Anthropicの未公開AI「Mythos」、主要ブラウザ丸ごと攻略

ポイント

• Anthropicは2026年10月27日、非公開の内部研究用AIがChrome・Safari・Android・Windows・Linuxの脆弱性を自動で見つけ、攻撃コードまで作ったという研究結果を公開しました。
• ChromeではGoogleが62件のCVEを割り当て、すべて「高」か「重大」の深刻度でした。13件はサンドボックス脱出用で、Chrome156で修正済みです。
• 一部のCVEについては、Anthropicが説明する技術的な原因と、公的なCVE記録の内容が食い違っているとの指摘が複数のセキュリティ媒体から出ています。

Chromeで起きたこと、ページを開くだけで電卓が起動

Anthropicは2026年10月27日、非公開の内部研究用AIを使ってソフトウェアの脆弱性を発見・悪用した研究結果を公開しました。

デモの一つは、標準設定のmacOS版Chromeを使ったものです。ページを読み込んでから数秒以内、追加の操作なしで電卓アプリが起動しました。

この電卓起動は、V8のヒープ破壊・サンドボックス突破とASLR回避・CacheStorageの競合状態・FedCMのuse-after-freeという4つの脆弱性を組み合わせて実現されたと報じられています。

Googleはこの件でCVE(共通脆弱性識別子)を62件割り当てました。すべて深刻度は「高」または「重大」で、13件はブラウザのサンドボックスから抜け出すためのものでした。修正はChrome156で完了しています。

正体は非公開の研究用AI「Mythos」

Anthropic自身の発表文では、使用したモデルを「非公開の内部研究用AI」とだけ説明しており、モデル名を明記していません。

一方で複数のメディアは、この研究用AIを「Mythos」と呼んでいます。Mythosは2026年3月、社内のCMS設定ミスで存在が流出したサイバーセキュリティ専用のAIです。

当サイトではこの経緯と、Bank of Americaが修正に契約社員1000人を動員した顛末を『Anthropicの未公開AI「Mythos」が招いた1000人動員』で追っています。

Mythosはいまも一般公開されておらず、サイバー防御に関わる組織に限って提供が続いています。さらに8月には、Mythosを上回る非公開AI「Model2」の存在もAnthropic自身の報告書で明らかになりました。詳しくは『Anthropicの封印AI「Model2」、強さの正体』で解説しています。

SafariとAndroidでも破られた防御

ブラウザの話はChromeだけではありません。

Safariでも、サイトごとのデータを隔離する「同一オリジンポリシー」を回避する攻撃が確認されました。JavaScriptCoreのuse-after-freeとサンドボックスのIPC脆弱性を連鎖させ、ログイン中のサイトの履歴やCookie、セッション情報を読み取れる状態でした。

コードを実行する攻撃ではなく、データだけを抜き出す「データのみ」の攻撃という点が特徴です。Appleは報告を受けた当日に修正版を提供しました。

Androidでは、ロックされたPixel9を使った実験が報告されています。USB経由でデータを取り出す仕組みを、3つの脆弱性を連鎖させて回避したとされています。

USBでのデータ転送をロック中は止める仕組み、ペアリングの認可、6桁コードによる確認という防御を順に突破する内容です。

この攻撃には端末そのものへの物理的なアクセスが必要で、遠隔から勝手に起きるものではありません。Googleはすでに対処しています。

WindowsとLinuxのサーバーも陥落

サーバー側のOSも対象になりました。

Windowsでは、通信処理のカーネル実装に範囲外読み取りの不具合が見つかりました。少量のパケットを送るだけで対象のサーバーをクラッシュ・再起動させられます。

繰り返すと使えない状態が続きます。コードを実行するものではなく、サービス妨害(DoS)のタイプです。Anthropicは、こうしたサーバーが世界で数百万台規模にのぼると見積もっています。

Linuxはさらに深刻だと報じられています。ログインもユーザーの操作も不要で、遠隔から管理者権限を奪えるという内容です。

まずメモリの配置情報を漏らしてASLR(メモリ配置のランダム化)を無効化し、同じ競合状態のバグを使って中身を書き換えたとされています。

テストでは情報を漏らすまでに約48分、そこから管理者権限を取ってコマンドを実行するまでさらに約5分、合計で約53分だったと報じられています。失敗しても対象のマシンが落ちないため、何度でも試行し直せる点も指摘されています。

数字のズレを検証、Anthropicの発表はどこまで確か

ここまでの内容は、基本的にAnthropic自身の発表と、それをもとにした報道に基づいています。この点はいくつかの食い違いとともに見ておく必要があります。

まず、確実なのは「GoogleがChromeに62件のCVEを割り当て、Chrome156で修正済みであること」です。CVEという公的な記録が実際に存在するため、ここは裏付けが取れます。

一方で、原因の技術的な説明には食い違いがあります。Windowsの不具合についてAnthropicは「通信処理(QUIC)のカーネル実装」が原因だとしています。

しかし該当するCVE-2026-33096の公的な記録には、HTTP.sys(Windowsの標準的なWeb要求処理機能)の問題としか書かれていないと、複数のセキュリティ媒体が指摘しています。

