パッチ適用は、もう間に合わない――。
脆弱性が公開されてから実際に悪用されるまでの平均時間は、2026年に入って約20時間まで縮んだ（出典：zerodayclock.com）。2018年は2.3年、2024年でも5日だったから、驚くべきスピードで短縮している。一方、企業がパッチを適用するまでには依然として平均32～38日を要している。
アマゾン ウェブ サービス ジャパン（AWS）は2026年8月20日、報道関係者向けのセキュリティ勉強会を開催した。執行役員の瀧澤与一氏が、フロンティアAIによる脅威の変化と、その対応策を説明。情報処理推進機構（IPA）クラウドサービスのセキュリティ対策（ISMAP）に係る管理基準WG委員も務める同氏が特に強調したのが冒頭の数字だ。攻撃側と防御側の時間軸には、絶望的な開きがある。
この変化を象徴するのが、Anthropicが2026年4月に公開したサイバー能力特化型のフロンティアAIモデル「Claude Mythos Preview」と、同モデルを活用する業界横断コンソーシアム「Project Glasswing」だ。AWSはローンチパートナー12社の一角を占める。同プロジェクトは4月に約50組織で始まり、6月には15カ国以上・約200組織へと拡大した。
瀧澤氏が注目すべき点として挙げたのは、参加組織に課された条件だ。プロジェクトを通じて得た知見を、90日以内に公開レポートとして共有することが求められている。
つまり、AIが見つけた脆弱性は、パッチとともに順次世に出ていく。「今年に入って各ベンダーが発表するセキュリティ情報、パッチの件数が膨らんでいるのは、この構造によるところが大きい」と同氏。実際、6月2日時点でGlasswingのパートナーが発見した深刻度High以上の脆弱性は1万件を超えた。
一方、公開済みの脆弱性が未対応のまま残るシステムを、AIで探し出して攻撃する手法は、Mythosの登場を機に始まったわけではない。すでにここ数年で広がっていたという。「Mythosが出たから急に問題が起きたわけではなく、この傾向は最近起き始めていた」と瀧澤氏は指摘した。