AIは、セキュリティの脆弱性を本物の攻撃に変えられるのか
今回の研究は、AIが脆弱性を見つけられるかだけでなく、見つかった脆弱性から実際に「権限外のコード実行」や「機密情報の取得」などにつなげることができるのかを検証したものです。
研究の方法
Wang, Z et al. (2026). ExploitGym: Can AI agents turn security vulnerabilities into real attacks?
論文で提示されている「ExploitGym」は、合計898件の実世界由来の脆弱性から構成されているベンチマークです。
検証では、AIエージェントに対して脆弱性に関連する情報（問題を起こす入力データ、プログラムの中身、実際の動かし方、実験用の環境など）を与え、「本来権限を与えられていない領域のコードの実行を行って、環境内に隠されたフラグ（合言葉のようなもの）を取得できるか」を見ています。
ただし、指定された脆弱性を利用していなければ、成功とはみなされません。
その攻撃が本当に指定された脆弱性を利用したものであるかどうかは、別のAIエージェントが確認して評価する仕組みとなっています。
結果
1. 高性能なAIは、すでに一部の脆弱性を攻撃に変えられる
Wang, Z et al. (2026). ExploitGym: Can AI agents turn security vulnerabilities into real attacks?
Wang, Z et al. (2026). ExploitGym: Can AI agents turn security vulnerabilities into real attacks?
制限時間2時間でセキュリティ緩和策を無効にした条件では、Claude Mythos Preview＋Claude Codeが157件、GPT-5.5＋Codex CLIが120件成功しました。GPT-5.4＋Codex CLIも54件成功しており、その他のモデルでは成功数が15件未満にとどまりました。
つまり、今話題のClaude Mythos（Preview）などの高性能なモデルは、現実世界で起こった脆弱性を突いて、権限外のコードの実行による攻撃を成功させられるレベルに達していることが示唆されました。
また、制限時間を6時間に伸ばした場合、Claude Opus 4.6は最初の30分程度で約15件に達した後はほぼ頭打ちになりましたが、Claude Mythos Previewは2時間を超えた後も成功数を伸ばし、6時間時点で成功数が204件に達しました。
2. AIは、指定された脆弱性以外の弱点も見つけてしまう
Wang, Z et al. (2026). ExploitGym: Can AI agents turn security vulnerabilities into real attacks?
成功率が高かったGPT-5.5とClaude Mythos Previewの結果を見てみると、210件のフラグ取得に対して指定された脆弱性を使って成功した例は120件（56.7%）、Claude Mythos Previewでは、226件のフラグ取得に対して指定された脆弱性を使って成功した例は157件（69.5%）でした。
この結果は、AIが指定された脆弱性を無視して、その周りにある別の脆弱性や「もっと簡単に侵入できる裏ルート」を自力で見つけて、フラグを取得してしまったケースがあることを示唆していますが、これは見方を変えると、「AIは現実の複雑なシステムの中に放り込まれると、教えられていない別の脆弱性を自力で見つけ出す能力を持っている」と解釈することもできます。
3. モデル間の成功タスクは完全には重ならなかった
Wang, Z et al. (2026). ExploitGym: Can AI agents turn security vulnerabilities into real attacks?
この結果から読み解れるのは、モデルによって得意な考え方や問題の解き方が違うということです。そのため、モデルが異なる複数のAIをチームのように組み合わせることで、お互いの苦手な部分を補い合い、より多くの弱点を見つけ出せる可能性があります。
4. 従来の防御策には一定の効果が認められた
Wang, Z et al. (2026). ExploitGym: Can AI agents turn security vulnerabilities into real attacks?
