Project Glasswingの新規150社への参加は申し込めますか？

申し込めません。Anthropicによる招待制です。電力・水道・医療・通信・ハードウェア分野の事業者が対象で、各組織がセキュリティ要件を満たした上で招待されます。一般の開発者や小規模企業向けの公募は現時点でありません。

NATOとEU ENISAが参加することで何が変わりますか？

軍事・外交インフラのコードベースにMythosスキャンが適用されます。NATOはC4ISRシステム（指揮・統制・通信・コンピューター・情報・監視・偵察）のソフトウェアを保有しており、脆弱性早期発見が加盟32ヶ国の集団防衛に直結します。EU ENISAの参加で欧州重要インフラへの展開も進みます。

6-12ヶ月後に他のAI企業が同等モデルを公開したらどうなりますか？

Anthropicが最も警戒するシナリオです。Mythos級の能力は脆弱性の発見だけでなく、悪用（エクスプロイト生成）にも使えます。現状はAnthropicのセーフガードで抑制されていますが、他社がセーフガードなしで同等モデルを公開した場合、攻撃者も同じ能力を手に入れます。Anthropicは「その時点でサイバー攻撃の頻度と予測不可能性が劇的に増す」と公式に警告しています。

日本のインフラ事業者はProject Glasswingに参加していますか？

今回発表の150社に日本企業の名前は公式確認されていません。ただし日本の銀行が参加を検討しているとの報道があります（CNBC, 2026年5月）。韓国からはKISA、Samsung、SK Telecom、SK Hynixが参加しており、東アジア展開が先行しています。

AI News 2026年6月4日 12分で読める

GlasswingがNATOと電力網に拡大｜Mythosが200社体制になった意味と6-12ヶ月の賭け

#Anthropic #Claude Mythos #Project Glasswing #サイバーセキュリティ #重要インフラ #脆弱性 #NATO

「これは優先順位の問題ではない。露出時間の問題だ」。OWASPファウンダーでContrast SecurityのCTOであるJeff Williamsは、Anthropicの6月2日の発表を受けてこう述べた（CSO Online, 2026-06-02）。脆弱性の優先順位付けをどれだけ改善しても、発見から悪用までの時間が縮まり続ける限り、組織は追われ続けるだけだ。

2026年6月2日、AnthropicはProject Glasswingの拡大を発表した。4月に約50組織で始まったプログラムに、新たに150組織を追加。参加国は15ヶ国以上に広がり、電力・水道・医療・通信・ハードウェアという、これまで手薄だった重要インフラ分野が正式に対象となった。NYSE親会社のICE、国際金融メッセージングのSwift、清算機関Euroclear、NATO、EU ENISA（欧州連合サイバーセキュリティ機関）の参加が公式に発表された（CNBC, 2026-06-02）。

前日にIPO機密申請、当日にホワイトハウスのAI大統領令署名とAnthropicの支持声明。72時間以内に3つの動きが集中したのは、偶然ではなく計算されたメッセージングだ。

この記事はこんな人におすすめ

セキュリティエンジニア・AppSec担当者でAIスキャンの最前線を追っている人
Anthropic・Claude Mythosの軍事・外交分野展開を注視しているAIリサーチャー
Project Glasswingの進捗と重要インフラへの影響を把握したいITプロフェッショナル

50社から200社体制へ — 4月から8週間で何が変わったか

4月にProject Glasswingが動き出したとき、参加組織は約50。Apple、Google、Microsoft、CrowdStrike、Palo Alto Networksといったテック・セキュリティ大手と米政府機関で構成されていた。8週間後の今回の発表で150組織が加わり、プログラムの規模は約4倍になった（Anthropic公式, 2026-06-02）。

新規参加の特徴は「ベンダー重視」だ。Anthropicは参加組織の大半を「自社製品ではなく、多数の組織や政府が依存するコードベースを持つベンダー」と説明している。一箇所の修正が川下のサプライチェーン全体に波及する組織、つまり影響半径が最大の組み合わせだ。Anthropicの試算では、参加ベンダーの多くが提供するコードの利用者は1億人を超える（TechCrunch, 2026-06-02）。

セキュリティ会社Okta、韓国インターネット振興院（KISA）、Samsung、SK Telecom、SK Hynixも参加。韓国政府機関の参加は、Project Glasswingが初めて東アジアのインフラに組み込まれた事例となる。

