Anthropic MythosのEU向けアクセス、3か月遅れで実現
Anthropicは、アクセス提供を示唆していたにもかかわらず、3か月を超える交渉を経て欧州連合にMythos 5へのアクセスを提供した。Anthropic MythosのEU向けアクセスに関する合意により、ENISAとして知られる欧州連合サイバーセキュリティ機関は、この制限付きサイバーセキュリティモデルをテストできるようになる。ただし、より新しいMythos 5.1は対象に含まれない。
この違いにより、遅延した引き渡しはより重大な問題となる。ENISAは重要なフロンティアモデルを検証できるようになったが、その評価はすでにAnthropicのリリースサイクルに後れを取っている。同社は6月にMythos 5を導入し、9月1日にはMythos 5.1を続けて発表した。
この隔たりは、Anthropicの安全性に関するコミットメントと、独立した監督が直面する実務上の限界を対照的に示している。欧州の規制当局は、ソフトウェア脆弱性を発見し、潜在的に悪用できるシステムについて直接的な証拠を求めている。一方でAnthropicは、規制当局がいつモデルを受け取るか、どのバージョンを受け取るか、どの安全策を有効なままにするかを管理している。
したがって、この論争は単に欧州がアクセスを得たかどうかの問題ではない。公共の評価機関が、その結果が実際に導入されるモデルになお適用できる間に、フロンティアシステムを検証できるかどうかに関わる問題だ。欧州当局者によると、OpenAIはすでにENISAにGPT-5.6 CyberおよびGPT-6 Astraへのアクセスを提供している。
Anthropic MythosのEU向けアクセスは旧モデルを対象とする
ENISAはMythos 5のテストを開始したが、Anthropicはすでに最も機微なモデルラインをMythos 5.1へ移行している。
欧州委員会の報道官Thomas Regnierは9月10日、新たな取り決めを確認した。同氏によると、ENISAはAnthropicとの協議を経てMythos 5を受け取り、テストを進めているという。ENISAのアクセスは、協議開始から3か月以上を経て実現した。
Mythos 5は、Claude Fable 5で使われているものと同じ基盤モデルの制限付きバージョンだ。Anthropicは、審査を通過した組織向けに一部のサイバーセキュリティ安全策を削除または緩和した。これにより、承認された防御側組織は、一般提供モデルでは遮断される作業を実施できる。
こうした作業には、脆弱性調査、エクスプロイトの検証、承認済みシステムに対するセキュリティテストが含まれうる。これらの活動には正当な防御上の価値がある一方、悪用されれば攻撃を支援する能力にもなり得る。そのためAnthropicは、無制限の一般公開ではなく、管理されたプログラムを通じてMythosを配布している。
同社は6月9日、既存のProject Glasswing参加者向けアップグレードとしてMythos 5を開始した。Project Glasswingは、重要なソフトウェアやインフラを保護する組織を対象としたAnthropicのパートナーシッププログラムだ。Anthropicは、定期的にパートナーを追加し、より広範な申請プロセスを構築する計画を示していた。
Mythos 5の発表では、このモデルはGlasswingのパートナーと一部の研究者に限定されると説明された。また、拡大は米国政府との協議のもとで進めるとしていた。この条件により、アクセスに関する決定は企業審査、国家安全保障政策、技術的リスク管理が交差する領域に置かれた。
ENISAはこの拡大の一部となることが期待されていた。しかし、期待が即時のアクセスにつながったわけではない。欧州当局者が、制限が緊密な米国のパートナーを不当に扱っているのではないかと疑問を呈するなか、ブリュッセルは同社への働きかけを続けた。
遅延は大きな製品上の節目もまたいだ。Anthropicは9月1日、ENISAへのアクセスが公表される9日前にMythos 5.1をリリースした。Anthropicによれば、新モデルはサイバーセキュリティと生物学の性能を向上させているが、利用できるのは引き続き審査済みの組織に限られる。
