Mythosとcurlの脆弱性探索：AIのハイプ vs. 現実

2026年4月、Anthropicは、ソースコード内のセキュリティ上の欠陥を特定する能力が「危険なほど優れている」と主張する新しいAIモデル、Mythosを巡って、大きなメディアの注目を集めました。そのハイプ（過剰な期待）は非常に強烈であったため、Anthropicは一般公開を制限し、モデルを一部の企業にのみ段階的に提供することで、一般リリース前に重大な問題を修正できるようにしました。多くの人々にとって、これはソフトウェアセキュリティの未来に対する実存的な恐怖を引き起こしましたが、他の人々にとっては、マーケティングの傑作のように見えました。

curlのリード開発者であるDaniel Stenbergは、最近、これらの主張を検証する機会を得ました。Linux FoundationおよびプロジェクトAlpha Omegaを通じて、curlはMythosを使用してスキャンされ、この「魔法のモデル」が、世界で最も精査されているCコードベースの一つにおいて脆弱性を発見できるかどうかをテストされました。

挑戦： 「Polished」なコードベースのスキャン

Mythosのスキャン結果を理解するためには、まずcurlの性質を理解する必要があります。約176,000行のCコードと660,000語（War and Peaceの英語版よりも約12%多い）で構成されるcurlは、デプロイメントの観点から見て巨大なプロジェクトです。110以上のオペレーティングシステムと28のCPUアーキテクチャ上で動作し、世界中で200億以上のインスタンスにインストールされています。

さらに重要なことに、curlは一般的なコードベースではありません。OSS-Fuzz、Coverity、CodeQL、および複数の有料監査を受けており、現存する中で最もファズ（fuzz）および監査されているプロジェクトの一つです。Stenbergは、すべての本番用コード行が平均4.14回書き直されていると指摘しています。このレベルの精緻化は、AIであれ人間であれ、あらゆるアナライザーにとって、極めて困難なターゲットとなります。

結果： 5つの発見、1つの脆弱性

Mythosのレポートは、当初「五つの『確認されたセキュリティ脆弱性』」を見つけたと主張しました。しかし、curlセキュリティチームによる詳細な調査の結果、そのリストは大幅に削減されました。

• 3つの偽陽性（False Positives）: APIドキュメントですでに欠陥として記録されている問題。
• 1つの「単なるバグ」: セキュリティ脆弱性の閾値に達しない問題。
• 1つの確認された脆弱性: 6月下旬のcurl 8.21.0のリリースに合わせてCVEとして公開される予定の、低深刻度の欠陥。

脆弱性以外にも、AIは20個ほどのバグを特定しました。これらはセキュリティ上の欠陥ではありませんでしたが、明確に説明されており、現在修正が進められています。

AIのハイプ vs. 技術的な現実

これらの結果に基づき、Stenbergは、Mythosを巡る「危険なほど優れている」という物語は、主にマーケティングであったと結論付けています。Mythosが、以前のAIツールよりも著しく高い、あるいはより高度なレベルで問題を特定できるという証拠は見つかりませんでした。実際、curlプロジェクトで使用されている他のAI駆動型ツール（AISLE、Zeropath、およびOpenAIのCodex Security）は、これまでに200から300個のバグ修正を誘発しており、その中には12個以上の確認されたCVEも含まれています。

しかし、これはAIが無効であることを意味するわけではありません。Stenbergは、AI駆動型コードアナライザーは従来の静的解析ツールよりも著しく優れていると強調しています。セキュリティ監査におけるLLMの価値は、以下の能力にあります：

• 文脈の把握（Contextual Awareness）: コメントが主張するコードの動作と、コードが実際に動作する内容との間の不一致を特定すること。
• クロスプラットフォーム分析: 従来の環境では実行が困難なプラットフォームや構成でのコードのチェック。
• APIおよびプロトコルに関する知識: サードパーティライブラリやプロトコル仕様の「知識」を活用して、誤った想定や違反を検出すること。
• コミュニケーション: 従来の解析ツールよりもはるかに手間のかからない方法で、欠陥を要約・説明すること。
• 修正（Remediation）: 特定された問題に対する潜在的なパッチの生成。

ソフトウェアセキュリティへのより広範な影響

Mythosがcurlに対して「破壊的」な影響を与えなかったとしても、AI駆動によるスキャンは今や不可欠なものとなっています。「High quality chaos（高品質な混乱）」、つまりAIを使用した研究者による高品質なセキュリティレポートの氾濫は、現実となっています。

Hacker Newsのディスカッションで一人のコミュニティメンバーが指摘したように、curlがこれほど徹底的に監査されているという事実は、Mythosの発見が限定的であったことは、モデルの弱さではなく、むしろcurlの成熟度を証明するものです。AIでスキャンされていないほとんどのソフトウェアプロジェクトにおいて、その結果は驚愕的なものになるでしょう。

"Not using AI code analyzers in your project means that you leave adversaries and attackers time and opportunity to find and exploit the flaws you don’t find。"

結論

AIは、全く新しい種類の脆弱性を発見することでセキュリティ分野を再発明することはありません。むしろ、確立されたエラータイプの新しい事例を見つけることにおいて、非常に効率的です。curlのような精緻化されたプロジェクトにおいて、その利得はわずかです。しかし、ソフトウェアエコシステム全体を見れば、AI駆動の解析は、もはや無視できない重要な防御層となります。