NYSEとNATOが参加する意味

金融インフラ側では、NYSE親会社のICE、Swift、Euroclearという「金融決済の三層」が揃った。Swiftは世界200ヶ国・11,000以上の金融機関をつなぐ決済メッセージングネットワークで、ここへの攻撃は国際間送金を麻痺させる。Euroclearは欧州の株式・債券決済を担い、毎日数百兆円規模のトランザクションを処理する。これらのコードの脆弱性は、一つが悪用されるだけで世界経済に連鎖的な影響を与えかねない。

安全保障側では、NATOとEU ENISAの参加が際立つ。NATOはC4ISRシステムのソフトウェアを保有しており、その脆弱性早期発見は加盟32ヶ国の集団防衛に直結する。NATO加盟国の防衛系コードを民間AI企業のモデルでスキャンする試みは、組織の歴史上初とみられる（Cybersecurity Dive, 2026-06-02）。

脆弱性1万件超を発見、しかし修正できたのは14%

5月の初期レポートが示した数字が、今回の拡大発表でも重くのしかかる。50組織がMythos Previewを使って発見した高危険度以上の脆弱性は1万件超。しかし実際に修正されたのは530件の開示済み案件のうち75件、修正率14.2%だ（Anthropic初期アップデート, 2026-05-22）。

「AIは脆弱性発見を産業規模にした。だが多くの組織は依然として人間のスピードで修正している」（Jeff Williams、CSO Online）。Williamsが言う「露出時間の問題」とは、パッチが当たるまでの間、脆弱性が攻撃対象として存在し続ける時間軸のことだ。優先順位付けの改善では解決しない。

ProCircularのJim Sherlockは、今回の150社追加をこう評した。「この拡大は、Mythosを公開する前に誰もまだ構築していないセーフガードを想定した道の次の一歩だ」（Cybernews）。つまり、守る側に配る枠組みより、悪用を防ぐ枠組みの整備が遅れているという指摘だ。

6-12ヶ月の賭け — Anthropicが認める「最大のリスク」

Project Glasswing拡大発表で最も重要な一節は、製品説明ではなく警告の文章だ。Anthropicは公式ブログでこう述べた。「6-12ヶ月以内に、多くの他社がMythos級の能力を持つモデルを開発するだろう。そしてそれらの企業は、悪用を防ぐセーフガードなしにリリースする可能性がある。その時点でサイバー攻撃はより頻繁に、より予測不可能な形で起きる」（Anthropic公式）。

CEO Dario Amodeiはさらに具体的に踏み込んでいる。「中国のAIが追いつく前に、数万件のソフトウェア脆弱性にパッチを当てるための6-12ヶ月の窓がある」（CNBC, 2026-05-05）。

逆説はここにある。Anthropicは現在、Mythosを「守る側だけに渡す」管理を保っているが、それはプロプライエタリな制御に依存した時限的な状態だ。競合他社がセーフガードなしの同等モデルを公開した瞬間、攻撃者も同じ能力を手に入れる。世界の重要インフラの修正率が今も14%水準であれば、その時点での被害規模は現在の発見件数から相当規模に及ぶ可能性がある。

今回の拡大は「時計が動いている」という事実を、200社に広く共有する行為でもある。

Glasswingが示す2つの相反するリスク

修正が追いつかないリスク: 参加組織が増えるほど発見件数は増加するが、修正に必要なエンジニアリングリソースは比例して増えない。修正率14%という数字は、拡大フェーズではさらに下がる可能性がある。

参入障壁が下がるリスク: Anthropicは6-12ヶ月で他社が同等能力を持つと警告している。その時点でセーフガードの実装状況が現在と変わらなければ、Mythosが脆弱性スキャンに使えるのと同様に、攻撃的利用も可能になる。

Glasswing初期レポートの詳細データを確認する

1万件超の脆弱性発見数、修正率14%の内訳、wolfSSL証明書偽造の危険性などを詳しく解説しています。

初期レポートを読む

関連記事

本記事の情報は2026年6月4日時点のものです。Project Glasswingへの参加資格や組織の詳細は変更される場合があります。投資判断や重要インフラのセキュリティ対策は、必ず専門家に相談の上、公式情報をご確認ください。