したがってENISAが受け取ったのは、関連性のあるモデルではあるものの、最新モデルではなかった。Mythos 5のテストは、Anthropicのアクセス制御、安全策、サイバー能力がどのように機能するかを明らかにしうる。しかし、その結論をMythos 5.1へ自動的に当てはめることはできない。
小規模なモデル更新であっても、エージェントの挙動、拒否パターン、ツール利用、脆弱性発見能力を変化させる可能性がある。規制当局には、評価対象のバージョンが導入済みバージョンと密接に一致している必要がある。そうでなければ、監督は現在のリスク評価ではなく、過去のレビューになってしまう。
Anthropic MythosのEU向けアクセスに関する決定は、ENISAが何らかのモデルをテストできるかという当面の問題を解決する。しかし、ENISAが重要な後継モデルごとに適時のアクセスを得られるかどうかは解決していない。
3か月の遅延こそが安全性における中心的な問題だ
モデル世代がすでに変わった後にアクセスが提供されれば、独立評価の価値は失われる。
フロンティアAIのテストでは、能力が正式な政策プロセスより速く進展しうるため、タイミングが重要になる。モデル評価者には、広範な導入判断が覆しにくくなる前に、テストを設計し、失敗を再現し、調査結果を伝える十分な時間が必要だ。
ENISAはいま、Mythos 5についてこの問題に直面している。同機関の作業では、6月時点のモデルが脆弱性を発見し、エクスプロイトを提案し、複雑なシステムを操作する能力を測定できる。また、Anthropicの監視やアクセス制限がそれらの能力を抑制しているかも検証できる。
しかし欧州当局者は、その結果を9月時点の製品環境に照らして解釈しなければならない。Mythos 5.1はすでにAnthropicの主要なMythosクラスのシステムだ。Anthropicによると、このバージョンはサイバーセキュリティと生物学で性能を高めており、いずれもデュアルユース上の重大な懸念を伴う分野である。
デュアルユース能力は、正当な目的と有害な目的の双方に利用される。脆弱性発見システムは、攻撃者が行動する前に保守担当者がソフトウェアを修正する助けとなる。同じシステムが、攻撃者による弱いコードの特定と、機能するエクスプロイトの作成を支援する可能性もある。
Anthropicは、異なるアクセス階層を通じてこの対立に対処している。Fableモデルは一般提供に向けてより強力な安全策を用いる。Mythosモデルは、防御または科学的目的を持つ承認済み組織向けに、選択した安全策を緩和する。
この構造では、審査が中心的な安全管理策となる。アクセスは、モデル開発後に付け加えられる些細な事務手続きではない。どの組織がモデルの最も制限の少ない挙動を観察できるか、そして独立機関がAnthropicの主張に異議を唱えられるかを決定する。
遅延は、信頼されたアクセスプログラムがそれ自体で監督のボトルネックを生み出しうることを示している。Anthropicは組織を評価し、政府要件を満たし、危険なアクセスを防がなければならない。規制当局は、結果として生じるリスクを評価することが任務に含まれる場合でさえ、そのプロセスの外側から交渉しなければならない。
欧州の機関は、EU AI Actのもとで執行権限も持つ。この役割は、テスト中に収集された証拠が後の規制措置に影響を与えうるため、自発的な情報共有を複雑にする可能性がある。開発者が機微なシステムを適切に保護しつつ、選別的な監督という印象を生み出すこともありうる。
どちらの懸念も、タイミングの問題を解消しない。企業が新バージョンの登場後に旧モデルを提供するなら、公共のテスト機関は常に一歩後ろに残る。協力的に見える仕組みであっても、その協力が実務上及ぼす範囲を限定しうる。
これは一つのモデルにとどまらない問題だ。フロンティア開発者は、正式な評価の合間に能力更新が到来する形で、システムを急速な連続リリースで提供するようになっている。3か月に及ぶ交渉は、製品世代全体を消費しかねない。
サイバーモデルでは、防御側と攻撃側が継続的に活動するため、この問題はいっそう深刻になる。遅れた評価では、アクセス前に失われた防御上の時間を取り戻せない。また、最新モデルが新たな挙動を導入したかどうかも確認できない。
