攻撃コストの神話と現実

「安価なインテリジェンス」の時代でもコストが重要である理由

2週間前、Anthropicは Project Glasswing を発表し、Microsoft、Google、CrowdStrike を含む少数のローンチ・パートナーに対して、さらに約40のその他の重要インフラ組織とともに、Claude Mythos Preview という名称のモデルへの早期アクセスを提供しました。Anthropicは、Mythosは公開してリリースするにはあまりに危険だと述べました。発表に至るまでの数週間のうちに、主要なあらゆるOSとブラウザにまたがって、すでに数千件のゼロデイ脆弱性が見つかっていたのです。その中には、OpenBSDにある27年も前の不具合も含まれていました。¹ 市場は、実存的なニュースに対して市場が反応するのと同じように反応しました。AI規模での脆弱性発見が、従来のセキュリティ・ツールの仕事を“商品化”してしまうのではないか、という懸念から、主要なサイバーセキュリティ企業の株は最大で10％下落しました。² 同じ日のうちに、財務長官 Bessent とFRB議長 Powell が、米国最大手の銀行のCEOたちを部屋に呼び集め、その件について話し合いました。³

では、Mythosはサイバーセキュリティ業界の終わりなのでしょうか。新しい業界の始まりなのでしょうか。それとも、巧みに仕上げられた Anthropic のPRなのでしょうか。私は、どれでもないと思います。なぜそう言えるのかを見るには、20年前にさかのぼるのが役に立ちます。

防御の中で最も古い考え

2000年代半ば、私は General Electric のセキュリティチームにいて、その当時国内でも最大級の防衛産業基盤のサプライヤーの一つだった組織を守る仕事をしていました。私たちは常に一つの考えについて話し、それが私たちのやることすべてを形作っていました。つまり、私たちを攻撃するコストを引き上げるのです。

この考えは、私の同僚である Richard Bejtlich や David Bianco のような人たち、そして後に私が加わることになる Mandiant のチームが属していた、防御側の世代のものでもありました。彼らは、完璧な防止は不可能だと主張しつつも、相手に攻撃をあまりに高くつかせて、対戦相手が諦めて次に移るようにできれば、防御はそれでも勝てるゲームだと考えていました。⁴ BiancoのPyramid of Pain（苦痛のピラミッド）⁵ その直感を形式化したのです。侵害の兆候の中には、攻撃者が回避するのにほとんどコストがかからないものがあります。たとえばファイルハッシュは、1バイト変わるだけで変化します。逆に、強い代償を伴うものもあり、攻撃者にツールの作り直し、再学習、あるいはインフラの再構築を迫ります。ピラミッドの上の方へ押し上げるほど、攻撃はより痛ましくなり、そして結果としてより稀になっていきます。

コストを上げることには、さまざまな形がありました。攻撃者がツールキットを入れ替えざるを得なくなるような、高い忠実度（高精度）の指標を公開すること。敵対者が新たに書き直さなければならないように、マルウェアのファミリーをあぶり出すこと。指揮統制（command-and-control）のインフラを燃やし、再構築を余儀なくさせること。最も良い例は、Mandiant の 2013 年の APT1 レポートです。そこでは、中国の国家支援によるグループをあまりにも公に名指しで暴露したため、彼らは実質的にゼロから作り直す必要が出ました。その後何年もの間、APT1 は「経済学としての防御」を示す教科書的な事例でした。

この全体のモデルは、「素早く検知し、うまく対応し、攻撃者が戻ってくるのにコストを払わせる」というものでしたが、その前提には一つだけ、暗黙の仮定がありました。それは、攻撃者の仕事が遅く、人間的なものだということです。偵察（Recon）には数週間かかりました。エクスプロイト開発には数か月かかりました。インフラ構築にはお金と職人技（tradecraft）が必要でした。もしそれらのどれかをもっと高くつくようにできれば、勝てます。

Mythosが実際に変えるもの

Mythos（そして率直に言えば、過去18か月間のあらゆる能力の高いモデル）は、コストを上げることとは真逆のことをします。コストを文字通り床の下まで引き下げます。標的のソフトウェアを脆弱性の観点で分析し、Webアプリを「未サニタイズの入力」（unsanitized input）で探り、指揮統制（command-and-control）のインフラを立ち上げ、フィッシングの餌（phishing lure）を書く——攻撃者のライフサイクルのあらゆる段階で、これまで時間と専門的な才能が必要だったものが、いまはモデルのスピードで実行されます。

