「危険なAI」は限定公開すれば安全なのか ──プロジェクト・グラスウィングが示す速度の非対称
2026年4月、アンソロピック（Anthropic）は、「プロジェクト・グラスウィング」（Project Glasswing）を発表した。
これは、公式には「AIで世界の重要ソフトウェアを守る」ための取り組みと説明されている。しかし一方で、「AI時代のソフトウェア統治をめぐる、非対称な社会実験」ではないかと見ることもできる。
なぜなら、AIが脆弱性を発見・検知し、ときに悪用可能性まで評価する能力は、従来とは比較にならない速度で高まりつつある一方で、人間社会がそれを検証・修正し、合意形成、制度化する速度は、同じようには上がらないからだ。
2026年4月、アンソロピックは、クロード・ミュトス（Claude Mythos Preview。以下「ミュトス」。研究プレビュー段階の限定提供モデル）と、その限定提供枠組みである「プロジェクト・グラスウィング」を発表した。
アンソロピックの説明によれば、「プロジェクト・グラスウィング」とは、「AI時代に世界の重要ソフトウェアを守る」ための取り組みだとされる。クロード・ミュトスという新しいフロンティアAIモデルを、防御側に先行して提供する構想だ。
そのローンチパートナーには、Amazon Web Services、Anthropic、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorganChase、Linux Foundation、Microsoft、NVIDIA、Palo Alto Networks が含まれる。
さらにアンソロピックは、40以上の追加組織にもアクセスを拡張し、最大1億ドル相当の利用クレジットと、オープンソース・セキュリティ団体への400万ドルの寄付を掲げている。
この発表を、単に「危険なAIを一般公開しなかったから安全だ」と見ることはできない。問題はより複雑だからだ。
クロード・ミュトスは、ソフトウェアの脆弱性を発見し、場合によってはそれを悪用可能な形に組み立てる能力を示したとされる。
アンソロピックは、ミュトスが主要OSや主要Webブラウザにおいて、ゼロデイ脆弱性を発見・悪用できる能力を示したと説明している。
その一方で、発見した脆弱性の99%以上はまだ修正されていないため、詳細を公開できないとも述べている。
ここに、「プロジェクト・グラスウィング」の本質的な問題が見える。
AIが脆弱性を発見する速度は急激に上がる。しかし、人間社会がそれを検証し、修正し、合意形成し、制度化する速度は、それほど速くならない。
問題は、アンソロピックが善か悪かではない。それは、AIが世界の脆弱性を発見する速度に、社会の検証・修正・合意形成の速度が追いつくだろうか、ということにある。
四主体の不一致
「プロジェクト・グラスウィング」を考えるうえで、まず見るべきは「誰が能力を持ち、誰が負担を負い、誰がリスクを受けるのか」である。
第一に、モデルを持つ側はアンソロピックである。
クロード・ミュトスの能力、安全評価、運用条件、アクセス制御は、基本的にアンソロピック側の管理下にある。
第二に、その能力へ先行アクセスできるのは、ローンチパートナーや追加アクセスを得た限定組織だ。
彼らは、ミュトスを使って自社や関連する重要ソフトウェアの防御を進めることができる。
第三に、実際に修正負担を負うのは、必ずしもアンソロピックや大企業だけではない。
多くの場合、オープンソース保守者、ベンダー、中小企業、自治体、医療機関、金融機関、最終利用者組織が、発見された脆弱性への対応を迫られる。
第四に、リスクを被るのは社会全体である。
OS、ブラウザ、クラウド、通信、金融、医療、交通、行政システムに脆弱性が残り、それが悪用されれば、被害は技術企業の内部にとどまらない。
現状では、モデル、検証情報、修正負担、そして、リスクを被る側のそれぞれ四主体が一致していない。
これらが分離していることが、「プロジェクト・グラスウィング」を単なる技術プロジェクトではなく、「AI時代のソフトウェア統治」をめぐる社会実験にしている。
四つの速度
この非対称性は、さらに「速度」の問題として表れる。
1） 発見速度
第一の速度は、脆弱性を発見する速度である。
