日立はMythosをどこまで使いこなしたのか？ 実証で見えたリアルな性能：脆弱性管理に人間はいよいよ不要か

日立製作所はClaude Mythos Previewを使った脆弱性の特定と修正に関する実証成果を発表した。日立グループ内の100件を超えるユースケースに適用した結果、同社はMythosをどう評価したのか。リアルな性能を紹介する。

[＠IT]

　日立製作所（以下、日立）は2026年7月28日、Anthropicが主導するAI活用型セキュリティプログラム「Project Glasswing」で、フロンティアAIモデル「Claude Mythos Preview」（以下、Mythos）を使った脆弱（ぜいじゃく）性の特定と修正に関する実証成果を発表した。

　日立グループ内の100件を超えるユースケースに適用し、社会インフラ用の自社ソフトウェアや外部公開APIから、深刻度の高い潜在的な脆弱性を発見したという。数百万行規模のソースコードを対象とする脅威モデルの作成時間は、従来の数週間から数時間に短縮できたとしている。

日立はMythosを使いこなせたのか？　実証で見えたリアルな性能

　日立は2026年6月、Project Glasswingへの参画を発表した。同プログラムは、世界の重要なソフトウェアを保護すると同時に、AIの進化に伴って必要となるサイバーセキュリティの実践を前進させる共同イニシアチブだ。日立は目的に賛同し、社会インフラ用自社ソフトウェアの開発、運用プロセスでMythosの有効性を検証した。

　実証において、ミッションクリティカルな自社ソフトウェアや外部公開APIを含む、数百万行に及ぶソースコードを解析した。その結果、既存のセキュリティツールでは検出されなかった潜在的な脆弱性候補を特定し、AIが生成した再現コードによる精密なトリアージから、具体的な対策の検討までを一貫したプロセスとして実施した。

　単純なバグの抽出だけでなく、脆弱性の悪用が実際に成立するかどうかを確かめ、対応策の策定につなげたことで、社会インフラを支える製品の品質とセキュリティ水準を事前に引き上げる有効性を確認したとしている。

　日立は、従来型のAIによる脆弱性検出において、予測結果に誤検知が含まれる場合があり、その確認に多くの人手を要する課題があった。その点、Mythosは脆弱性の再現手順や、実機での動作検証に使うテストコードを自律的に生成する。スキャン時点で誤検知の可能性を確認できるため、脆弱性の検出精度が高まり、開発者が検証に費やす工数も削減された。

　日立は検出結果を基に、迅速な是正対応や製品アップデートを順次実施する。社会インフラを制御するシステムへのサイバー攻撃リスクを抑え、製品の安全性を継続的に高める方針だ。

　この他、脅威モデルの構築や大規模なソースコード解析において、Mythosの文脈理解力に、自律的に試行錯誤を繰り返すAIエージェントと、セキュリティ専門家の思考プロセスを型化した「ハーネス」を組み合わせる手法を検証した。人間の専門家だけでは処理が難しい規模と速度で診断を終え、精度と実用性を備えた結果を導き出せることを実証したとしている。

日立はMythos実証の成果をどう生かすのか？　今後の展望

　今回の実証を通じ、日立はAIを活用する脆弱性診断手法に加え、AIの診断結果を評価して優先順位を付けるトリアージプロセス、人間の専門家とAIの役割分担、社会インフラ用ソフトウェアに適用する際の留意点を整理した。

　今後は、開発の初期段階からセキュリティを組み込む「シフトレフト」の取り組みに成果を反映する。社会インフラをAIで革新する次世代ソリューション群「HMAX by Hitachi」をはじめ、社会インフラ用ソリューションの開発、運用プロセスでも活用する。

　日立製作所AI＆ソフトウェアサービスビジネスユニットHead of Cyber CoEの小岩博明氏は「AIの進化に伴い、高度なサイバー攻撃を実行しやすくなる中、社会インフラには従来以上に強靱なセキュリティが求められる」と指摘した。

　小岩氏は、フロンティアAIがサイバーセキュリティ分野に変革をもたらす可能性を今回の検証で確信したと説明した。ただ、AIは大規模なソフトウェア解析を高速で処理できるが、最終的な評価やリスク判断には人間の専門家が不可欠だとし、AIとセキュリティ人材の強みを融合することが次世代の防衛の要になるとの認識を示した。

　日立は実証で得た知見やノウハウをHMAXの高度化にも生かす。AIと専門家による検証体制を製品開発や運用に展開し、安全性とレジリエンスを備えた社会インフラの実現に貢献する方針だ。