脆弱性12万9千件を見つけた側だけが速くなった — 止められないOTに残る時間差

Anthropic が10月6日と10月8日に続けて出した2本の発表は、どちらも対象が画面の中ではない。 電力網・上水道・工場・交通を動かしているコントローラと制御ソフト、つまり運用技術(OT)である^[2,1]。 数字は見つける側に出た。Project Glasswing の参加組織は2026年4月から7月に検証済みの脆弱性を少なくとも12万9,000件掘り出し、うち3万3,000件超が critical または high と評価された^[2]。だが同じ発表本文が、サイバーリスクの十分な低減はまだ達成できていないと書き^[1]、 発見から修正までに数か月が過ぎるのを何度も見た、OT では稼働中の機械に安全に適用できる時まで 修正が待たされ、まれには数十年かかりうる、とも書いている^[1]。 見つける速度だけが上がった。本紙が読むべきはこの時間差と、 階層設計の線が物理的な危害のところで引かれたという事実である^[2]。

発表は2本あり、対象は制御装置である#

10月6日の発表は Cyber Verification Program(CVP)の拡張である^[2]。 一般提供のモデルはサイバー作業の大半を保守的に遮断する設定になっており、 防御側がその遮断を緩めた状態で最上位モデルを使えるようにするのがこの枠組みである^[2]。 従来の Project Glasswing と旧 CVP の2本立てを1本に統合し、3つの階層に整理した^[2]。

10月8日の発表は Anthropic Cyber Mission で、こちらは枠組みではなく実働部隊の話である^[1]。 開始時点の対象は2領域。重要インフラの OT と、オープンソースソフトウェアである^[1]。 前者には Critical Infrastructure Defense Program(CIDP) が置かれ、 フロンティアモデル・現地に入るエンジニア・脅威リサーチを、 インフラ事業者が信頼している提供者側に渡す形をとる^[1]。 創設パートナーは Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、日立製作所、 Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automation の11社で、 コンサルティング、産業ネットワークの防御事業者、そして装置そのものを作って パッチを出す製造者が混ざっている^[1]。11社のうち日本に本社を置くのは日立製作所1社である。

なぜ OT が別扱いなのかは、発表本文が明示している。コントローラ・制御ソフト・産業ネットワークは 数十年使う前提で作られており、パッチのために停止できないことが多い。 だから既知の脆弱性が何年も未解決で残る^[1]。 装置は専有的で、変更は危険で、間違えればプラントが止まる^[1]。 本紙の読者にはこの条件のほうが馴染みがあるだろう。止められない機械に対しては、 「直し方が分かった」と「直った」の間に、工程の都合という距離が入る。

12万9,000件という数字と、その分母#

公表された発見数は、出どころごとに分かれて書かれている。表の値をそのまま採る。

発表側は、この数字が過小だと主張している。集計はパートナーの一部からの調査回答に基づくもので、実際の影響は少なくとも5倍高いと見込むと書く^[2]。 根拠として挙がっているのは、33件のパートナー報告という部分データであること、 組織ごとにトリアージの方針が違うこと、そして修正済み件数を開示したパートナーが50%未満だったことである^[2]。 修正が進行中で数字が出せなかったケースが多い、という説明が付く^[2]。

ここで分けるべきものが2つある。過小評価の主張は発見側にかかっている。 同じ但し書きは、修正側の数字が存在しないことも示している。 12万9,000件に対して何件が直り、平均で何日かかったのかは、どちらの発表本文にも無い。 発見の実数が5倍だとすれば、未修正の実数も同じ方向に伸びる。 稼働中の装置を持っている側にとって意味がある数字は前者ではなく後者だが、 そちらは今回公表されていない。

階層の線は「物理的な危害」で引かれた#

CVP の3階層は、権限の強さの順に Defense Access、Red Team Access、Specialized Access である^[2]。 本紙の関心からいうと、重要なのは上位2つの境界ではなく、どの階層でも残る遮断が何なのかである。

Red Team Access の記述を文字どおり読むと、許可された侵入テストの対象として名指しされているのは 重要産業のITシステムであり、物理システムの損傷と高リスクな安全システムの ペネトレーションテストは、この階層でも遮断の対象として例示されている^[2]。 装置そのものと安全システムを叩く作業は、文面の上では Specialized Access 側に置かれている^[2]。 そして Specialized Access の審査は米国政府との連携で行われると書かれている^[2]。 日本の工場やプラントの事業者が自前の安全計装系をフロンティアモデルでレッドチームしたい場合に どの経路を通るのかは、発表本文からは判定できない。記述が無い。

自社の遮断を自社で測った数字#

階層ごとの遮断が実際に効いているかを、Anthropic は CyScenarioBench ——現実的な制約下で多段のサイバー作戦を計画・実行できるかを測る評価——で自己測定している^[2]。 10課題それぞれに5回試行、1階層あたり50試行である^[2]。

