エクスプロイトこそが成果物だった

金曜日、Anthropic は セキュリティ業務向けに最も高性能なモデルへのアクセスを広げた。 Claude Mythos 5 はそれまで Project Glasswing の中に囲われていた。重要ソフトウェアを守る、 ごく少数の組織の集まりである。いまは Enterprise 顧客向けの Claude Security で動き、 パートナーの防御製品に組み込まれつつある。検証済みの防御側に緩和された安全策を与える Cyber Verification Program も対象を広げている。Anthropic はさらに、新設した Defender Advantage Fund を通じて、オープンソースのセキュリティ活動に 3,500 万ドル分のクレジットを 投じた。

土曜日、The Register は 同じ取引の需要側 を取り上げた。元 NSA の Rob Joyce は RSAC でこう述べた。「金を払おうが払うまいが、あなたは レッドチームを受けることになる。違うのは、結果を誰が受け取るかを知っているかどうかだけだ」。 Mandiant のグローバルレッドチームを率い、いま Armadin を共同創業した Evan Peña はこう言う。 「50 件を超えるゼロデイを見つけた……実在のシステムで攻撃者がリモートコード実行を得られる ものだ」。エージェントは「眠らないし、休暇も取らない」とも付け加えている。

どちらの記事も、攻撃的な能力を誰が求めてよいかを定めている。返ってきたコードがどこで動くかは どちらも定めていない。そしてそれは、どこかで動く。

Anthropic は安全策をモデルの周りに引いた

この記事は設計をきちんと説明していて、しかも良い設計だ。Anthropic が管理しているリスクは モデルへの直接アクセスである。「最もリスクの高い挙動は、ユーザーがモデルに直接アクセスできる ときに起きる。悪意ある行為者が有害な用途へ誘導しようと試みられるからだ。だが、ユーザーが 脆弱性へのパッチやセキュリティ警告といった特定の出力しか受け取れないなら、そのリスクは はるかに低い」。

だからパートナー製品は、定義された一つのタスクのために Mythos を背後で動かし、成果物を一つ 返す。修復ツールは修正案を返す。ツールを手にしている人は、振り返って動くエクスプロイトを 求めることができない。モデルと会話することが一度もないからだ。Claude Security も同じ作りで、 あなたが所有するリポジトリを走査し、CWE のカテゴリ、確度と深刻度の評価、修正案を添えて検出 結果を返す。すべてのパッチは人間が確認して承認する。

発表文の一文が、この話をノート PC の上へ移す。検出結果を手にしたら、あなたは「Claude Code をウェブで開いて修正を実装する」のだ。

これは正しいプロダクト判断だ。走査と修正は別の仕事であり、修正の仕事はふつうのリポジトリで ふつうのエージェントを動かすことを求める。同時にそこは、モデルアクセスの境界が手を伸ばせなく なる場所でもある。Cyber Verification Program は反対側から同じ地点に着く。掲げられた目的は 「受け入れられたチームが、保護を認められたシステム上で正当なサイバーセキュリティ業務を行う 際の中断を最小化すること」だ。攻撃的なコードを書く必要のあるエージェントを扱う人々のために、 意図して安全策を緩める。頼まれれば概念実証を書いて実行するエージェントを載せたノート PC は、 毎月増えていく。防御側に渡す意義そのものがそこにあるからだ。

アクセス制御は誰が頼んでよいかに答える。答えが何に触れてよいかには答えない。

二万六千のエージェント、三日間

The Register の数字は、Armadin が TENEX.ai と実施した案件から来ている。 今月初めの共同発表 に詳しい。三日間、名前を伏せたグローバル機関、ゼロ知識の条件下。特権的な資格情報なし、 ホワイトリストなし、ソースコードへのアクセスなし。群れは偵察結果をナレッジグラフに索引化し、 そのうえで 26,000 体のエージェントと 1,300 件の攻撃を 25,000 を超えるサービスに向けて放ち、 1,700 万回の攻撃的アクションを生んだ。戻ってきたのは 238 件の検出結果、うち 98 件が重大、 そして 38 本の検証済み攻撃経路である。

