可能に止める経営」

への転換が起きるかもしれません。

AI防衛で最後に残る「人間の仕事」

記事でも指摘されている通り、人間の役割は消えません。

むしろ重要性は増す可能性があります。

AIは、

分析
探索
実行
自動化

は得意です。

一方で、

リスク許容
優先順位
投資判断
危機対応
対外説明
社会的責任

は依然として人間の領域です。

特にサイバー攻撃時には、

どこまで停止するか
何を守るか
顧客へどう説明するか
どの損失を受け入れるか

という経営判断が不可避になります。

AI時代は、「技術力」以上に「意思決定力」が問われる時代になるのかもしれません。

結論

Claude Mythosを巡る議論は、単なる新型AIの話ではありません。

本質は、

「サイバー攻撃がAIによって大量自動化される時代」

への入り口にあることです。

これまでのサイバー防御は、

人間速度
人間コスト
人間人数

を前提に成立していました。

しかしAIは、その前提を崩します。

その結果、

ゼロデイ攻撃の増加
境界防御の崩壊
レガシー問題の顕在化
「止めない」思想の限界
経営判断としてのサイバー防衛

が急速に現実問題化する可能性があります。

AI時代のサイバー防衛とは、単なるIT投資ではなく、「企業の生存戦略」そのものへ変わり始めているのかもしれません。

参考

日本経済新聞 2026年5月23日朝刊
「AI『ミュトス』影響、識者に聞く『止めずに直す』投資が有用」

日本経済新聞 2026年5月23日朝刊
「脆弱性診断の義務付けを」

日本経済新聞 2026年5月23日朝刊
「『ミュトス』アクセス権政府・金融機関に付与」