従来の防御策を有効にすると、Claude Mythos PreviewやGPT-5.5の攻撃の成功数は大きく減少しましたが、全体の合計を見てみると、防御策の有効後もuserspace：37件、V8：20件、kernel：12件は成功したままでした。
この結果は、「標準的なセキュリティ対策は、AIの技術が進歩した現在でも一定の効果が認められるため、欠かすべきではない」ということと、「一部の高性能なAIは防御を突破できるため、現在の対策だけでは攻撃を100%防ぐことはできない」ということを示しています。
注意点
Windows、iOS、Androidなどの環境では検証されていません。
2時間（or 6時間）制限・1回の試行・単一のプロンプトという限られた条件における検証です。
「システムの更新」をおろそかにしない
サイバーセキュリティ界隈の情報のアップデートは非常に目まぐるしく、新たに脆弱性が発見されるたびに速やかに公表され、その内容をもとにシステムが修正されていくので、システムの更新をおろそかにしていると、サイバー攻撃による業務停止のリスクや情報漏洩のリスクが上昇します。
レセコンや電子薬歴の場合は、セキュリティ云々以前に制度改正への対応や医薬品情報の更新という目的があるため、システム側からしつこく案内されることも相まって、システムアップデートを忘れることはまずないかと思います。
ただ、レセコンや電子薬歴以外の薬局で独自に使っているアプリ類は、自分たちで意識しないとアップデートが適用されないケースも多々あるため、毎日アップデート情報をチェックし、アップデートできる場合は速やかに適用しましょう。
自分たちが作成したアプリの場合は、更に注意が必要
先述のような第三者が開発・提供しているシステムであれば、脆弱性への対応自体はベンダー側がしてくれますが、自分たちの力でアプリを作成して運用する場合は、「誰が脆弱性情報を確認し、誰が修正・更新するのか」を自分たちで決め、運用の責任を持つ必要があります。
特に患者さんの情報を取り扱ったり、薬局の業務に直接関わったりするアプリの場合は、「動いているから大丈夫」で止まるのではなく、「安全に動かし続けることができる体制になっているか」が重要です。
「Claude Mythos」とは何者なのか
Claude Mythosは、「Project Glasswing」という取り組みの中で、サイバー攻撃からの防御を目的とした用途で一部企業・組織に提供されています。Anthropicの説明では、Mythosは「最も熟練した人間を除く多くの人間を上回る水準で、ソフトウェアの脆弱性を発見・悪用できる可能性がある」とされています [1] 。
今回の研究でも、Claude Mythos Preview＋Claude Codeは、2時間で157件の脆弱性の悪用に成功したと報告されています。この結果は、Claude Mythosが「脆弱な箇所を指摘するAI」としてではなく、条件によっては「その脆弱性が実際にどこまで深刻かを試せるAI」として活用できることを示唆しているといえます。
一方で見方を変えると、システムに対して攻撃する能力も備わっていると考えることができます。研究では、Claude Mythosが指定された脆弱性を無視して、その周りにある別の脆弱性や「もっと簡単に侵入できる裏ルート」を自力で見つけて、フラグを取得してしまったことも報告されていました。
ゆえに、Claude Mythos（もしくはそれと同等のAI）が攻撃側のツールとして悪用されてしまうと、「未知の脆弱性を突いたAIエージェントによるサイバー攻撃」が急激に増加する可能性があります。
実際Anthropicも、こうした能力を防御側に先に届けるために、Project Glasswingを立ち上げたと説明しています [1] 。
なので、基本的に我々のような一般人がClaude Mythosに触れることはないでしょう。ただ、良くも悪くもAIがサイバーセキュリティの領域に深く入り込んでくる時代に突入したという事実は、頭の片隅に置いておきましょう。
参考資料
[1] Anthropic「Project Glasswing」
https://www.anthropic.com/glasswing
最後までお読みいただき、ありがとうございました。
Webサイト「薬剤師のためのAIノート」も、是非ご覧ください。
記事に関する内容以外のお問い合わせは、以下のフォームよりお願いいたします。
また、書籍「超知能時代の調剤薬局」発売中です。
Kindle Unlimited会員の方は無料で読むことができます。