（コラム）Mythosはなぜ脅威なのか

現時点では、MythosのようなAIは「○○を攻撃しろ」といった指令に応じてターゲットを攻撃するものではないとされています。Mythosの脅威は「脆弱性の発見」にあります。

サイバー攻撃では、ターゲット組織への侵入や脅迫を行なううえで、組織が管理するコンピュータ上で不正なプログラムを動作させることが重要な足がかりとなります。そこで狙われるのが、ソフトウェアの脆弱性です。例えば、外部からの通信を受けるプログラムにおいて、本来エラーとして無視しなければならないのに、誤って受け取ったデータをプログラムと勘違いして実行してしまうといったソフトウェアのバグ（欠陥）です。

このような脆弱性はこれまでにも多数発見されています。発見された脆弱性は悪用されないよう、適切な管理が必要です。欧米や日本では、政府と民間の機関が脆弱性管理を行なっており、攻撃者に情報が漏れないように留意しながら、ソフトウェアを利用している組織に対策を促すといった調整が行なわれていました。

このような脆弱性管理プロセスは、非常に高い人的コストがかかります。事態の性質上、情報開示範囲が限られ、悪用される前に対策を完了させる必要があります。各組織の特定の担当者に負担が集中しがちといった問題点もあります。

こうした状況のなか、Mythosが人間をはるかに超える速度で多くの脆弱性を発見しました。これ自体は、ソフトウェアの品質を高めるという点で良いことなのですが、短期間で大量の脆弱性が発見されると、前述の脆弱性管理プロセスをあふれさせる恐れがあります。

もし「管理されない脆弱性が秘密裏にサイバー攻撃者のあいだに出回ってしまったら」、あるいは「管理された脆弱性であっても、組織の対策が追いつかなかったら」、脆弱性を悪用した攻撃があちこちの組織に打撃を与えるかもしれません。そうした事態が懸念されているのです。

米国の脆弱性管理機関は、すべての脆弱性への対応は不可能とし、リスクの高いものから優先的に対応するという方針転換を行なっています。このような脆弱性のトリアージと、対策リソースの適切な投入判断が重要になっています。

• （※）本記事は2026年6月後半に得られた情報をもとに執筆しています。