防御側の半分がより厳しい数字を出した。TENEX.ai は 101,169 件のアラートをトリアージし、 2,310 億件の生イベントから全体像を再構成した。その中で攻撃者の活動は 13,338 件に 1 件だった。

CISA の元サイバー担当代行で、いま Merlin Group にいる Matt Hartman は The Register に、 組織は「すべてのエージェントを特権 ID として扱う必要が出てくる」と語った。EC-Council の Jay Bavisi がもう半分を補った。「組織全体をペンテストする者はいない」と彼は言う。攻撃者の ほうは「スコープの問題を抱えていない」。

あなた自身のエージェントにもスコープの問題はない。あなたが与えないかぎりは。

ふつうのセキュリティ作業に潜む、信用できない四つのもの

群れの話は脇に置いて、火曜日に検出と修正の作業をしているエンジニアを一人だけ見てほしい。 Claude Security が何かを指摘する。あなたはパッチを書かせるためにエージェントを開き、パッチが 効くと確かめるために、そのバグを再現させる。この作業には、マシンが信用する理由をまったく 持たないものが四つ含まれている。検出結果が群れから来ようとスキャナから来ようと、同じ四つだ。

このリストに至るまでに、誰も失敗はしていない。これは汎用コンピュータの上でセキュリティ作業を する、その常態を書き出したものだ。

Bromure はそれぞれに制御を与える

Bromure Agentic Coding は、Apple の Virtualization フレームワーク上の使い捨て Ubuntu VM で エージェントを動かす。VM は自前のカーネルを持ち、あなたが選んだ Mac のフォルダだけがマウント され、外へ出る唯一の経路はホスト側の MITM プロキシである。これが図の右半分に欠けている境界だ。

モデルより先に、何かが対象のコンテンツを読む。 Prompt Injection ペインは、エージェントが 取り込むファイルの中身、ウェブページ、ツールの出力、つまり tool_result ブロックを、ローカル の PromptGuard モデルで採点する。エージェントが権威として扱う指示ファイル（CLAUDE.md、 AGENTS.md、GROK.md、およびその入れ子版とグローバル版）は、ファインチューニングされた ModernBERT 分類器で採点し、あわせてモデルには読めない不可視 Unicode による難読化を決定論的な スキャナで検出する。どちらもあなたの Mac の上で動き、どこにも何も送らない。検出したときの 挙動はあなたが選ぶ。記録するか、あなたに尋ねるか、モデルがテキストを見る前に 451 で要求を 失敗させるか。

Bromure はレジストリでツールを検査する。 パッケージの取得はすべて、まずホストのプロキシを 通る。npm、PyPI、Cargo、RubyGems、Maven、NuGet、Go、Packagist。公開からの経過日数のゲートが 既定で二日に設定されており、今朝公開されたスキャナはインストールされない。浮動のバージョン 範囲は、しきい値より古いもののうち最新のリリースへ解決される。新しすぎるものへの固定参照は、 Bromure のエラーを載せた 451 で返る。OSV の照会は、あなたが選んだ深刻度で既知の脆弱な バージョンを止める。Bromure は npm の tarball からインストールスクリプトをその場で取り除き、 tarball とレジストリのメタデータのハッシュを書き換えるので、npm 自身の検証は通ったままになる。 VM の中の .npmrc はこれらをすべて厳しくできるが、緩めることはできない。

