NECが発表したのは、防御AIを社内運用に入れる計画だ
NECは2026年9月2日、Anthropicが進めるProject Glasswingに参画し、Claude Mythos Previewを防御的なサイバーセキュリティ業務で活用すると発表した。対象は、社内ITシステムの脆弱性管理、ソフトウェア開発、システム運用などだ。自社を最初の利用現場にして、効果、安全性、運用ルールを検証し、顧客向けサービスの設計、導入方法、ガバナンス、人材育成へ反映する。
同じ日にNECは、セキュリティ向けAI技術「cotomi Security for Industry」も発表した。高性能AIが見つける未公開脆弱性を取り込み、脆弱性の分類、システムへの影響分析、対応優先度の判断、仮想パッチ生成まで支援する。CyIOCのシステムリスク診断サービスに実装し、高性能AIを活用した脆弱性診断と合わせて9月末から順次提供する計画だ。
変わった前提は、脆弱性の発見力が現場の渋滞を生むことだ
サイバーセキュリティにおけるAIの価値は、ログ要約やアラート整理にとどまらなくなっている。フロンティアAIはソースコードやシステムの弱点を探し、これまで人手で拾いにくかった未公開脆弱性まで候補に挙げる。ここで起きる変化は、発見数が増えるほど防御が楽になるという単純な話ではない。
企業の現場では、見つかった弱点がどの重要資産に届くのか、攻撃として成立するのか、業務停止を伴う修正を今すぐ入れられるのか、一時的な防御でリスクを下げられるのかを決める必要がある。AIの性能向上は、発見後の選別、承認、実装、監査という新しい判断待ちの列を生む。NECが優先順位付けと仮想パッチまで組み込むのは、発見だけでは企業のリスクが下がらないからだ。
価値は、検出から選別、封じ込め、監査まで流れて初めて出る
今回の技術的な変化は、モデルが出した脆弱性候補を、運用上の対処に変換する部分にある。NECの説明では、未公開脆弱性について攻撃の種類や深刻度を自動分類し、機器のインターネット露出、悪用事例、資産の重要度、複数脆弱性の組み合わせまで考慮して優先順位を付ける。公開済みのCVSSスコアだけでは扱いにくい弱点を、現場の対処順に変える発想だ。
速度が変わるのは、AIが脆弱性を見つける瞬間より、その後の作業だ。影響分析、優先順位、WAFやIDS/IPSに使える仮想パッチの生成までつながれば、修正パッチが未提供の場合や、基幹システムへの即時適用が難しい場合でも、暫定的にリスクを下げる道ができる。NECの発表では価格は示されていないが、導入コストの中心はモデル利用料だけでなく、専門家レビュー、監査ログ、誤検知対応、既存チケットやネットワーク運用ツールとの接続に出る。
企業が詰まるのは、AIにどこまで触らせるかの境界だ
Claude Mythos系のような高能力モデルは、防御に役立つほど攻撃にも転用されうる。AnthropicはMythos 5.1を信頼済みの組織向けに限定し、サイバーや生命科学の高リスク領域ではアクセスプログラムやセーフガードを組み合わせている。企業にとってこれは、便利なAIを導入する話ではなく、危険な能力をどの役割、どの環境、どの承認手順に閉じ込めるかという設計問題になる。
特に扱いが難しいのは、ソースコード、設定情報、未公開脆弱性、顧客システムの構成情報だ。これらは企業の知財であり、攻撃者にとっても価値が高い。AIが読む範囲、外部通信の有無、パッチ案を作る権限、本番環境へ反映する権限、失敗時の責任分担を分けなければ、発見力の高さはそのまま内部リスクになる。利用者にとっての利益は安全なサービスだが、その裏側ではAIの提案を人間がどう止め、どう記録するかが問われる。
競争軸は、モデル名から企業システムへの組み込み力へ移る
この発表をモデル性能のニュースだけとして読むと、見落とす部分がある。Anthropicは高能力モデルと限定的なアクセスの仕組みを持つ。一方でNECは、重要インフラや政府機関を含む顧客のシステム構築、セキュリティ運用、脅威インテリジェンス、国内の導入現場を持つ。AI防御の競争は、最強モデルを誰が作るかに加えて、そのモデルをどの運用網に載せられるかへ広がる。
開発者には、コードレビューや脆弱性診断の密度が上がる一方、AIが出した指摘を修正可能なチケットへ落とす力が求められる。企業には、AI利用方針、権限分離、ログ保全、監査対応の整備が必要になる。AI企業には、広く配布するモデルと、検証済み組織だけに開く高能力モデルを分ける配布設計が必要になる。上場企業イベントとしては、短期の発表効果より、9月末以降に有償導入、継続契約、重要インフラ案件への横展開が出るかが事業価値を左右する。
見立てが変わるのは、提供範囲と事故対応のどちらが先に広がるかだ
今回の発表が単なる先進技術の採用で終わるか、セキュリティ運用の標準を変えるかは、商用展開後の数字で分かれる。発見された脆弱性の件数より重要なのは、重大リスクの平均対処時間、誤検知率、専門家レビューの工数、仮想パッチで一時防御できた件数、監査で追跡できるログの粒度だ。
AIの利用範囲が広がり、対処時間が短くなり、監査可能な形で人間の承認を挟めるなら、企業導入の壁は下がる。反対に、アクセス制限、データ保持、知財、責任分担をめぐる摩擦が大きくなれば、導入は一部の検証環境にとどまる。AI防御の勝者は、脆弱性を多く見つける企業ではなく、危険な能力を業務の中で安全に動かせる企業になる。