AnthropicのGlasswingが「暗黒の森」インターネットを裏付ける

何十年もの間、サイバー攻撃者は人間の速度に制限されていました。脆弱性を発見するには、熟練した研究者、高価なツール、そしてかなりの時間が必要でした。セキュリティチームは、攻撃者が脆弱性を発見する前に、自分たちで発見してパッチを当てることができるという前提で活動していました。

その前提が崩れつつあります。

2026年4月、Anthropicは世界最大級のテクノロジー企業数社が参加するサイバーセキュリティイニシアチブProject Glasswingを開始しました。1ヶ月後、AnthropicはそのAIシステムが広く導入されているソフトウェアシステム全体で10,000件以上の高深刻度および重大な脆弱性を特定したと報告しました。

Glasswingの重要性は、その数字自体にあるのではありません。

重要なのは、その数字が何を意味するかです。

攻撃者はもはや手動で脆弱性を探す必要がありません。AIは継続的に、グローバルに、そして人間のチームでは対抗できない速度で脆弱性を発見できます。

インターネットは「暗黒の森」になりつつあります。

今日のインターネットを支えるTCP/IPプロトコルは、1970年代に一つの主要な目標を持って設計されました：接続性です。

誰でも何でも発見できます。このオープン性が現代のインターネットを生み出しましたが、意図しない結果も生み出しました：可視性が攻撃の前提条件になったのです。

攻撃者がシステムを悪用する前に、まずそれを見つけなければなりません。

歴史的に、その発見プロセスは高コストでした。

Glasswingは防御的なイニシアチブです。その目的は、敵対者が発見する前にソフトウェアベンダーが脆弱性を発見できるよう支援することです。

しかし、サイバーセキュリティの歴史は、防御能力が独占的なままであることは稀であることを示しています。

Project Glasswingは事実上、防御者と攻撃者の両方が持つことになる将来の能力を実証しています。

現代のサイバーセキュリティは主にシンプルなモデルに依存しています：

このモデルは脆弱性発見が遅かった時代には機能しました。

AIがインターネット規模で脆弱性を発見できるようになると、ますます脆弱になります。

最高の組織でさえ、何千もの発見に即座にパッチを当てることはできません。セキュリティチームはリスクを分析し、修正をテストし、展開を調整し、運用の安定性を維持する必要があります。

AIが発見を加速するにつれて、脆弱性を見つけることと修正することの間のギャップは広がり続けます。

ほとんどのサイバーセキュリティ技術は、システムが可視になった後の保護に焦点を当てています。

これらの技術は依然として不可欠ですが、すべてに共通の前提があります：攻撃者は既に標的を見ることができる。

AIはこの前提の経済学を変えます。偵察が事実上無料になると、可視性自体がセキュリティリスクになります。

従来のZero Trustアーキテクチャは、アイデンティティ、認証、認可、最小権限、継続的検証に焦点を当てています。これらの原則は依然として不可欠です。

しかし、AIは新たな課題を生み出します。脆弱性発見が自動化されると、露出を減らすことはアイデンティティを検証することと同じくらい重要になります。

元のSoftware-Defined Perimeter（SDP）アーキテクチャは、認証が成功するまでインフラを不可視にするという概念を導入しました。OpenNHPはNetwork-infrastructure Hiding Protocol（NHP）を通じてこの原則を拡張します。

保護されたリソースは暗号学的検証が成功するまで不可視のままです。権限のないエンティティは保護されたサービスを発見したり、ポートをスキャンしたり、対話することができません。

Project Glasswingは重要なマイルストーンです。

何千もの脆弱性を発見したからではありません。

AIが脆弱性発見に大規模に適用されたときに何が起こるかを示しているからです。

教訓は明確です。

AIが人間が修正できるよりも速く脆弱性を発見できるなら、セキュリティはもはやパッチ適用、検出、対応だけに頼ることはできません。

可視性も削減しなければなりません。

次世代のサイバーセキュリティは、単に誰がリソースにアクセスできるかを検証するだけではありません。

権限のない者がリソースを発見すること自体を防ぎます。

未来のインターネットはより大きな壁で守られるのではありません。

暗号学的に検証されるまで重要なインフラを不可視にすることで守られます。