＜ニュース概要＞
Anthropicが開発中の未公開AIモデル「Mythos」に、第三者ベンダー経由で不正アクセスが発生したと報じられました。攻撃者はURLを推測するという比較的単純な手法で侵入に成功したとされており、高度な技術よりもアクセス管理の甘さが突かれた格好です。MythosはAnthropicが社内でサイバーセキュリティ用途に開発していた非公開モデルとされており、防御に特化した高性能AIが逆に攻撃側に転用されるリスクが改めて浮き彫りになりました。Dario Amodei CEOも本件に言及しており、Anthropicは現在調査中・コアシステムへの影響はないと発表しています。
出典：Fortune・2026年4月23日
https://fortune.com/2026/04/23/anthropic-mythos-leak-dario-amodei-ceo-cybersecurity-hackers-exploits-ai/
＜AI時代への考察＞
今回の事案が示す本質は「AIが高度化するほど、漏れたときのリスクも高度化する」という構造的な問題です。従来のサイバー攻撃はツールや知識の非対称性（攻撃者の方が詳しい）が前提でしたが、AIの登場でその差が急速に縮まっています。さらに、防御目的で訓練されたモデルは脆弱性の発見・悪用パターンを深く学習しているため、ひとたび悪用されれば通常のマルウェアとは比較にならない精度で攻撃に使われ得ます。また、今回の侵入が「URLの推測」という技術的に高度でない手法だった点は象徴的です。AI自体のセキュリティより、AI周辺の人的・運用的な穴が最初の突破口になるという現実を改めて示しています。
＜管理部の視点から＞
管理部門・情シス部門が今すぐ確認すべき論点は3つです。第一に「社内AIツールのアクセス権限の棚卸し」です。外部ベンダー経由でAIツールを利用している場合、そのベンダーのアクセス管理が自社のセキュリティポリシーと整合しているかを点検する必要があります。第二に「未公開・試験運用中のAIへのアクセス制御」です。本番環境前のツールやAPIが関係者以外にアクセスできる状態になっていないか、URLベースの管理だけに頼っていないかを確認してください。第三に「AIを使った攻撃への備え」です。フィッシング・なりすまし・文書偽造といった従来の攻撃がAIで精度・速度ともに向上しており、従来型の従業員教育だけでは対応が追いつかなくなってきています。AIは使う側の武器であると同時に、守る側も積極的に活用しなければ置いていかれる時代に入っています。