Anthropic自身の戦略も、防御側の優位性の重要さを認めている。Project Glasswingは、選定されたセキュリティ組織に脆弱性を早期に発見・修復する機会を与えるために設計された。この優位性は、誰がいつアクセスを受けるかに依存する。
ENISAは欧州のネットワークを保護し、インシデント連携を支援し、サイバーセキュリティ政策の策定を助けている。同機関を初期テストから除外すれば、防御側の優位性が及ぶ地理的範囲は弱まる。後からアクセスを与えればカバー範囲は改善するが、失われた初期の機会を取り戻すことはできない。
中心的な問題は、抽象的な意味でAnthropic Mythosとは何かではない。重要なのは、緊急性の高いセキュリティ業務向けに設計されたモデルに対し、アクセスのガバナンスが追随できるかどうかだ。
Anthropicの安全性の約束と欧州の監督権限がぶつかる
主な対立は、Anthropicの管理されたアクセスによる安全モデルと、独立性を備えた最新の証拠を求める欧州の要求との間にある。
Anthropicは、限定的に防御的な出力を提供するよりも、直接アクセスの方が悪用リスクを大きくすると主張している。自由度の高いプロンプトを使える悪意ある運用者は、モデルを探り、要求を洗練させ、有害な目的を追求できる。パッチやアラートだけを受け取る利用者には、その自由度は小さい。
同社は、専門化されたセキュリティ製品の背後にMythosを配置し始めている。Claude Securityは顧客所有のコードをスキャンし、脆弱性の発見結果を返し、人間によるレビュー向けのパッチを提案できる。利用者は、このインターフェースを通じて無制限のMythosアクセスを受け取るわけではない。
Anthropicはまた、Mythosを目的特化型製品へ統合するため、セキュリティベンダーとも協力している。防御側向けアクセスモデルは、基盤モデルを管理されたインターフェースの背後に置いたまま、顧客に特定の成果物を提供する。
この仕組みには意義がある。攻撃的なプロンプトを直接テストできる人の数を減らせる。また、権限管理、ログ記録、人間による承認を備えた既存のセキュリティワークフローに、モデル出力を組み込むことも可能だ。
しかし規制当局は、選別された出力だけを調べて制限付きモデルを評価することはできない。独立テストには、前提に異議を唱え、境界事例を探り、有害な挙動を再現する自由が必要だ。こうした活動は、Anthropicの制御策が制限するよう設計されている探索行為に似ている。
ここには構造的な対立がある。Anthropicはモデルとそのインターフェースを制御することで露出を減らそうとしている。ENISAは、制御されたデモだけではリスク全体を把握できないからこそ、有意義なアクセスを必要としている。
同社のモデルカードや内部テストは、有用な証拠を提供しうる。しかし、異なる利害を持つ機関による評価の代わりにはならない。開発者はベンチマーク、テスト環境、リリース基準、曖昧な結果の解釈を自ら選ぶ。
公共機関には別の任務がある。その仕事は製品を改善したり、商業的なリリース予定を守ったりすることではない。システミックリスクを評価し、開発者を比較し、技術的な挙動を公共インフラに関する義務と結び付けることだ。
Mythosでは、この独立性が特に重要になる。このモデルは、成功した出力が即座に運用上の影響を持ちうるサイバーセキュリティ業務を想定している。発見結果は広く使われるソフトウェアコンポーネントの脆弱性を露呈させる可能性があり、エクスプロイトはパッチが存在する前に組織を脅かしうる。
機密システムのテストは、その可能性と不確実性の双方を示している。匿名の米国当局者は、Mythosが数時間以内に機微な政府システムの脆弱性を特定したと述べた。
この当局者は、弱点の発見と、その脆弱性を実際に悪用することを区別した。この違いは重要だ。脆弱性の発見と、信頼性の高い侵入は異なる能力の閾値だからである。特に劇的な主張が技術的証拠より速く広まる場合、公開の議論では両者が混同されるおそれがある。
マーク・ワーナー上院議員は6月の公聴会で、このテストについてより強い表現を用いた。同議員によれば、NSA長官およびサイバー司令部トップの情報として、このツールは数時間以内にテスト対象となった機密システムのほぼすべてに侵入したという。
報じられた演習について、NSAとAnthropicはコメントを拒否した。詳細な方法論が示されない限り、独立した観察者は、テスト対象となったシステム、モデルの自律性、人間による支援、成功基準を判断できない。
