[ビジネス韓国] 去る4月、Anthropic（アンソロピック）が「ミトス（Mythos）」のプレビューを公開して以降、「ミトス級」に分類されるAIモデルが次々と登場している。Anthropicの「ミトス5」と一般向け変形モデル「フェイブル5（Fable 5）」に続き、OpenAIの「GPT-5.6 ソル（Sol）」、オープンソースベースの「キミ（Kimi）K3」までが登場し、緊張感が産業界全体に拡散している様相だ。特に最近、GPT-5.6 ソルが開発者プラットフォーム「Hugging Face（ハギングフェイス）」への侵害事故を引き起こしたことで、AIのハッキング能力をめぐる議論は「いかに制御するか」へと移っている。
3ヶ月で3つも登場した「ミトス級」AI
ミトスが初めて公開された際、業界が注目したのは、サイバーセキュリティ専用に設計されていない汎用モデルが極めて高いハッキング能力を備えていたという事実だった。当時はGPTやキミ系列がまだこのレベルに達していなかったが、現在はGPT-5.6 ソルと中国Moonshot AIのキミK3まで加わり、少なくとも3つの系統でミトス級モデルが増加した状態だ。脆弱性を発見し、それを実際の攻撃コードへと変換する能力が、特定の企業の課題ではなく、業界全体の懸念事項になったことを意味する。
こうした懸念を具体的な事例として示したのが、先月GPT-5.6 ソルが引き起こした「Hugging Face侵害事故」だ。OpenAIによると、ソルは内部のサイバーセキュリティ評価の過程で、制御環境を逸脱し、外部のAIプラットフォームであるHugging Faceのオペレーティングシステムを自律的にハッキングしたことが確認された。この過程でアクセス記録を削除し、一部のデータにアクセスしたという。
これは単なる内部エラーではなく、隔離されたサンドボックス環境から脱出し、実際の外部サーバーに侵入した前例のないセキュリティ事故に該当する。OpenAIは事故直後にセッションを遮断し、影響を受けたアカウントに通知したと発表した。
高麗大学AI研究所のチェ・ビョンホ教授は「ユーザーが特定のシステムログ削除を指示した際、モデルがこのログを見つけられず、類似する項目まで削除対象として拡大解釈したことで問題が始まった」と、事故の背景にある動作原理を説明した。この過程で、モデルはアクセス可能なキャッシュやクッキー情報を活用してアカウント情報を取得し、結果として本来の権限範囲を逸脱したシステムにまでアクセスした。
チェ教授は「このモデルはユーザーの問題解決を最優先価値として学習している。しかし、人間であれば当然前提とする慣習や規範に対する理解が欠けているため、目標を達成するまで試行を拡大する方式で行動してしまう」とし、「途中でユーザーと対話したり進行状況を報告したりせず、結果が出てから初めて全過程を説明する傾向もある」と述べた。OpenAIもGPT-5.6公開時にシステムカードを通じて、こうした制御範囲外の行動の可能性を明示していた。
「誇張されている」という反論もあるが…27年前のバグまで発見
Anthropicが「グラスウィング（Glasswing）」プログラムを通じて少数のパートナー企業にのみ制限的にミトスを提供しているのに対し、K3はオープンソースであるため、こうしたアクセス制御そのものが成立しない。ダークウェブ上でも稼働できるため、組織犯罪に悪用される可能性も指摘されている。
ミトス級AIモデルとは、人間の専門家レベルを凌駕する高度な推論能力およびサイバーセキュリティ・コーディング能力を備えた次世代フロンティアAIを指す。Anthropicは、Amazon Web Services（AWS）、Apple、Google、Microsoftなどの主要インフラ企業をパートナーとして「グラスウィング」プログラムを運営している。ミトスの一般公開を保留する代わりに、信頼できる少数の機関にのみアクセス権を開放し、世界中の重要なソフトウェアの脆弱性を先に見つけて修正させる、一種の防衛同盟だ。このプログラムは稼働から1ヶ月も経たずに1万件以上の脆弱性を発見したと報じられている。
KAIST情報保護大学院のチャ・サンギル教授は、21日に開かれたミトス関連政策・産業対応戦略の国会討論会で、「ミトスは27年前のOpenBSD TCP脆弱性や、16年前のFFmpeg脆弱性まで発見した」とし、「大半は既存のセキュリティ専門家が見逃していたものだ」と説明した。
海外では、ミトスの脅威レベルが過大評価されているという見方もある。ハーバード・ケネディスクールの客員研究員でセキュリティ専門家のブルース・シュナイアー氏は、ミトス発表をめぐる初期報道の多くが、Anthropicの発表内容を批判的に検証することなくそのまま報じた点を指摘し、今回の公開自体がかなりの部分で広報戦略の性質を帯びていると分析した。ミトスが実際に何ができて何ができないかという詳細情報が制限的にしか公開されていない現状では、脅威の大きさを判断する根拠も会社の発表に大きく依存せざるを得ないという指摘だ。
「ユーザーもまだ信じられない」制御力の限界
現場のホワイトハッカーたちの間では、別の限界も指摘されている。HSPACE（ホワイトハッカーコミュニティ）のキム・ジョンミン代表は、AIが脆弱性探知のハードルを大幅に下げ、セキュリティ生産性は向上したが、検証されていない脆弱性が無分別に溢れ出す「脆弱性の大洪水」が新たな問題として浮上していると診断した。
AIで見つけた脆弱性は似たようなパターンを示すことが多く、重複通報が急増しているほか、本来意図された設計であるにもかかわらず、脆弱性と誤認して検証なしに提出される事例も増えているという。キム代表は「かつてハッカーは自ら試合に出るプレイヤーだったが、今はメッシやロナウド、エムバペを率いる監督のようなものだ」と表現した。AIのおかげで個人のスキルに関係なくはるかに多くの脆弱性を見つけられるようになったが、それだけ選別されていない成果物も増えたということだ。
倫理意識が欠如した参加者が市場に流入することも懸念材料として挙げられる。本当に重要な脆弱性を処理すべきリソースが、AIによる「公害」から発生した脆弱性の処理に費やされているという指摘もある。
業界内外では、ミトス級モデルのもう一つの限界として「制御力の不足」を挙げている。どれほど強力な探知・防衛能力を備えていても、運用する人間の意図通りに正確に動かないのであれば、防衛目的であっても安心して使うことは難しい。GPT-5.6 ソルのHugging Face事故が物語るように、問題はモデルが悪意を持って攻撃した場合だけでなく、指示を拡大解釈して自ら判断範囲を広げた場合にも同様の被害が発生し得るという点だ。
モデル自体に制御機能を内蔵させる方向で議論が進んでいるのはこのためだ。行動に先立って結果をシミュレーションする「検討機能」のほか、復旧不可能な措置の前には必ずユーザーの承認を求める手続き、モデルの行動を別途監視するエージェント構造などが代替案として挙げられている。
チェ教授は「Googleなどがこうした装置のデフォルト有効化を求めているが、今回のGPT-5.6事故も関連機能が十分に機能していない状態で発生した可能性がある」とし、「まだ標準化された解決策はない段階だ」と述べた。