Claude Mythos 5が脆弱性スキャン対応｜企業への影響

Anthropicは2026年8月21日、Claude Mythos 5の脆弱性スキャンをClaude Securityで利用可能にしたと公式ブログで発表しました。対象はClaude Enterprise顧客で、現在はパブリックベータです。

検出と修正案の提示が一つの画面から進む一方、提案されたパッチの安全性まで保証されるわけではありません。企業には、リポジトリの権利確認、人間による承認、既存検査との比較を含む運用設計が必要です。

Claude Mythos 5の脆弱性スキャンとは

Claude Mythos 5は、Claude Securityのスキャン処理で使われるモデルです。利用者が通常のチャット画面から直接プロンプトを送る形ではありません。脆弱性の検出やパッチ案など、目的を限定した成果物を受け取ります。

Claude Enterprise向けパブリックベータ

利用対象はClaude Enterpriseの顧客です。管理者がadmin consoleでClaude Securityを有効化し、利用者はclaude.ai/securityから組織が所有するリポジトリを選びます。

パブリックベータは、正式提供前の機能を対象ユーザーが試せる段階です。画面、仕様、提供条件が変わる可能性を考慮し、本番の必須工程へ直ちに組み込むより、限定したPoCで適合性を確かめるのが現実的です。

別アドオンは不要

公式発表によると、別のアドオン契約は必要ありません。利用分はClaude Enterpriseの既存プランにおける標準トークン使用量として課金されます。

ただし、Mythos 5単体の価格やリポジトリごとの費用は公表されていません。PoCではスキャン前後のトークン使用量を記録し、自社のコード量と実行頻度に即した費用を確認する必要があります。

スキャンから修正までの流れ

スキャン結果と修正実装は同じ工程ではありません。Mythos 5が調査結果を示し、Web版Claude Codeが修正作業の対話を担い、最後に人間が実装可否を判断します。

CWEは、ソフトウェアの弱点を共通の名称で分類する枠組みです。confidenceは検出結果への確信度、severityは想定される深刻度、suggested fixは修正案を示します。severityが高くても直ちに悪用可能とは限らないため、実行経路や影響資産と合わせて判断します。

修正実装の対話では、組織がClaude Codeで利用できるモデルが使われます。Claude Securityを有効化しても、他の画面でMythos 5へアクセスできるようにはなりません。この権限境界を前提に、担当と承認者を分けます。

企業セキュリティに与える影響

企業にとっての価値は、コード調査の入口を増やせる点にあります。CWEと深刻度が付いた候補から確認を始められるため、セキュリティ担当と開発者が同じ検出結果を参照しやすくなります。

一方、公式発表には検出率、誤検知率、見逃し率、修正成功率が示されていません。「Claude Securityだけで安全性を保証できる」とは判断できません。既存のSAST（ソースコードを実行せず解析する静的検査）、依存関係スキャン、コードレビュー、テストを残したまま比較すべきです。

比較では、単純な検出件数より次の差を確認します。

• 既存検査が見つけ、Mythos 5が見逃した項目
• Mythos 5だけが示した項目と、その再現性
• 誤検知の確認に要した時間
• 修正案が既存テストへ与えた影響
• 同条件で再実行した際の結果の変化

Anthropicは提携セキュリティ製品への統合も予定しています。ただし、製品名や提供時期は公式発表時点で確定していません。将来の統合を前提に既存の検査基盤を廃止する判断は避けるべきです。

企業が今すぐ行うPoCの5ステップ

PoCは、小さく試して導入判断の記録を得る工程です。権利関係と既知の検査結果を確認できるリポジトリから始めます。

1. 対象と権利を限定する

自社が所有し、スキャン権限を持つリポジトリを1つ選びます。顧客から預かったコードや、契約上解析できない第三者コードは除外します。対象ブランチ、担当者、PoC期間も記録します。

2. 管理者が機能を有効化する

Claude Enterpriseの管理者がadmin consoleでClaude Securityを有効にします。最小権限のアカウントを使い、対象外リポジトリへ接続できないことも確認します。