その後、100人を超えるサイバーセキュリティ専門家と業界リーダーが、Mythosだけが特別に高い能力を持つという考えに異議を唱えた。他の基盤モデルやオープンソースモデルも、セキュリティ監査や訓練を支援できると指摘した。
この見解の相違は、独立評価の必要性をいっそう強める。Mythosが特異に危険な存在であるなら、規制当局にはそのリスクを理解するための最新のアクセスが必要となる。一方、その能力が競合システムと似通っているなら、過度に選別されたアクセスはAnthropicが示唆するほど安全性に寄与しない可能性がある。
Anthropic Mythosの影響は、評判だけで測ることはできない。比較可能なモデル、環境、安全策、バージョンにわたる再現可能なテストが必要だ。ENISAの取り組みは、アクセスが技術的に意味のある水準に保たれる限り、その証拠形成に貢献できる。
欧州にはアクセスがあるが、同等の可視性はない
この合意は大西洋をまたぐアクセス格差を縮小するが、Anthropicの最新システムに対する同等の可視性を確立するものではない。
Anthropicは6月、Project Glasswingを15カ国超の約150組織へ追加拡大した。この拡大に先立ち、4月にははるかに小規模な初期グループを対象としたプレビューが行われていた。
その直後、米国政府はMythos 5およびFable 5への外国からのアクセスに影響する一時的な制限を課した。Anthropicは、求められた水準でこの指令を直ちに施行できないとして、広範にアクセスを停止した。
同社の説明によれば、この制限はAnthropicで働く外国籍の職員にも適用された。米当局は潜在的なセキュリティ上の問題を挙げたと報じられている。Anthropicは、政府の対応が正当だったかどうかに異議を唱えた。
その後、承認された米国組織についてはアクセスが復旧した。しかしこの一件は、国家政策が民間のアクセスプログラムをいかに速やかに中断し得るかを示した。また、海外で管理される技術への依存を議論する具体的な理由を欧州当局にもたらした。
この懸念は、いわゆるキルスイッチの問題に似ている。欧州の組織は米国のモデルを中心にセキュリティプロセスを構築した後、自らの統制を超える政府判断によってアクセスを失う可能性がある。インシデント対応が進行中であれば、一時的な中断であっても重大になり得る。
ENISAにMythos 5を提供することは、この依存の一部を緩和する。欧州の評価者はAnthropicや米国機関に全面的に頼るのではなく、自らの証拠を生み出せるようになる。欧州の優先事項やインフラに関する前提に照らして、モデルをテストできる。
この合意はバージョン間の不平等を解消しない。Anthropicの公開情報によれば、Mythos 5.1は引き続き一部の米国組織に限定されている。同社はアクセス拡大に取り組んでいるものの、欧州向けの確定した日程は公表していない。
同様の傾向は他でも見られる。英国のAI Security Instituteは、リリース前にMythos 5.1ではなく旧世代のMythosシステムへのアクセスを受けたと報じられている。英国のテスト格差を受け、当局者は国際評価の分断に警鐘を鳴らした。
Anthropicは以前、英国の同研究所と緊密に協力していた。そのため、報じられた除外は通常のスケジュール遅延以上の意味を持つ。確立された政府パートナーであっても、アクセスが狭められ得ることを示唆している。
OpenAIは、この記事の主たる対立軸にすることなく、有用な比較対象となる。欧州当局者によれば、ENISAはGPT-5.6 CyberとGPT-6 Astraを受け取った。英国も、自国の研究所が公開前にGPT-6 Astraをテストしたと述べている。
こうした取り決めはAnthropicへの圧力となる。規制当局はモデルの能力だけでなく、開発企業の協力姿勢も比較できる。企業の評価方針は、政府がそのより広範な安全への取り組みを信頼するかどうかに影響し得る。
ただし、この比較にはなお慎重さが必要だ。公開報道からは、ENISAがモデル間で同一のアクセス条件を受けたかは分からない。テスト期間、ツールの権限、モデルのスナップショット、監視、安全策の設定はいずれも結果に影響し得る。