アンソロピックは、ミュトスが主要OSや主要Webブラウザにおいてゼロデイ脆弱性を発見・悪用できる能力を示したと説明している。公開例の中には、OpenBSDに27年前から存在していた脆弱性も含まれている。
モジラ（Mozilla）も、アンソロピックとの協業の中で、Firefox 150にミュトスの初期評価で特定された271件の脆弱性修正を含めたと発表した。Mozillaは、この数の多さについて、守る側にとっては「目まいがする」ような経験だったと書いている。
ただし、この271件をすべて「高深刻度ゼロデイ」と読むのは危険である。重要なのは件数そのものではなく、AIによる脆弱性発見が、実際の修正工程に接続され始めたという点である。
2） 検証速度
第二の速度は、検証速度である。
アンソロピックは、未修正脆弱性を漏らさないために、SHA-3ハッシュによる暗号学的コミットメントを提示している。これは、後日、修正や責任ある開示が完了した後に、「当時すでにその脆弱性を把握していた」と示すための仕組みである。
確かにこれは一定の透明性を確保する工夫ではある。しかし、現時点で第三者がすべての脆弱性を独立に再現・検証できるわけではない。未修正脆弱性は公開できない。公開できないから、社会はアンソロピックや参加組織の説明に依存せざるを得ない。
つまり、発見速度は上がっている。しかし、検証速度は限定アクセス、責任ある開示、未修正脆弱性の秘匿という制約を受ける。
ここに、本稿で仮に「1%パラドックス」と呼ぶ構造がある。すなわち、公開できる1%が能力の高さを示す一方、社会的リスクの中心は公開できない99%に存在する、という非対称である。
3） 修正速度
第三の速度は、修正速度である。
これは「プロジェクト・グラスウィング」の最大のボトルネックである。
リナックス財団（Linux Foundation）は、オープンソースが企業や社会インフラの基盤になっている一方で、保守者はすでにプルリクエストの増加、AI生成のものを多く含むセキュリティバグ報告、サイバー攻撃の量、サプライチェーン攻撃で大きな負荷を受けていると述べている。さらに、AI生成ゼロデイの波が来れば、状況は「潜在的に破局的」になり得るとも警告している。
脆弱性の発見は、AIによって高速化できる。
しかし、修正は、人間の判断、保守者の時間、互換性確認、本番環境への影響評価、パッチ配布、組織内承認に依存する。
つまり、発見は機械化できても、修正は完全には機械化できない。
AIが一日に何百、何千の脆弱性候補を見つけたとしても、それをどの順番で直すのか。どれが本当に悪用可能なのか。どの修正が別の障害を生まないのか。誰が責任を持ってリリースするのか。
これらは、単なる技術問題ではなく、組織運用と統治の問題になる。
4） 合意形成速度
第四の速度は、合意形成速度である。
AIによる脆弱性発見能力が急速に高まったとき、政府、規制当局、業界団体、国際機関はどのように対応するべきなのか。
この問いに対する制度的回答は、まだ十分に整っていない。
日本では、ミュトスが主要OSやブラウザにおける多数の脆弱性を発見したとの懸念を受け、金融システムのサイバーリスクに対応するタスクフォースを設置すると報じられた。
その会合には、金融庁、日本銀行、国家サイバー統括室、国内大手三行、日本取引所グループなどが関与したとされる。
欧州でも、ドイツ連邦銀行（ブンデスバンク）の主任監督官が、欧州の銀行がこの種のモデルの能力を自ら検証できなければ、防御上不利になるとして、EUがアンソロピックまたは米国政府にアクセスを求めるべきだと述べている。
これは、「プロジェクト・グラスウィング」がもはや一企業の新製品発表ではなく、金融システム、デジタル主権、国家安全保障の問題になっていることを示している。
CTI-REALMが示すもう一つの速度
ここで重要なのは、ミュトスの意味が「ゼロデイ発見」だけに限られないという点である。
マイクロソフト（Microsoft）は、CTI-REALMというオープンソースのベンチマークを公開している。
これは、AIエージェントがサイバー脅威インテリジェンス、つまりCTIを読み、テレメトリを探索し、KQLクエリやSigmaルールを生成する、実務的な検知エンジニアリングの能力を測るものである。
