Claude MythosとProject Glasswing — AIが自律発見するゼロデイ脆弱性の全容Project Glasswing demonstrates that Claude Mythos can autonomously discover and…
匿名の公開いいねです。記事の保存・お気に入りではなく、Featured、Top 3、重要度、掲載順位には影響しません。仕組みとプライバシーAnonymous public likes are reactions, not saved articles or bookmarks. They do not affect Featured, Top 3, importance, or listing order.How it works and privacy
AnthropicのClaude Mythosモデルを用いたProject Glasswingは、AIが人間の介入なしにゼロデイ脆弱性を自律的に発見・実証できることを示した研究で、セキュリティ分野におけるAIの攻撃的能力の到達点として注目される。
Project Glasswing demonstrates that Claude Mythos can autonomously discover and exploit zero-day vulnerabilities without human intervention, marking a significant milestone in AI-driven offensive security research.
本ページの本文と要約は AI による自動生成です。日本語版と英語版は言語ごとに独立して生成されるため、表現や詳しさが異なる場合があります。正確性は元記事 (zenn.dev) をご確認ください。The body and summaries are AI-generated independently for each language, so wording and detail may differ. Verify accuracy at the original source (zenn.dev).
要約と収集メタデータに基づく AI 解説。元記事全文の転載・翻訳ではありません。AI explainer based on the summaries and collected metadata, not a copy or translation of the full source article.
Anthropicが2026年4月7日に発表したClaude Mythos Previewは、人間の介入なしにゼロデイ脆弱性を発見し、実証できる研究プレビューモデルだ。Project Glasswingでは、その自律的な攻撃能力の到達点が示された。
自律的な脆弱性発見
Claude Mythos Previewは、一般公開しないことを前提に開発された。すべての主要OSとWebブラウザに存在するゼロデイ脆弱性を、自律的に数千件発見する能力を持つとされる。脆弱性を見つけるだけでなく悪用も可能であることが、一般公開できない理由の核心と説明されている。
能力の自然発生
Anthropicは、モデルのサイバーセキュリティ能力を意図的に訓練したわけではないとしている。コーディング、推論、自律性という一般的な能力を改善した結果、副産物として脆弱性の発見・悪用能力が「自然発生」したという説明だ。Project Glasswingは、このClaude Mythosを活用するサイバーセキュリティ連合として発表された。
評価で示した結果
Firefox JavaScriptエンジンを対象とした同一テストセットでは、有効なエクスプロイトが確認された。また、OSS-Fuzzの評価ではTier 1〜2レベルのクラッシュを595件達成したとされる。完全にパッチが適用された10標的に対しても、完全なコントロールフローハイジャックに成功している。
17年前からの欠陥
公開された成果には、17年前から存在していたリモートコード実行脆弱性が含まれる。原因はNFSのKerberos認証機能であるRPCSEC_GSS／kgssapi.koのスタックバッファオーバーフローで、NFSサーバーを実行するマシンではrootを取得できる脆弱性とされている。
Claude Mythos Preview
Project Glasswing demonstrates that Claude Mythos can autonomously discover and exploit zero-day vulnerabilities without human intervention. The work marks a significant milestone in AI-driven offensive security research because the same system can both identify vulnerabilities and demonstrate exploitation.
Anthropic announced Claude Mythos Preview and the Project Glasswing cybersecurity coalition on April 7, 2026. Claude Mythos Preview is a frontier research preview model developed on the premise that it would not be released to the general public.
Coding, reasoning, and autonomy
According to Anthropic’s official announcement, the model was not intentionally trained for cybersecurity capabilities. Anthropic described those capabilities as emerging from broader improvements in coding, reasoning, and autonomy.
The model is described as powerful enough that it cannot be made public. Its capacity to discover vulnerabilities also gives it the capacity to exploit them, which Anthropic identifies as the central reason for withholding general access.
Claude Mythos Preview is reported to have autonomously found thousands of zero-day vulnerabilities across all major operating systems and web browsers.
Firefox JavaScript engine
Anthropic’s red-team testing evaluated valid exploits against the Firefox JavaScript engine using the same test set. Although the available figures do not specify the number of valid Firefox exploits, the testing also recorded 595 Tier 1–2 crashes under the OSS-Fuzz evaluation.
In the same testing, the model achieved complete control-flow hijacking against 10 fully patched targets. These results demonstrate capabilities beyond identifying crashes, extending to successful exploitation under the stated evaluation conditions.
NFS Kerberos vulnerability
One disclosed finding was a remote-code-execution vulnerability that had existed for 17 years. It resulted from a stack buffer overflow in the NFS Kerberos authentication functionality, identified as RPCSEC_GSS and kgssapi.ko.
The vulnerability could allow root access on a machine running an NFS server. This finding was published through reporting by The Hacker News and Anthropic’s official page as an example of the vulnerabilities identified through the research.
ポコとTECHガイドPoko & TECH Guide
ポコと当サイトのTECHガイドが、記事の要約と収集した情報から読みどころを語るAI生成の対話です。Poko and TECH Dashboard's own TECH Guide discuss the article's highlights in an AI-generated conversation based on its summary and collected source details.
- ポコPoko開発やセキュリティの仕事では、普段の何が変わるの？人が調べなくても、AIが危険な穴を見つけるってこと？In day-to-day development and security work, what actually changes? Does AI find dangerous holes without people investigating them?
- TECHガイドTECH Guideこの記事では、Claude Mythosが人の介入なしにゼロデイ脆弱性を発見し、悪用まで実証したのじゃ。点検の担い手がAIにもなる話じゃよ。The article says Claude Mythos found zero-days and demonstrated exploits without human intervention. That means AI can take on part of the security-testing role.
- ポコPoko前のAIにはできなかったの？それと、ゼロデイって何？Couldn't earlier AI do that? And what's a zero-day?
- TECHガイドTECH Guide従来モデルとの明確な比較は本文だけでは分からんのう。ゼロデイは未修正の弱点で、今回は自律的に数千件を発見し、595件のクラッシュも出したとされるぞ。The piece doesn’t clearly compare earlier models, so we can’t tell. A zero-day is an unfixed flaw; this model reportedly found thousands autonomously and produced 595 crashes.
- ポコPoko一番の収穫は、AIが未知の弱点を自分で探し、実証までできると示したことだね。へえ、すごいけど怖い！So my big takeaway is that this AI can search for unknown flaws and prove them on its own. Wow—impressive, but scary!
- TECHガイドTECH Guide次は、一般公開しない前提のモデルをProject Glasswingでどう扱うかに注目じゃ。発表では、脆弱性の発見と悪用は表裏一体と説明されておるからのう。Next, watch how Project Glasswing handles a model not intended for public release. The announcement says vulnerability discovery and exploitation are two sides of the same capability.
