Anthropicの「Mythos」が暴いた深刻な脆弱性：BofAが1,000人の外部コントラクターを緊急投入した裏側

人工知能（AI）の進化は、私たちの働き方だけでなく、企業のデジタルインフラやセキュリティのあり方を根底から揺るがし始めています。特に、最先端のフロンティアAIモデルが持つ圧倒的なコード解析能力は、企業にとって強力な武器となる一方で、これまでにない巨大な脅威としても立ちはだかっています。

今回は、米国の金融大手バンク・オブ・アメリカ（Bank of America）が直面した前代未聞の事態と、Anthropic社の最新AIモデル「Mythos」が浮き彫りにしたサイバーセキュリティの現実について詳しく見ていきましょう。

Anthropicの「Mythos」とは？数千件の脆弱性を暴いた衝撃

今年4月、Anthropic社は「Project Glasswing」の一環として、一部の銀行や政府機関、テクノロジー企業に対して、同社の新しいAIモデルである「Mythos」を限定公開しました。

この「Mythos」の性能は非常に強力で、企業の複雑なコードベースから数千件におよぶソフトウェアの脆弱性を瞬時に浮き彫りにしました。人間が何ヶ月もかけて見つけ出すようなコードの欠陥やセキュリティホールを、AIが圧倒的なスピードで突き止めたのです。

しかし、これが企業側にとっては大きな頭痛の種となりました。バグや脆弱性が一気に発見されたことで、それらを迅速に修正しなければ、サイバー攻撃者につけ入る隙を与えてしまうためです。

バンク・オブ・アメリカが踏み切った「1,000人規模の外部コントラクター緊急雇用」

この状況の深刻さを物語る象徴的な出来事が、バンク・オブ・アメリカの動きです。同行のCEOであるブライアン・モイニハン（Brian Moynihan）氏が第3四半期の決算発表およびCNBCのインタビューで明らかにしたところによると、同行は第2四半期に外部コントラクター（業務委託者）1,000人を緊急雇用しました。

現在、バンク・オブ・アメリカでは既存の内部スタッフ3,000人に加え、この1,000人の外部専門家がパッチの適用やコードの修復作業（Mythos remediation）に追われています。

さらに、そのコストも膨大です。同行は第3四半期だけで、ソフトウェアの修正やマネーロンダリング対策のコンプライアンス対応を含め、「数億ドル以上（couple hundred million plus）」の費用を計上しています。AIが発見したバグを修正するためだけに、これほどまでの巨額の予算と人員が投じられているのは、まさに異常事態と言えます。

ジェイミー・ダイモン氏も警告：サイバーリスクが「10倍」に跳ね上がる時代

この動向について、金融界からは次々と危機感の声が上がっています。JPMorganチェースのCEOであるジェイミー・ダイモン（Jamie Dimon）氏は、Mythosのような高度なAIモデルの登場によって、金融機関におけるサイバーセキュリティのリスクが「10倍に跳ね上がった」と強く警鐘を鳴らしています。

金融やセキュリティの専門家たちも、フロンティアAIモデルが人間の開発速度を遥かに凌駕するスピードでコードの欠陥を暴き出す以上、大企業はこれまでとは比較にならないほどのコストと人員を投じて、防御体制の全面的な刷新を迫られていると分析しています。

外部委託の拡大がはらむセキュリティ上のジレンマ

一方で、この大規模な対応策に対しては、外部のコミュニティから懸念や皮肉の声も上がっています。

海外のテック系コミュニティ（Redditなど）では、「1,000人もの外部の人間を銀行のコアコードに触れさせるのは、それ自体がセキュリティ上の重大なリスクではないか」「まるでアパートの合鍵をビル全体に配るようなものだ」といった批判や懸念が相次いでいます。脆弱性を直すために人を増やした結果、新たなセキュリティの隙を生んでしまうという皮肉なジレンマに、金融機関は直面しているのです。

また、「人間が手動で直すのではなく、AI（Mythos）自身にコードを修正させればいいのではないか」といった冷ややかな意見や、経営陣の管理体制の甘さを指摘する声も聞かれます。

まとめ：AI時代のセキュリティ防衛戦に向けて

Anthropicの「Mythos」が金融業界に投げかけた波紋は、AIが企業のコードベースに突きつけた脅威の現実を如実に示しています。人間を超えるスピードで脆弱性を発見するAIの登場により、今や企業は莫大なコストを払って防衛を固めざるを得ません。

今後、人間による手動パッチから、AIによる自律的修復システムへの移行がどのように進んでいくのか、そして外部委託に伴うセキュリティリスクをいかにコントロールしていくのかが、IT管理者や金融業界にとって最大の焦点となりそうです。

自社のコードベースにおけるAI時代のエンドポイントセキュリティ対策を見直し、最新の動向に目を光らせておくことが、これからの企業経営において不可欠と言えるでしょう。