この表の読み方を1つ付ける。Red Team Access は遮断を部分的に緩めた状態ではない。 この評価においては保護なしのモデルと同じところまで開いている^[2]。 50中34は68%で、保護なしの67.6%と差がない^[2]。 Specialized Access は保護なしに相当する位置づけだと発表本文が書いている^[2]。 つまり審査を通した先に出てくるのは、能力を削った版ではなく素のモデルである。 審査と事後監視が保護の実体であり、分類器はその手前の網だという構成になっている。 なお評価は10課題・50試行の自社測定であり、第三者による再現は示されていない^[2]。

監視の条件も明記された。CVP に参加する組織にはデータ保持が必須で、 サイバー面の悪用を監視するためだとされる^[2]。 ゼロデータ保持と安全機構を両立させる Enterprise Frontier Safeguards は 「この秋の後半」に提供予定で、それまでは一部モデルに限って例外が置かれている^[2]。 防御側の作業ログを提供者に預けることが参加条件になる、という形である。

OSS Scanner は人間のレビューを外した#

Cyber Mission のもう一方、オープンソース側で立ち上げられたのが OSS Scanner である^[1]。 登録したプロジェクトが、最上位モデルによる定期走査を無償で受けられる^[1]。 報告には、バグが悪用されうる形の proof of concept、説明、そして可能な場合は修正案が付く^[1]。

ここには明示された代償がある。発表本文は、報告はモデル生成であり、人間のレビューを経ずに送られると書いている^[1]。 速く届く代わりに、深刻度の評価が誤っているなど不正確なものが混じる^[1]。 見込まれる真陽性率は90%超で、改善していくとされる^[1]。 裏返せば、10件に1件程度の誤りを受け取る側が負担する設計である。 だから対象は、届いた指摘を処理し続けられる体力のあるプロジェクトに限られ、 それ以外には従来の人間検証済み開示が続く^[1]。

この設計変更の理由も書かれている。Glasswing では人間がトリアージして非公開で開示していたが、 大規模にトリアージできる一部のメンテナがレビュー済みかどうかを問わず全部欲しいと 求めたためである^[1]。発見側の生産量が、人間のレビュー工程に収まらなくなったという話である。

発表側が自分で書いた、強くない部分#

この2本を能力の前進として読むと、発表本文の記述と合わない。順に拾う。

CIDP についても、発表本文は到達範囲を限定している。まず小さな提供者群と組んで、 どの戦略が有効で実用的かを学ぶのが第一歩だとされる^[1]。 先行して6月に始めた州・地方・部族・準州政府向けのプログラムは、 米国の全州の半数超と、国内最大級の公共重要インフラ事業者の一部に モデルと技術支援を提供した段階である^[1]。 つまり現状は、提供範囲の拡大が先に進んでいて、リスク低減の実測はまだ出ていない。

フィジカルAIから見て、何が動いて何が動いていないか#

動いていないものから書く。能力の地図は動いていない。接触の難しさ、VLA の一般化、現場の歩留まりに触れる要素は今回に無い。 本紙がVLAは本当に工場で使えるのかで並べた桁の差は、1件も埋まらない。

動いたのは、すでに動いている機械の下で、鍵を誰が持つかという配置である。 OT を叩ける能力は、審査を通った組織に対して保護なし相当まで開かれた^[2]。 同じ能力が攻撃側にも広く行き渡っていることは発表本文自身が前提として書いている^[1]。 CIDP の創設パートナーに装置の製造者が入っている^[1]のは、 修正を当てられるのが装置側だからで、この構成自体が 「見つけるのはモデル、直すのは装置を作った会社」という分業を認めたものである。

本紙が先に扱った話と、ここで1点つながる。利用規約の更新は、自律的に物理行動をとる装置について、Claude が切断されても装置が安全な状態を保持できることを11月12日以降の要件とした^[3]。 この条件は、切断を故障として想定したときに自然な書き方である。 今回の2本が描いているのは、切断の時刻を選べる相手がいる世界である^[2,1]。 平均的に安全な停止状態と、最悪の時刻に安全な停止状態は別物で、 規約の文面はそこを区別していない。本紙はこれを、規約の不備というより、 安全要件とセキュリティ要件がまだ別の文書に書かれている段階の表れとして読む。

Model Hardware Standardの回で本紙が評価したのは、強制される安全限界を学習された方策の内側に期待せず、 装置の参照ファイルという外側の記述に置いた点だった^[4]。 配置としては今も妥当だと考える。ただし参照ファイルは書き換えられる対象でもある。 安全限界を外部の宣言に出した設計は、その宣言の完全性を誰がどう守るのかという問いを セキュリティ側に渡す。MHS の発表本文にその記述は無く、今回の2本もそこには触れていない。

実務としての含意は1つに絞れる。発見数は、稼働中の装置を持つ側の指標にならない。 12万9,000件^[2]が意味を持つのは、自分の装置が既知の穴を抱えて動き続ける日数が それで短くなるときだけであり、修正側の数字は今回公表されていない^[2]。 OT では修正が工程の都合で待たされ、まれには数十年という尺度になると 発表側自身が書いている^[1]。 止められない機械を持っている事業者が今回の発表から読み取るべきは、 新しい防御手段が来たという話ではなく、自分の装置が「直せるまで待つ」時間をどこまで測れているかという宿題である。