モデル名だけでは、評価の同等性は確立されない。ENISAには、何をテストし、そのシステムが本番環境の導入形態とどの程度一致するかを説明するために、十分な技術的詳細が必要だ。その開示がなければ、読者は企業間のアクセスを比較できない。
欧州当局自身も、信頼性に関する試練に直面している。モデルを受け取ったからといって、厳格で迅速な評価が保証されるわけではない。ENISAは、機密性の高いテストに適したインフラ、専門スタッフ、安全な手順を備えていることを示す必要がある。
調査結果の扱いにも慎重さが求められる。エクスプロイトの詳細を早期に公開すれば、リスクを高める可能性がある。一方、広範な結論だけを公表すれば、外部研究者が証拠を評価できなくなるおそれがある。
有用な評価は、複数の層を区別すべきだ。脆弱性の発見とエクスプロイトの作成、自律的な行動と人間の支援、実験室での成功と運用・保守されているシステム上での性能を分けて扱う必要がある。
テスト中に存在した安全策も記録すべきだ。Mythos 5がFable 5と大きく異なるのは、選択されたサイバー安全策が解除されている点にある。制約付きのインターフェースをテストしても、運用パートナーに提供されるアクセスをテストするより得られる知見は少ない。
欧州企業にとって、これは遠い政策論争ではない。セキュリティチームは最終的に、統合製品を通じてMythosが生成した検出結果を受け取る可能性がある。その信頼性、出所、緊急性を判断する必要がある。
組織は周辺の証拠を検索可能なナレッジベースに保存すべきだ。モデル生成のアラートは、レビュー担当者がコード変更、過去のインシデント、人間による判断と結び付けられるときに価値を高める。
より広い教訓は、モデルへのアクセスとモデル主権は同一ではないという点にある。ENISAは米国のシステムをテストできるが、その利用可能性、更新サイクル、運用条件を管理できるわけではない。欧州は可視性を得る一方で、ゲートを握るのはAnthropicのままだ。
Mythos 5.1は最も重要な問いを未解決のままにする
最大の不確実性は、Anthropicが独立評価者に各世代の新しいMythosへの迅速なアクセスを提供するかどうかだ。
AnthropicはMythos 5.1を、サイバーセキュリティと生物学の能力を高めた最新のMythosクラスモデルとして説明している。両分野の能力は有益な研究にも深刻な害にも利用され得るため、同社は審査済み組織に利用を限定している。
AnthropicのMythos 5.1 accessページによれば、現在の提供範囲は依然として限定的だ。またCyber Verification Programが将来的にMythosへのアクセスを含むと述べているが、確定日には触れていない。
この表現には、未解決の問いが3つ残る。第一に、どの国際規制当局が対象となるかを示していない。第二に、リリース前のアクセスを約束していない。第三に、受け入れられた評価者が受け取る直接的な操作権限の水準を定義していない。
こうした詳細が、プログラムが実質的な監督を生むかどうかを決める。リリース後のアクセスは研究を支援するが、当初の導入判断には影響を与えられない。限定されたインターフェースは防御上の価値を明らかにできても、攻撃的な振る舞いを隠してしまう可能性がある。
バージョンの対応関係にも問題がある。Anthropicによれば、Fable 5.1とMythos 5.1は基盤となるモデルを共有している。両者の安全策は異なり、特にサイバーセキュリティと生物学のタスクで差が大きい。
評価者は、Fableの結果がMythosを説明すると仮定できない。安全介入はタスクを遮断したり、別のモデルへ転送したり、観測される完了率を変化させたりする。基盤となる重みは、導入済みシステムを構成する一部分にすぎない。
同様に、Mythos 5の結果でMythos 5.1に関する問いを決着させることはできない。新しいモデルは、より長い攻撃連鎖に従ったり、ツールを異なる形で使ったり、失敗した試行からより効果的に回復したりする可能性がある。監視下ではより安全に振る舞う可能性もある。
Anthropicはシステムカードやベンチマークの説明を公開しており、社内評価の可視性を高めている。ただし、ベンチマークスコアには文脈が必要だ。テスト設計、スキャフォールディング、試行回数、安全介入は、結果を大きく変え得る。