Mythos は報道を浴びていますが、セキュリティ企業 Aisle は Mythos の「ショーケース」型の脆弱性を、小型・安価・オープンウェイト（open-weights）モデルに対してテストし、基礎となる分析の大半が再現可能であることを突き止めました。Aisle がテストした 6 つのモデルすべてが、3 つのテストのうち少なくとも 1 つで、主力（フラッグシップ）の FreeBSD exploit を検出しました。さらにその中には、3.6 billion パラメータを持ち、概ね 100 万トークンあたり 5 セント（roughly five cents / million tokens）というモデルも含まれていました。彼らの主張は、AI のサイバーセキュリティ能力は「ギザギザ（jagged）」だということです。モデル規模に応じて滑らかにスケールしない。そして真の堀（moat）はモデルそのものではなく、モデルの周りに包み込まれたシステムと専門性にある、というわけです。⁶Mythos は、ひとつの転換点というよりも、転換がすでに“静かに”起きていて、それがより安価なモデル世代の中で広がったのだという確認に近い存在です。

この変化はデータにも表れ始めているように思います。2026年の Mandiant M-Trends レポートは、2025年のインシデント対応作業として50万時間以上を踏まえており、世界の中央値のディウェルタイム（侵害後に検知されるまでの滞在時間）が11日から14日に上昇したことを記録しています。これは、2015年の146日から10年間かけて着実に圧縮されてきた流れの中で、初めて意味のある増加（反転）が見られたということです。⁷ さらに目を引くのは、初期アクセスブローカーが環境を侵害してから、二次の脅威アクター（通常はランサムウェアの運用者）へ引き渡すまでの中央値が、2022年に8時間を超えていたものが、2025年には22秒にまで急激に縮まったことです。22秒では、SOCアナリストがアラートを読み、ましてや対応するには足りません。エクスプロイト（Exploits）は、6年連続で依然として主要な初期感染ベクターであり、侵入の32%を占めます。加えて、PROMPTFLUXやPROMPTSTEALのように、検知を回避するために実行途中で大規模言語モデルへ照会するマルウェアファミリーも文書化されています。QUIETVAULTの資格情報スティーラーは、侵害されたマシンをスキャンして、所有者に対して使うためのローカルAIツールを探すことさえあります。Mandiantは、これらすべての原因をAIにすべて押し付けてはいません。彼らは明確に、ほとんどの侵害はAIの能力ではなく、人為的な失敗とシステム上の失敗に起因していると述べています。しかし、侵害のコストが引き続き下がっているため、トレンドラインは動き始めています。

これらのモデルはすでに18か月間ほど広く利用可能になっていますが、攻撃者は人間の組織です。彼らは人間のタイムラインに合わせて適応します。プレイブックは書き直される必要があり、技術（トレードクラフト）は検証される必要があり、オペレーターは訓練される必要があります。これから数年こそが、過去の18か月ではなく、成熟した敵対者がこれらのツールを完全に内面化したときに何が起きるのかを私たちが目にする時期です。

防御側もこれらのツールを使うことができ、実際に使っています。楽観的な見方では、防御側こそが優位に立てるはずです。なぜなら、防御側は自分たちの環境、テレメトリ、基準値（baseline）を自ら所有しており、既知の良好な状態に対してモデルを継続的に実行できるからです。これは事実であり、そのため私は Mythos が私たちの業界を終わらせるとは思っていません。しかし、サイバーセキュリティには常に存在してきた構造上の非対称性を、まだ十分に言い表せていません。攻撃者は成功するために必要なのは「一つの経路」だけですが、防御側は「それらすべての経路」を塞がなければなりません。安価なインテリジェンスによって経路を探すコストは劇的に下がる一方で、それらを塞ぐには、なお人・プロセス・技術のあらゆる面で協調した変更が必要です。攻撃者のコスト曲線は、防御側よりも速く下がっていきます。

しかし、より深い非対称性は、単に誰がより速いモデルを持っているかという話ではありません。問題は、LLMが本当に得意とする「練習すること」「反復すること」「学ぶこと」を、誰ができるかにあります。安価で高速なインテリジェンスを持つ攻撃者は、1日に千回も反復できます。フィッシングのバリエーションを試し、微調整してもう一度試す、別のアイデンティティの経路を探る、別の角度から再試行し、しかも人間のボトルネックがなく機械コストだけで延々と続けられます。彼らは事実上無制限の打席を得ます。一方、防御側は主に実際のインシデントと限られたシミュレーションから学びます。同じ忠実度で、自分たちの環境に対して現実的な攻撃を何千回も実行して検証することはできず、それでも攻撃者が先にやってしまった後に、いつものやり方で、あの「ひび割れ」を見つけることが多いのです。攻撃者の反復ループと、防御側の学習ループの間にあるこのギャップこそが、AIによって最も広がる部分です。

転換点

私のキャリアの大半を通じて、業界でのコンセンサスは概ね次のようなものでした。侵害は避けられないのだから、検知と迅速な対応に投資しなければならない。これは良い教義です。CrowdStrike や Mandiant のような企業を生み出し、組織が多くの資金と評判を失わずに済むようにもしてきました。

