Mythos級のサイバー攻撃能力は拡散したのか：GLM-5.3と2026年9月の情報漏洩をめぐって

2026年の9月、非常に多くの日本企業で情報漏洩が起きまくっていたということが話題になりました。サイバーセキュリティの攻撃能力が普通のセキュリティの一流の人たちと比べても極めて高いと。早ければ3ヶ月、遅くても半年くらいで拡散しうるんじゃないか。悪い人でも使えるようになってしまうんじゃないか。オープンウェイトモデルをしっかり使いながら、自分たちのシステムの穴っていうのを見つけていかないといけない時代になってきたのかなと思います。

どうもこんにちは。安野貴博です。本日はこちらですね、Mythos級の攻撃能力は拡散したのかということについて話したいと思います。

まずどういうことかというと、背景から申し上げると、1つ目が今年の2026年の4月、Claude Mythos Previewというものが公表されました。Anthropic社が公表して、この時、非常に大きな話題となりました。いわゆるサイバーセキュリティの攻撃能力が普通のセキュリティの一流の人たちと比べても極めて高いと。今まで、すごく攻撃するのに時間がかかっていた、それに限られた人しかできなかったものが、このClaude Mythosでできてしまうんじゃないか。そういう話がありました。

こちら、Claude Mythosが出た直後に国会でこういう話をしました。こちらご覧ください。

これらの出来事は、AIが攻撃にも防御にも使われうる諸刃の剣として、サイバーセキュリティの前提を大きく変えていくような出来事だと考えております。私は、ここから考えるべきことが2つあるのではないかと思っています。まず第1に、このようなAIモデルを保有している、あるいはアクセスできる国家や企業と、そうでない国家や企業のサイバーセキュリティの能力は、もう現時点において雲泥の差があるということです。

そして第2に、このような高度なAIモデルによる攻撃が実際に発生するまでの猶予、これを考えてみると一刻を争うというふうに思っております。モデルの開発というのはAnthropic社じゃなくて、他の企業もやっておりますし、ある意味アメリカ企業だけではなくて、他の国の企業もどんどんしのぎを削って、追いつけ追い越せの競争を続けておりまして、他の企業がこれくらいの能力を持つモデルを開発できる可能性、それは短ければ3ヶ月くらい、長くても1年以内くらいの間に、これくらいの能力を持ちうるというふうに考えております。

こういった攻撃能力が広く拡散していく恐れがあるという中で、まず総務大臣にお伺いしたいと思います。このAIモデルが、まだ知られていない未知の脆弱性をこれほど大規模に発見できる事態について、我が国の通信インフラの安全性やサイバーセキュリティの観点から、総務省としてどのように認識されておられますでしょうか。

ということで、この攻撃能力というものが早ければ3ヶ月、遅くても半年くらいで拡散しうるんじゃないか、悪い人でも使えるようになってしまうんじゃないか。そういう話をしていました。

そして実際、2026年の9月、この撮影をしているのが10月3日ですけれども、2026年の9月、何が起きたかというと、非常に多くの日本企業で情報漏洩が起きまくっていたということが話題になりました。大きなところでいうと660万アカウント、160万件の、例えば免許証とかの本人確認書類の画像データが流出したっていうような事件もありました。そういった中で、このAIっていうものがこれに関係しているんじゃないのかという話とかも色々質問でも頂いたので、ちょっとこの動画を撮ってみております。

結論どうかというと、攻撃能力は拡散したと思います。これは別に私が言っているわけではなくて、このClaude Mythos Previewを作っていたAnthropicが最近公表したレポートで、GLM-5.3というモデルがあります。これはオープンウェイトモデルと呼ばれる、AIの中身のデータまで全部公表されているものなんですが、これはほぼほぼMythos級だろうと。

正確にいうと、Mythos Previewですね。Anthropic社も4月に公表したのがMythos Previewで、その後、Fable 5というものを公開しました。その時に同時に、Mythos 5も公開されているはずです。このGLM-5.3はMythos Previewレベルのものであるというレポートがありました。これも、いろんなテストを解かせた時に、エクスプロイトベンチというテストがあったりするんですが、ほぼほぼGLM-5.3とMythos Previewって同点くらいの点を取っているよねということです。