マイクロソフトは、「プロジェクト・グラスウィング」の一環として、アンソロピックや業界パートナーと協力し、クロード・ミトスをCTI-REALMで評価したところ、従来モデルに比べて大きな改善が見られたと説明している。
これは、ミュトスが「脆弱性を見つけるAI」であるだけでなく、脅威情報を防御行動に変換する工程もAI化しつつあることを示している。
発見速度だけではなく、検知速度、応答速度も上がる。だが、制度と現場の合意形成速度は、それほど速くならない。
ここにも、速度の非対称がある。
限定公開は安全を保証しない
「プロジェクト・グラスウィング」は、一般公開ではなく、限定された防御側へアクセスを与える枠組みである。これは、悪用リスクを考えれば理解できる選択である。
しかし、限定提供は安全を自動的には保証しない。
ブルームバーグは、少数の未承認ユーザーがアンソロピックのMythos AIモデルにアクセスしたと報じた（ロイター通信が引用配信）。
アンソロピックの広報担当者は、クロード・ミュトスへの不正アクセス報告について、第三者ベンダー環境を通じたものとして調査中だと述べている。
この報道は重要だ。なぜなら、「プロジェクト・グラスウィング」の核心にあるのは「限定された信頼できる組織だけにアクセスさせる」という前提だからだ。
だが、現実のアクセス管理は、企業本体だけで完結しない。第三者ベンダー、契約環境、認証、権限、ログ、API、内部運用が関与する。
高度なAIモデルそのものが高価値資産になり、未公開脆弱性に関する評価情報も高価値資産になる。そのアクセス経路が第三者環境に広がれば、そこが新たな攻撃面になる。
つまり、「プロジェクト・グラスウィング」は、防御プロジェクトであると同時に、新しい信頼集中点を作り出しているのだ。
第三者経由侵害という既存の構造
この懸念は、抽象論ではない。セキュリティスコアカード（SecurityScorecard）の2025年版グローバル・サードパーティー・ブリーチレポート（Global Third-Party Breach Report）によれば、2024年の侵害の35.5%が第三者関連であり、ランサムウェア攻撃の41.4%が第三者を経由して始まったとされる。
また、国別ではシンガポール71.4%、オランダ70.4%、日本60%が高い第三者侵害率として挙げられている。
これは、現代のサイバーリスクが、もはや自社システムだけを守れば済む問題ではないことを示している。
外部ベンダー、クラウド、SaaS、システムインテグレーター、委託先と更にその委託先。信頼関係が増えれば増えるほど、攻撃面も増加することになる。
「プロジェクト・グラスウィング」は、防御側に強力な能力を与える試みである。しかし、その能力や知見が限定された組織群に集中するなら、その集中点自体が新たな攻撃対象になる。
日本にとっての含意
日本にとって、この問題は遠い話ではない。
セキュリティスコアカードのレポートでは、日本の第三者経由侵害率は60%とされている。これは、日本の企業や組織が外部ベンダー、SaaS、クラウド、システムインテグレーターに依存する構造と関連している可能性がある。
また、日本ではミュトスをめぐる懸念を受け、金融システムのサイバーリスクに対応するタスクフォース設置が報じられている。
金融システムは相互接続性が高く、リアルタイムで動くため、一つのサイバー攻撃が市場混乱や信頼低下につながる可能性があると説明されている。
日本の中小企業、地方自治体、医療機関、地方金融機関の多くは、クロード・ミュトスのようなモデルに直接アクセスする立場にはないだろう。
「プロジェクト・グラスウィング」の恩恵は、OS、ブラウザ、クラウド、主要ベンダーによる修正を通じて、日本にも間接的に届く可能性がある。
しかし、その速度は、日本側のパッチ適用能力、ベンダー管理能力、予算、人材、業務停止リスクへの判断に左右される。
したがって、日本に必要なのは、「危険なAIを怖がる」ことだけではない。
必要なのは、国内のソフトウェア基盤をどう把握するのか、だ。
そして、第三者経由リスクをどう減らすのか、中小企業や自治体の修正速度をどう引き上げるのか──。
日本は、重要インフラにおけるAI支援型脆弱性対応を、どのような制度で支えるのだろうか。
