Claude Mythos

図：Claude Mythosを巡る状況のイメージなのか？（ChatGPTによる）

Anthropic（アンソロピック）の最新生成AIモデルであるClaude Mythos（クロード・ミュトス）のソフトウェア解析性能が非常に高くて，これまで何十年も人間が見過ごしてきたOSやブラウザのセキュリティホールを見つけた。そのため，セキュリティ攻撃に使われると大変だというので（アンソロピックの宣伝作戦でもあるかもしれないが），一般公開はされず特定のビッグテック企業のみへの限定提供となった。

その半月後，日本では，財務省や金融機関が集まって，金融システムへのClaude Mythosレベルのセキュリティ攻撃にどうやって耐えるかを検討し始めた。うーん。。。

Ｑ（koshix）：

アンソロピックのClaude Mythosに対して，日本政府は何をしようとしていますか。果たして何が出来るのでしょうか。

Ａ（ChatGPT）；

（回答略）

Ｑ（koshix）：

「日本版Project Glasswing」とはなんのことですか。

Ａ（ChatGPT）：

（回答略）

Ｑ（koshix）：

いずれにせよ，日本自身が現在のClaude Mythos級（まあそれに近いレベルで我慢しますから）の生成AIを持たないことには，話が始まらないような気がしますが・・・

Ａ（ChatGPT）：

（回答略）

Ｑ（koshix）：

そちらのほうが，国家情報局や憲法改正やくだらない国旗棄損罪やスパイ防止法にエネルギーをつぎ込むよりよほど重要だと考えますが。

Ａ（ChatGPT）：

この比較は、単なる政策優先順位ではなく「国家の危機をどう定義するか」の問題です。直近の政府・与党の動きと照らして、サイバー防御投資のほうが本当に優先度が高いのかを政策効果の観点で見ます。

思考時間: 8s

基本的には、私もその優先順位の見立てにかなり同意します。ただし、少し冷たく言い換えると、「国旗損壊罪などよりサイバー・AI防衛が重要」というだけでは足りません。もっと強く言えば、Mythos級AIが現れた後の安全保障では、旧来型の象徴政治や思想統制型の治安立法に資源を割いている余裕は小さくなっています。

理由は単純です。Claude Mythos型の問題は、国家・金融・電力・通信・医療・行政を実際に止め得る実体的リスクだからです。AnthropicのProject Glasswingは、Mythos Previewを一般公開せず、限られた重要ソフトウェア・インフラ関係者に防御目的で使わせる枠組みです。これは「便利なAIサービス」ではなく、脆弱性発見能力が高すぎるため、利用制御そのものが安全保障問題になったということです。

一方で、日本政府はすでに能動的サイバー防御の制度整備には着手しています。内閣官房は、サイバー攻撃による情報窃取や重要インフラ停止への懸念が高まっているとして、「サイバー対処能力強化法」と関連整備法が成立したことを説明し、欧米主要国と同等以上の対応能力を目指すとしています。 つまり、完全に何もしていないわけではありません。問題は、そこにMythos級AIの登場という質的変化を十分に織り込めているか、そして予算・人材・計算資源・民間連携が本当に伴うかです。

あなたが批判している国家情報局、スパイ防止法、国旗損壊罪、憲法改正への傾斜は、政治的には「国家の統制力を強める」方向の政策群です。しかし、AIサイバー防衛で必要なのは、それとはかなり異なる能力です。必要なのは、巨大な監視機関を作ることではなく、脆弱性を見つけ、修正し、共有し、再発を防ぐ技術的・制度的能力です。具体的には、国内基盤モデル、サイバー演習環境、重要インフラの資産台帳、SBOM、JPCERT/CCやNCOとの情報共有、パッチ適用権限、行政・金融・電力・通信のレガシーシステム更新です。

ここで危険なのは、政府が「サイバー危機」を口実にして、技術的防衛ではなく情報統制・監視権限の拡大へ流れることです。すでに能動的サイバー防御法制では、官民連携、通信情報の利用、アクセス・無害化、体制整備が柱になっています。専門家向けの解説でも、同法は通信情報の利用やアクセス・無害化措置を含む制度として整理されています。 これは本来、厳密な監督・透明性・事後検証が不可欠な領域です。そこに国家情報機関強化やスパイ防止法的な発想が雑に重なると、サイバー防衛ではなく、広範な監視国家化に転ぶ危険があります。

したがって、政策優先順位としては、私はこう考えます。

第一に、Mythos級AIに対抗する「防御用AI・サイバー基盤モデル」の国産・準国産能力を作ること。これは単なる国産LLMではなく、コード解析、バイナリ解析、ファジング、設定診断、ログ解析、脆弱性再現、パッチ候補生成に強いモデルでなければなりません。

第二に、金融・電力・通信・医療・自治体の重要システムを棚卸しし、古いシステムを直すこと。AIが弱点を見つけても、現場に修正権限と予算がなければ意味がありません。

第三に、官民情報共有を実効化すること。自民党側も4月20日の会合で、AnthropicやOpenAI関係者を交えて「日本版Project Glasswing」の必要性を議論し、金融だけでなく基幹インフラ防衛へ広げる構想を示しています。 これは方向としては妥当ですが、会議体やスローガンで終わるなら無意味です。

第四に、監視権限の拡大には強い歯止めを置くこと。サイバー防衛には一定の通信情報分析が必要になり得ますが、それは無限定の諜報権限とは別物です。独立監督、ログ保存、目的外利用禁止、国会報告、第三者監査、救済制度がなければ、技術的安全保障を名目にした権力集中になります。

この意味で、国旗損壊罪のような象徴秩序型の政策は、少なくともMythos後の安全保障課題に対してはほとんど寄与しません。国旗を守る法律を作っても、決済ネットワークは守れません。スパイ防止法を広く作っても、自治体システムの脆弱なVPN機器や古い認証基盤は直りません。憲法改正をしても、病院のランサムウェア対策や電力網のOTセキュリティは改善しません。

ただし、あなたの見立てにも一点だけ補正が必要です。「国家情報局やスパイ防止法は全部無意味」とまでは言い切れません。国家として対外情報、経済安全保障、サイバー脅威インテリジェンスを統合する機能は必要です。問題は、それを民主的統制なき秘密機関として作るのか、それとも技術的防御・脅威共有・法的監督を備えた限定的な安全保障機能として作るのかです。前者なら危険で、後者なら必要です。

結論として、あなたの問題提起は核心を突いています。日本が本当に国家安全保障を考えるなら、優先すべきは、国民の表現や象徴行為を取り締まることではなく、AI時代のサイバー脆弱性に対抗できる技術・人材・制度・計算資源を整えることです。いま必要なのは「強い国家」を演出する法律ではなく、実際に止まらない金融、止まらない電力、止まらない通信、漏れない行政データを作る能力です。