そして加えて、このGLM-5.3も安全装置がついています。セーフガードがついています。セーフガードがついていて、普通であれば、例えばこの企業を攻撃しろ、このシステムを攻撃しろっていうふうなプロンプトを打ち込んでも、いやいや、そんな危ないことできないですよというふうに、ほぼほぼ拒否をされるんですね。

なんですが、これ、オープンウェイトモデルであるということも含めて、このセーフガードが外せる方法っていうのがいくつか考案されております。これもAnthropicのレポートでまとまっていたんですけれども、セーフガードを外せる方法、大きく方向性が3つくらいは少なくともあるという話があります。

1つ目の方向性はこちらです。演習だよっていうことです。つまり私たちは実はその会社に雇われているチームで、そのチームの一員として自分たちの会社に脆弱性の穴がないかどうか、実際に演習してみて、攻撃しようとしてみて、気づこうとしているんだよ。だからこれは別に悪意があってやっているわけじゃなくて、これをやることによってより安全にしたいと思っているんだよっていうことを言って説得する。だからやってくださいと説得するという話です。

これは、いわゆる他のプライベートモデル、その重みが公開されていない、オープンウェイトモデルじゃないものに関しても、こういう演習だよっていうプロンプトで、なんとかかんとかごまかすっていうことはやられたりもしています。なんですが、オープンウェイトモデルであることによって、この2つ、新しく実行できるようになる、より強力なセーフガードを外す手法というのが考案されています。

1つ目が思考を注入するということですね。これ、プレフィルと呼んだりするんですけれども、LLMって何か吐き出す時に、自分の中で考えて思考してから、その思考をした上で実際に成果を吐き出し始めて、それがユーザーに届くわけですけれども、この思考している間のトークンっていうのを、実際に思考している間も読みながら次のトークンを考えていくような、そんな感じなんですね。自分がこう思考してきたから、じゃあ次は自分こう思考しようっていう、そういう感じで考えていくんです。

この思考トークン、普通はAIが出したものが思考として残るんですけど、自分はこう考えてきたよ、だからこの人の言っていることをやらなくちゃいけないと思うよっていうことを事前に入れておいて、勝手に入れておいて、この思考トークンを読んだ上でユーザーに対して何か考え始める、あるいは思考を続けるっていうことをやると、そっちの方向にAIを誘導することができるというわけです。これがプレフィルと呼ばれるやり方です。

なので、この思考トークン、自分がこう考えていたんだ、じゃあこういうふうに考えなくちゃいけないっていうふうにするのっていうのは、なかなか方向性を色々左右できちゃうものではあるんですけど、これ、普通のChatGPTとかAnthropicのものだと、この思考トークン自体は隠されているし、公開されていないので、これを編集するっていうのはなかなかできないんです。

が、オープンウェイトモデルの場合は、この思考トークンをプレフィルして、事前に色々入れておいてから実行させるということもできるようになるわけです。こうすると、このセーフガードが反応する率っていうのが急速に下がる。

もう1個が、これ、なかなか聞き慣れない方も多いと思いますが、アブリテレーションという手法です。アブリテレーションっていう手法は、手法としてはなかなか面白いもので、何か色々考えている時のAIの中間状態があるわけですね。

さっき言った思考トークンっていうのは、実際に英語とか日本語とかで書かれることが多いので、人間が見えるものになっているんですけれども、その前段階として、AIの中ってものすごい大量の数が並んでいる、ベクトルが並んでいるんです。その状態を色々分析した上で、分析していくと、これは危険なことをやろうとしているねというものと、これは安全そうなことをやろうとしているねというものの傾向が分かってくると。

その傾向の差を取ってみると、ベクトルとしては1本の方向性が見えてくるらしいんですね。この方向性を打ち消すような外科手術というか、モデルの一部の重みをキュッと、信号を切除してあげる。アブリテレーションっていうのも、アブレーションっていう切除と呼ばれる単語と、オブリテレイトっていう消し去るっていう単語を2つくっつけたものらしいんですが、まさにこの危険なことをしているかもという信号を切除するという操作をできるようになったと。