しかし、私はその教義が限界に近づいていると思います。攻撃者の OODA ループが数週間から数秒へと圧縮されると、「検知して対応する」は、防御側が確実に勝てないレースになります。ツールが悪いからではなく、人間が判断を下す前に時間切れになってしまうからです。念のため言うと、予防はこれまでずっと大きな領域でした。EDR、メールセキュリティ、WAF、MFA、パッチ管理などです。主張は、業界がそれを無視してきたということではありません。主張は、防止（予防）のハードルを移行させる必要がある、という点です。つまり、既知の悪性シグネチャを遮断するのではなく、行動から攻撃者の意図を予測することへ、ということです。そしてこれは、私たちのカテゴリでは誰もまだ完全に解決できていない、別の工学的課題です。

これが私たちの開発にどのような影響を与えるのか

Netwrix では、業界最高水準のデータおよび Identity ソリューション群による予防に注力してきました。identity governance、privileged access、directory security、そして Data Security Posture Management です。いま変わっているのは、これらの製品が収集するテレメトリ（telemetry）を私たちがどう活用するか、という点です。私たちは予測（prediction）を強く推進しています。

それが実際にはどういう形になるかを説明します。私たちの DSPM プラットフォームは、顧客環境全体にある機密データを分類します。何が存在するのか、何がさらされているのか、誰がアクセス権を持っているのか、そしてどの identities が実際にそれに触れた（アクセスした）のか、を把握します。従来のモデルでは、そのインベントリを可視化し、ポリシー違反を事後にフラグ（指摘）します。

私たちが目指して構築しているものは、これまでとは違います。規制対象の PII や資格情報（credentials）を含むファイルが、これまで一度もそのデータクラスに触れたことのないアカウントによってアクセスされた場合、そのアクセスは際立ちます。最近権限が昇格（escalated）された許可を追加するか、あるいはそのデータに到達する理由のない役割を持つアイデンティティ（identity）を加えると、組み合わせとしてデータの外部流出（exfiltration）につながる前に中断する価値があります。各シグナルは単独では許可されている可能性があっても、まとめると意図（intent）を表すからです。

行為者のタイプは、ほぼ二の次です。特権管理者のセッション（privileged admin session）、侵害されたサービスアカウント（compromised service account）、そして所有者が意図した以上の到達範囲（reach）を付与された AI エージェント（AI agent）であっても、いずれも敏感なデータセット（sensitive dataset）に対して同じような行動パターンを生み出し得ます。私たちの仕事は、そのパターンを認識し、何かが外部へ出てしまう前に行動することです。

それが、私たちがこの時代における予測（prediction）が意味すべき信号のあり方だと考えています。うまく提供するには、正しい仕事に対して正しいモデルを使うことが必要です。汎用の LLM（General-purpose LLMs）は、めちゃくちゃな文脈の中でも推論において非常に優れており、重要な場面では私たちはそれを大きく活用します。さらに並行して、私たちの R&D チームは、私たちが最も得意とする特定のユースケースに合わせて形作られた目的特化型のモデルを作り込んでいます。つまり、機微データへのアクセスがアイデンティティ（identity）の確立されたパターンに合うかを分類し、学習済みのベースライン（learned baseline）に照らして異常行動（anomalous behavior）にスコアを付け、ミリ秒単位でトークン（token）を取り消すかどうかを判断します。これらは、幅広い一般知識よりも、レイテンシ（latency）、決定論（determinism）、そして適切な学習データがより重要になるタスクです。両方のワークストリームは現在進行中です。

20年後

Mythosは、防御（defense）が何であるかを変えたわけではありませんが、値札（price tags）を変えました。攻撃者にとってこれまで高額だったこと、つまり脆弱性を見つけること、エクスプロイト（exploit）を書くこと、誘い水（lure）を作ることは、今では安くなっています。防御側にとってこれまであまりにも困難だったこと、つまり被害が起きる前に行動から意図（intent）を読み取ることが、ようやく現実的になってきています。私たちの仕事、そして業界全体の仕事は、2本目のカーブが1本目のカーブに遅れないようにすることです。

参考文献

1. Anthropic、「Project Glasswing：AI時代の重要ソフトウェアを守る」、2026年4月。

2. Fortune、「Anthropicがサイバーセキュリティ防御を強化するため、一部企業にClaude Mythosを早期提供」、2026年4月7日。

3. The Hill、「AnthropicのMythosでDCとウォール街が高警戒」、2026年4月。

4. Richard Bejtlich、「攻撃者ツールの完全開示（Full Disclosure for Attacker Tools）」、TaoSecurity、2010年6月。 https://taosecurity.blogspot.com/2010/06/full-disclosure-for-attacker-tools.html

5. David Bianco, 「The Pyramid of Pain」, Enterprise Detection & Response, 2013年3月。 https://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html

6. Stanislav Fort, 「AI Cybersecurity After Mythos: The Jagged Frontier」, AISLE, 2026年4月7日。 https://aisle.com/blog/ai-cybersecurity-after-mythos-the-jagged-frontier

7. Mandiant, 「M-Trends 2026」, 2026年4月。