Mythosがもたらす転換点： 発見が防御を上回る時代

2026年4月、サイバーセキュリティーの状況は転換点に達し、その変化は元に戻せません。AnthropicのMythosモデルは、人工知能（AI）が人間の能力を超える規模と速度で脆弱性を特定し、潜在的に利用できることを実証しました。初期の調査結果によると、主要プラットフォーム全体で何千もの未知の脆弱性が見つかっていますが、修復されているのはごく一部です。

この展開は、企業がセキュリティーについて考察する方法を根本的に変えます。今回初めて、発見ではなく、対応こそが制約になっています。

長年にわたり、サイバーセキュリティー戦略は可視性の向上に重点を置いてきました。組織は、リスクを明らかにするためにコード、インフラストラクチャー、アプリケーションをスキャンするツールに投資しました。そのモデルでは、発見が制限要因であると想定していましたが、もはやそうではありません。現在、AI駆動型システムは、人間のチームの対応能力を超える速度で脆弱性を継続的に生成できるようになりました。

その意味するところは明白です。制約は、脆弱性の発見から、それに基づく対応へと変化しました。

AI駆動型の発見によって構築される環境は、企業が過去に管理していた環境とは大きく異なります。脆弱性がマシン規模で表面化するため、量は劇的に増加します。脆弱性が悪用されるまでの猶予が数週間から数時間に短縮され、スピードが極めて重要になっています。コンテキストや優先度を欠く大量の検出結果がノイズとなって広がり、すでに制約に縛られているチームが対応しきれない状況になっています。

ツール間の断片化は、脆弱性がコード、インフラストラクチャー、ランタイム環境にまたがり、一元的に把握できない場合、システムの弱点となります。この組み合わせによって持続的な運用上の圧力が生じ、従来のアプローチでは対応できません。

今必要なのは漸進的な改善ではなく、事業運営モデルの根本的な転換です。これは、個々の脆弱性の管理から会社全体のシステム面なエクスポージャーの管理へと移行する動きを反映しています。従来のアプローチは線形かつ事後対応型で、チームがスキャン、トリアージ、チケットの作成、修復を行うもので、多くの場合、分断されたツールやワークフロー全体で行われます。

重大な脆弱性や侵害が発生すると、このモデルはすぐにコントロール・ルームへと変わります。セキュリティー、開発、運用、インフラストラクチャーの各チームが同時に動員されます。一方、データは複数のシステムから収集する必要があり、所有権は不明確で、意思決定はプレッシャーの中で行われます。影響を完全に理解し、対応を調整するまでに、数日、場合によっては数週間かかる場合があります。

AIが加速された環境では、この課題はさらに大きくなります。組織は単一のインシデントではなく、何千もの新たなエクスポージャーに直面しています。同じ手作業の断片化されたプロセスが、指数関数的に大規模に適用されます。

そのモデルはスケーリングできず、チームは対応しきれず、新たなモデルが出現しつつあります。継続的なエクスポージャー管理は、可視性、優先順位付け、修復を1つの継続的な機能に統合します。業界は、従来の脆弱性管理アプローチから脱却しつつあります。現在必要なのは、AIの規模とスピードに合わせて設計された新しい運用モデルです。

このモデルは一時的なものではなく、継続的なものでなければなりません。可視性、優先順位付け、修復を1つの運用フローに統合することが必要です。そして、技術的な重大度だけではなく、ビジネスへの影響に基づいて、組織がリアルタイムに対応できるようにする必要があります。

セキュリティーは今や、ソフトウェアのリリース時点で適用されるのではなく、ライフサイクル全体に組み込まれています。優先順位付けは、一般的な重大度スコアからビジネスへの影響度へと移行し、修復は自動化、管理、既存のワークフローへの統合が行われます。その結果、提供速度を維持しながらリスクを軽減する継続的なサイクルが実現します。

サイバーセキュリティー・アーキテクチャーの次の段階は、運用統合に焦点を当てています。企業にこれ以上のポイント・ツールは必要ありません。既存の機能を接続し、変化をアクションに変える運用層が必要です。これは、新しい並行ワークフローを作成するのではなく、セキュリティーの検出結果を、すでに作業が行われているシステムに直接接続することを意味します。

このレイヤーは、AIを活用した検出を含む、複数のソースから得られる検出結果を処理する必要があります。テクノロジー・スタック全体にわたるエクスポージャーを関連付け、企業固有のリスクとビジネス・コンテキストに基づいて優先順位を付け、確立されたプロセスやシステムを通じて修復を調整しなければなりません。この機能がなければ、可視性は高くても複雑さが増すだけです。

適応に成功する組織には、いくつかの共通点があります。このような組織は、リアルタイムで状況認識と対応を行いながら、で継続的に運用を行い、重大度だけではなく、結果に基づいてリスクの優先順位を付け、実行の自動化により、手動プロセスへの依存を軽減し、リスクに対する共通理解に基づいて、開発、セキュリティー、運用を統合し、活動レベルではなく、修復までの時間やリスクの軽減などの結果を測定します。このアプローチは、事後対応型のセキュリティーから設計されたレジリエンスへのシフトです。

Mythosのようなモデルの出現は、反応ではなく熟考を促すべきです。企業のリーダーは、次のような直接的な質問をすべきです。

• 現在、脆弱性はどれだけ迅速に修正できるのか？
• 発見が大幅に増加した場合はどうなるのか？
• 検知と対応の間のギャップはどこにあるのか？

これらの質問に対する答えによって、組織の準備状況が決まります。

この業界は過去10年間、脆弱性を特定する方法を改善してきました。今後10年は、それらがどれだけ効果的に解決されるかによって決まります。人工知能によって発見は加速されています。また、現在の運用モデルの限界も明らかになりました。

成功する組織は、断片化されたプロセスから継続的で統合された実行に移行し、エクスポージャーを管理する方法を変革する組織です。問題は、脆弱性をどれだけ早く発見できるかではありません。重要なのは、それらが現在生じているのと同じスピードで組織がそれらを解決できるかどうかということです。

変化は始まっています。今こそ、それをリードするチャンスです。

IBM Concertの詳細はこちら