スコープが文書であることをやめる。 Guardrails の Outbound connections テーブルは、 プロファイルごとのファイアウォールだ。ルール 1 件につき 1 行で、アクション、プロトコル （tcp、udp、web、any）、ホストまたは CIDR、ポート、そして web なら HTTP メソッドの 一覧を持つ。ルールは上から順に評価され、最初に一致したものが勝ち、Unmatched traffic は 二択のスイッチである。これを Deny にし、案件のホストを追加すれば、Bavisi の言うスコープの 問題はパケットフィルタになる。透過的な傍受は既定で有効なので、ゲストが HTTPS_PROXY を 外しても、どの接続が外に出るかは何も変わらない。許可も拒否も、すべて Security Log に残る。

手の届く資格情報は、資格情報ではない。 本物の値は VM に一度も入らない。プロキシは通信路 の上でスタブを本物のトークンに差し替え、ゲストの kubeconfig は使い捨てのクライアント証明書を 持つ合成物で、AWS には credential_process ヘルパーが渡る。ヘルパーは SDK に四十文字の偽の シークレットを渡し、その裏でホストが本物の鍵素材で SigV4 を署名し直す。プロキシを迂回した ものは、Amazon から InvalidSignatureException を受け取る。資格情報にはさらに Off、 Block destructive、Read-only の書き込みポリシーが付き、侵害されたエージェントが反論できない ホストプロキシの側で強制される。S3 バケットを消す用のない検証実行は、試みた瞬間に 403 を 食らう。Require approval to use は資格情報を同意プロンプトに変え、五分、一時間、または セッションの残りという期限付きの許可を与える。レッドチーム作業中の SSH 鍵にはこれが合う。 署名は起きてほしいし、起きたことは知っておきたいからだ。

どのみち書くことになっていた記録

レッドチームの仕事は書類を生む。何に触れたか、いつか、どの ID でか、何が返ってきたか。 Bromure はその大半を副作用として書き出す。Security Timeline ウィンドウは、資格情報の差し替え と署名、パッケージの判定、ファイアウォールの許可と拒否、インジェクションの検出を、一つの 時系列テーブルにまとめて保持する。置き場所は Mac 側で、VM の中の何ものにも編集できない。 セッションのトレースを上げれば、プロキシはボディも保持する。プロファイルの秘密情報と同じ キーチェーンの鍵で AES-GCM 暗号化される。

案件と案件のあいだで、ストレージの層は分かれて外れる。Erase home… はプロファイルの /home/ubuntu をクローン直後の状態へ戻し、クローンもペイロードもシェル履歴もスキャナの キャッシュもいっしょに持っていく。Reset to base… は sudo apt install で入れたものを すべて捨て、ワークスペースのシステムディスクをクローンし直す。ある対象の残りかすが、次の 対象まで付いてくることはない。

能力に、着地する場所を用意する

Anthropic の段階的な展開は、難しい判断の責任ある形だ。モデルではなく成果物を防御側に渡すと いう形は、最先端の能力を、病院や電力を守る人たちのもとへ届けつつ、同時に全員へは届けない ための形であり、パッチに人間の承認を挟む段は飾りではない。Armadin と TENEX.ai は、監督する 安全モデルと、向こう側で見ている本物の SOC を備えた制御層を通して案件を回した。今週の ニュースに出てくる全員が、きちんとふるまっている。

そのどれもが覆っていないのがノート PC だ。あの慎重さはすべて、検出結果がファイルになった 瞬間に終わる。そしてそのファイルは、情シスが配った日から資格情報を集め続けてきた汎用マシンに 着地する。どちらにせよレッドチームを受ける、という Joyce の指摘は正しい。攻撃的なエージェント が存在するかどうかは選べない。選べるのは、それがどのマシンの上で目を覚ますかだ。そして、 あとで捨てられるマシンを選ぶことができる。

---

出典：Anthropic「Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders」（2026 年 8 月 21 日） · The Register「If you're not using AI to attack your own systems, your adversaries will」（2026 年 8 月 22 日） · Armadin および TENEX.ai「Largest Controlled Live AI Cyberattack on Record」（2026 年 8 月 3 日） · SecurityWeek「Kevin Mandia's Armadin Launches With $189.9 Million in Funding」