3. 既存結果と比較する

claude.ai/securityから対象を選び、既存のSASTや手動レビュー結果と照合します。CWE、confidence、severity、suggested fixを表にし、真陽性、誤検知、要調査へ分類します。

4. 隔離したブランチで検証する

Web版Claude Codeで修正案を実装する場合は、保護された本番ブランチへ直接反映しません。人間が差分をレビューし、単体テスト、結合テスト、セキュリティテストを通した後に承認します。

5. 継続判断を記録する

追加発見数、誤検知数、レビュー時間、トークン使用量、テスト結果を残します。公表されていない効果率を外部情報で補うのではなく、自社の結果から継続、対象拡大、中止を判断します。

AI機能の導入とセキュリティ運用を同時に設計したい企業向けに、PoCの対象選定や承認フローの整理をご支援しています。

AI顧問の無料相談はこちら →

制約・権利・安全性・運用上の注意

Mythos 5の利用可否だけでなく、コードを扱う権利とパッチを適用する責任を確認します。特に次の項目は、PoC開始前のチェックリストに含める必要があります。

データ保持期間、処理地域、監査ログの詳細は、公式発表だけでは確定できません。自社の情報管理基準に照らし、契約条件と管理画面の最新情報を確認します。認証情報は事前に除去し、必要なら検証用の複製リポジトリを使います。

パッチは自動適用しません。脆弱性を塞いでも、性能低下、互換性の破壊、新しい不具合を招くことがあります。Anthropicも、すべてのパッチについて実装前の人間レビューと承認を必須としています。

OSS防御と今後の展開

AnthropicはDefender Advantage Fund（0xDAF）として、OSSセキュリティ組織へ3,500万ドル分のClaudeクレジットを提供すると発表しました。対象は次の3領域です。

1. 広く使われるOSSに存在する実際の脆弱性の修正
2. 再利用可能なスキャンやパッチ自動化の構築
3. 特定の攻撃クラスに強い新しい防御手法の開発

初期段階では少数の大型パイロット助成を行い、受領先は数週間以内に公表される予定です。助成先と成果はまだ確定情報ではないため、導入事例として扱うことはできません。

Cyber Verification Programは現在、OpusとSonnetのdual-use能力について、審査済み組織に緩和されたセーフガードを提供しています。dual-useとは、防御にも攻撃にも利用できる性質です。Anthropicは今後数週間で同プログラムをMythosクラスへ拡張する予定ですが、具体的な開始日は未発表です。

Claude Mythos 5のよくある質問

Q. Claude Mythos 5の脆弱性スキャンは誰が利用できますか？

Claude Enterprise顧客がパブリックベータとして利用できます。管理者がadmin consoleでClaude Securityを有効化し、利用者がclaude.ai/securityから組織所有のリポジトリを選びます。

Q. Claude Mythos 5が提案した修正は自動で適用されますか？

自動適用を前提とした機能ではありません。修正実装はWeb版Claude Codeで進めますが、すべてのパッチについて、実装前に人間が差分をレビューして承認する必要があります。

Q. Claude Securityに追加料金や別アドオンは必要ですか？

別アドオンは不要です。利用分は既存プランの標準トークン使用量として課金されます。具体的な消費量は公式発表にないため、PoCで実測してください。

まとめ

Claude Mythos 5の脆弱性スキャンは、Claude Enterprise向けパブリックベータとしてClaude Securityに加わりました。結果にはCWE、confidence、severity、suggested fixが含まれ、修正実装はWeb版Claude Codeで進めます。

企業は、所有権を確認できる小規模リポジトリを選び、既存検査との比較から始めるのが安全です。検出結果をそのまま正解とせず、隔離ブランチ、テスト、人間承認、監査記録までを一つのPoCとして評価してください。

AI導入とセキュリティ運用を一緒に整理しませんか？

株式会社Nexaでは、最新AI機能の選定、PoC設計、社内ガバナンスの整備を支援しています。自社でどこから検証すべきか迷っている段階からご相談いただけます。

AI顧問の詳細・無料相談はこちら →

出典

• Anthropic, Bringing Claude Mythos 5 to more defenders, 2026-08-21