サイバーセキュリティのベンチマークは陳腐化するリスクもある。タスクや脆弱性が広く知られるようになると、学習データ汚染を除外することが難しくなる。ベンチマーク上の性能は、未知の本番システムに対する成功を予測しない可能性がある。
運用環境でのテストは別の複雑さをもたらす。実際のネットワークには、アイデンティティ制御、ログ記録、セグメンテーション、防御ツールが存在する。隔離された環境で成功するモデルでも、これらの層が相互に作用すると苦戦するかもしれない。
逆に、モデルは自律的な侵入を完了しなくてもリスクを生み出し得る。偵察を加速したり、攻撃経路を提案したり、人間のオペレーターによる反復を速めたりする可能性がある。評価では、こうした中間的な優位性も測定すべきだ。
したがって、Anthropicの限定的な配布戦略は、自動的に承認も拒絶もされるべきではない。この戦略は現実的な悪用問題に対処している。同時に、証拠と意思決定を同社および選ばれた政府との関係の中に集中させてもいる。
懐疑的な検証は単純だ。管理されたアクセスが中心的な安全メカニズムであるなら、Anthropicは独立評価者が有用な条件で最新モデルを受け取っていることを示すべきだ。そうでなければ、このメカニズムは悪用とともに、モデルを監視から守ることになる。
ENISAによるMythos 5評価は、基準線を確立できる。その価値は、同機関が方法論を公開し、安全策の設定を説明し、確認済みの観察結果とベンダーの主張を分けることで高まる。
最新モデルへの明確な橋渡しがないまま次の大規模な更新後に公開されるなら、この評価の重みは小さくなる。適時性は、事務的な脚注ではなく、安全性の評価結果の一部となるべきだ。
アクセスが監督に変わるかを示す3つのシグナル
次の試練は、この引き渡しが一度限りの譲歩ではなく、再現可能な評価プロセスとなるかどうかだ。
第一のシグナルは、Mythos 5.1へのアクセスである。Anthropicが無制限の一般公開を行う必要はないが、ENISAには最新の評価対象が必要だ。迅速なアクセスは、3カ月の遅延が移行上の制約を反映していたという説明を強める。
継続的な除外は、その説明を弱める。欧州の監督が古いリリースに縛られる一方で、選ばれた米国組織が新しい能力を受け取る状況を示すことになる。
第二のシグナルは、ENISAの評価方法論だ。同機関は、テストしたバージョン、アクセス条件、ツールの権限、安全策、幅広いタスク分類を特定すべきだ。脆弱性の発見とエクスプロイトの成功を区別する必要がある。
有用な報告に危険な技術的詳細の公開は必要ない。ただし、テストが実際のMythosの挙動を検証したかを評価するための十分な情報は必要だ。モデルを評価したという曖昧な声明だけでは、説明責任への寄与は小さい。
第三のシグナルは、持続的な国際アクセス枠組みだ。AnthropicのCyber Verification Programは、明確な基準、予測可能なレビュー期間、適格な公的評価者に対する一貫した扱いを定めるなら、その枠組みを提供できる。
信頼できる枠組みは、限定アクセスを安全に拡大できるというAnthropicの主張を支える。ケースごとの交渉が再び続けば、選別的で政治的に脆弱な監督への懸念を強めることになる。
開発者と企業の購入担当者は、評価へのアクセスがその後の信頼形成を左右するため、これらの兆候を注視すべきだ。セキュリティ責任者は、モデル自体に一度も触れることなく、製品を通じてMythosの検出結果を受け取る可能性がある。
彼らには、誤検知、見逃された脆弱性、データの取り扱い、人によるレビューに関する根拠が必要になる。また、政策上の対立やモデル移行の最中にアクセスが失われる可能性があるかどうかも確認すべきだ。
したがって、Anthropic MythosのEU向けアクセス契約は出発点であって、解決策ではない。欧州はついに6月のモデルを手にした一方、Anthropicは9月の後継モデルを管理している。
次の引き継ぎを注意深く見守る必要がある。ENISAがMythos 5.1を速やかに受け取り、信頼できるテストフレームワークを公表すれば、遅れたアクセスは継続的な監督へと転換し得る。そうでなければ、最先端AIの評価は、本来統治すべきプロダクトサイクルの背後に閉じ込められたままとなる。