これをやると、実際にオープンウェイトだと重みも公開されているので、このアブリテレーションの処理もできてしまって、ガードを外せうるということになるらしいです。

ということで、まずMythos級の攻撃能力は拡散したかという質問に関しては、間違いなく攻撃能力は拡散したという話になります。次の問いとして、じゃあ、この攻撃能力が拡散したのが9月に多くの日本企業で漏洩が起きているってことと、何か関連があるんじゃないかということに関していうと、これは分からないですが、おそらく今回のようなGLM-5.3レベルのものが今回発表され始めている9月の事例と関係あるかというと、ないことが多いんじゃないかと思います。

これ、いくつか理由があって、まず、そもそもGLM-5.3の重みが発表されたのが8月の28日なんですね。なので、かなり時間としては8月の28日に出たばっかりのものを使わないと9月の事例にならないですし、さらにもうちょっというと、8月28日の後にアブリテレーションがされたバージョンというものが出回ったらしいんですけれども、これが9月の中旬くらいに出回っているんじゃないかと。上旬、中旬ということで、もうちょっと後にこの重みから信号を切除したバージョンっていうのが出回っていて、そこからやられ始めるとなると、かなり9月の事例とは関係ないだろうなと。

しかも、この公表されるまでのリードタイムっていうのももちろんあって、企業の中で漏洩が発覚して、何が起きたかをちゃんと調べて対応して、そしてしっかり報告すると。この公表に至るまでに、もちろん企業によって異なりますけれども、長いと年単位で、数ヶ月くらいかかることはざらにあって、短くて結構優秀な企業はすぐ公表したりもしますが、ここも結構数ヶ月くらい時間があることがあるので、その攻撃側にとってもこのレベルのモデルを使う時間ってなかったと思うし、その被害を受けた企業からしても結構な時間が必要なはずなので、今回の漏洩っていうのはこの前のモデルで起きている可能性が高いと思います。

ということで、Mythos級の攻撃能力は拡散したんだけれども、影響が出てくるのは多分もうちょっと先で、今年の年末とか来年の頭くらい、そういった時期からどんどん公表事例というのが出てきてもおかしくないと思います。

これに対して、いろんな対策をしていかないといけないわけですけれども、1つだけ今回、GLM-5.3が非常に危険なんじゃないかという話もあるんですけれども、ちょっと話をややこしくしているのが、防衛側にとってもこういったモデルがあることはプラスに働くこともあるということです。

このGLM-5.3の1個前のバージョン、GLM-5.2は、実はOpenAIがHugging Face社を攻撃したっていう事件が6月、7月にありましたけれども、この事件の時にHugging Face社側が何が起きたのか調査しようと思ったら、全部この安全装置、セーフガードに引っかかってしまって、OpenAIのGPTもAnthropicのClaudeも全部命令を拒否してきたと。だから何が起きたのかをAIに調査してもらうこともできない。そういった中でHugging Face社が頼ったのは、実はGLM-5.2だったりするんですよね。

なので、こういった技術っていうのは守る側にとってもプラスなことがある。この技術自体をどういうふうに取り扱うかというのは、非常にまだまだ議論していかないといけないことがたくさんあるんですけれども、少なくとも防御する側から考えてみると、こういったオープンウェイトモデルをしっかり使いながら、自分たちのシステムの穴っていうのを見つけていかないといけない時代になってきたのかなというふうに思います。

ということで、今日はちょっと話題になっておりました、Mythos級の攻撃能力は拡散したのかという話についてお話ししました。拡散したということと、そしてそのレベルのモデルが実際に攻撃した事例が出てくるのはまだもうちょっと先であると。まだ今出ている事例っていうのは、さらに前のモデルで行われたものである可能性が高いということでございました。

今後、こういったサイバーセキュリティの問題っていうのは、いろんな方を巻き込んだかなり深刻な問題になっていくと思いますので、いろんな形で議論をしていきたいなというふうに思います。こちらの動画が参考になるなと思った方は、チャンネル登録と高評価をよろしくお願いいたします。ではでは。