「プロジェクト・グラスウィング」は何を可視化したのか
「プロジェクト・グラスウィング」が可視化したのは、AIの能力だけではない。
それは、世界のソフトウェア統治の遅さをも見えるようにした。
AIは、脆弱性を見つけ、検知ルールを作る。さらに、攻撃経路を組み立て、人間が見落としてきた古い欠陥を掘り起こすこともできる。
しかし、人間社会は、それを同じ速度では処理できない。
誰が優先順位を決めるのか。
誰が修正費用を負担するのか。
誰が未公開脆弱性情報を管理するのか。
誰がアクセス権限を監査するのか。
誰が非参加者への影響を評価するのか。
誰が国境を越えたリスク分配を調整するのか。
これらは、モデルの性能だけでは解けない。
「プロジェクト・グラスウィング」は、攻撃者に先んじて防御側へ能力を渡す試みとして、一定の合理性を持つ。
リナックス財団（Linux Foundation）も、AI時代に保守者へ高度な防御能力を届ける必要性を強調している。
だが、それは同時に、未解決の統治問題を抱えている。
限定公開すれば安全なのか。強力なAIを大企業と重要組織に先行提供すれば、防御側は間に合うのか。その情報集中は、新たな攻撃面にならないのか。
公開できない99%のリスクを、社会はどう評価すればよいのだろうか。
まとめ
「プロジェクト・グラスウィング」は、防御のためのプロジェクトである。
しかし、同時にそれは、AI時代のソフトウェア統治を試す、非対称な社会実験でもある。
この実験には、四つの非対称がある。
モデルを持つ側と、リスクを被る側
情報を持つ側と、検証できない側
脆弱性を発見する速度と、修正する速度
技術が進む速度と、制度が追いつく速度の
･･･問題は、アンソロピックが善か悪かではない。
問題は、AIが世界の脆弱性を発見する速度に、社会の検証・修正・合意形成の速度が追いつくのか、である。
「プロジェクト・グラスウィング」は、おそらく始まりにすぎない。
今後、アンソロピックだけでなく、他のAI企業や国家機関も、同様の能力を持つモデルを開発していくだろう。
そのとき私たちは、「公開するか、しないか」という単純な問いだけでは不十分だ。
私たちが向き合うべきこと、それは、アクセス権限や監査は誰にあるのか、修正費用は誰が負担するのか。誰が被害を受けることが想定されるのか。非参加者のリスクを誰が代表し、評価するのか、という観点だ。
そして、AIが人間よりも先に脆弱性を見つける速度がさらに高速化していくことに対し、私たちの社会は追いつくことができるのか──。
「プロジェクト・グラスウィング」は、何重もの課題を私たちに突きつけている。
参考資料
Anthropic “Project Glasswing”（2026年4月7日）、Anthropic Frontier Red Team “Assessing Claude Mythos Preview’s cybersecurity capabilities”（2026年4月7日）
Linux Foundation “Introducing Project Glasswing”（2026年4月7日）
Microsoft “CTI-REALM”（2026年3月20日）
Microsoft “AI-powered defense for an AI-accelerated threat landscape”（2026年4月22日）
Mozilla “AI security and zero-day vulnerabilities”（2026年4月）
Reuters “Anthropic’s Mythos model accessed by unauthorized users”（2026年4月21日）
Reuters “Japan launches financial task force amid AI security fears”（2026年4月24日）、Reuters “EU should seek access to Anthropic’s Mythos, Bundesbank says”（2026年4月29日）
SecurityScorecard “2025 Global Third-Party Breach Report”（2025年）