Linuxについても同様です。Anthropicは「特殊なTCP(マルチパスTCP)」が原因だとしていますが、結び付けられているCVE-2026-98432の公的な記録は、通常のIPv4 TCPに関するuse-after-freeとしか説明されていません。

もう一つ注意したいのが、「旧モデルの90倍以上」という比較数値の出どころです。この数字はAnthropicが2026年4月に公開したMythos Previewの性能検証に基づくものです。

Firefoxの古いJavaScriptエンジンを使ったテストで、旧世代のOpus4.6が250回前後の試行中2回しか動く攻撃コードを作れなかったのに対し、Mythos Previewは181回(約72%)成功したという内容です。

今回10月27日に発表されたChromeやLinuxの話とは別の検証であり、対象もFirefoxという点に注意が必要です。半年前の性能検証の数字が、今回の発表と並べて語られている形です。

つまり、CVEの件数や修正の事実そのものは確かですが、原因の技術的な説明や、性能の伸びを示す数字の一部は、Anthropic側の説明や過去の検証資料に依拠している部分があります。発表元の説明と、第三者が確認できる公的な記録は分けて見る必要があります。

Anthropicの次の一手、ガイダンス機能と検証プログラムの拡大

Anthropicはこの発表にあわせて、開発者向けの対応も示しています。

Claude Codeを使う開発者向けに、コードを本番環境に入れる前に安全性を確認する「security-guidance」機能を公開しました。

あわせて、適格なセキュリティ専門家にMythosなどの高性能モデルを使わせる「Cyber Verification Program(サイバー検証プログラム)」の対象も広げるとしています。

今回使われた研究用AI自体については、一般公開の計画があるとは説明されていません。Mythos系のモデルについても、これまで一般公開の計画はないとされてきました。1社がこうした能力を持っていること自体が、業界への警告だという位置づけです。

Anthropicは直前の10月20日にも、Claudeを使ってオープンソース25本から493件のセキュリティ上の課題を見つけたという別の研究結果を公開しています。詳しくは『Claudeに攻めさせたら493件、21年前からの盲点も』で解説しています。

AIリーク情報局の見立て：Mythosの発表は「答え合わせ」が早いタイプ

Mythosに関する一連の発表は、当サイトが追ってきた他のAnthropicリークと比べて、後から答え合わせがしやすいタイプの情報だといえます。

2026年3月の設定ミス流出からおよそ半年後、Bank of AmericaのCEOが実際に契約社員1000人を動員したと決算発表で明らかにしたように、Mythos関連の話は「発表されたこと」が実際の出来事につながってきた実績があります。

今回のCVE62件も、Chrome156という具体的な修正版があるため、今後第三者が検証しやすい情報です。一方で、原因の技術的な説明の一部にはすでに食い違いが指摘されており、すべての数字をそのまま受け取るのは避けたほうがよさそうです。

当サイトの予想は、CVEの件数や修正の事実そのものは今後も概ね裏付けが取れていく一方、「数百万台」や「90倍」のような規模感を示す数字は、独立した検証が追いつくまで一定の幅を持って見る必要がある、というものです。公的な記録との食い違いについて続報があれば、この記事に追記します。

追記（2026-10-31）：Mythosを使える枠組みの参加組織と投資額が判明

この研究用AIを使える限定プログラム「Project Glasswing」について、参加組織（Anthropic含め12）や利用クレジット約150億円の投資額、価格設定がAnthropicの公式発表から判明しました。10月6日には制度自体が3段階の新体制に再編されています。

Anthropicの「Mythos」に関する質問

この研究に使われたAIは、Mythosという名前で確定していますか？

確定はしていません。

Anthropic自身の発表文では「非公開の内部研究用AI」とだけ説明されており、モデル名は明記されていません。複数のメディアがこれを「Mythos」と呼んでいますが、発表元が明言したわけではありません。

今回見つかった脆弱性は、まだ悪用できる状態ですか？

いいえ、公開されている範囲については修正済みです。

ChromeはChrome156、SafariはAppleが報告を受けた当日に修正版を提供、AndroidもGoogleが対処済みとされています。WindowsとLinuxもそれぞれ対応するCVEとして修正されています。

このAIは誰でも使えるようになりますか？

今のところ未定です。

今回使われた研究用AIについて、一般公開の計画があるとは説明されていません。Mythos系のモデルについても、これまで一般公開の予定はないとされてきました。

Androidの攻撃は、遠隔からスマートフォンが乗っ取られる話ですか？

いいえ、物理的なアクセスが必要です。

ロックされたPixel9本体にUSB経由でアクセスする前提の攻撃で、遠くから何もせずに起きるものではありません。

Windowsの脆弱性はパソコンが乗っ取られるものですか？

いいえ、コードを実行させるものではありません。

報じられている内容は、対象のサーバーをクラッシュ・再起動させるサービス妨害(DoS)のタイプです。管理者権限を奪うものではありません。