パッチの猶予期間は、
もう死んでいる。

Chapter 1 — 防衛の絶望的なボトルネックを抱える「3 層」のターゲット

Glasswing は単なるセキュリティ製品ではない。デジタルの地盤沈下を防ぐため、基幹インフラ提供者 / OSS メンテナ / エンタープライズ SOC という 3 つの層が抱える「絶望的なボトルネック」を同時に解消するエコシステム防衛である。

Chapter 2 — 転機:「発見競争」から「修正の工業化」へ

勝負を分けるのは、もはや「誰が先に脆弱性を見つけるか」ではない。AI が見つけたものを、安全に・大量に・人間より速く修正できるかこそが、AI 時代の防御における唯一のレバーだ。

特筆すべきは 修正の工業化（Industrialization of Remediation）だ。Mythos が見つけた脆弱性をそのままパッチ合成パイプラインに流し、到達可能性分析で「実際に攻撃経路として成立するか」をフィルタし、サンドボックスで自動検証。人間レビュアーが介在する点を「事業判断」だけに絞り、防御プロセス全体を流れ作業化する。

Chapter 3 — 仕組み: 防衛側に「非対称的優位」を返す Claude Mythos

Glasswing の中核は Claude Mythos Preview。100 万トークンの大規模コンテキストでコードベース全体を一度に読み込み、Adaptive Thinking でタスクの難易度に応じて推論深度を動的に決定。OpenBSD の27 年前のバグや wolfSSL の17 年前の脆弱性まで特定する、人類トップレベルを超えた発見能力を持つ。

Mechanism · Mythos + Remediation Industrialization

大規模コンテキスト × 適応的推論 × パッチ合成パイプライン

Mythos は単なる脆弱性スキャナではない。100 万トークンの一度読みで獲得可能性チェーンを丸ごと分析し、Adaptive Thinking が必要な箇所だけに「深く考える」予算を集中投下。発見した脆弱性は、AI パッチ合成 → 到達可能性分析 → サンドボックス自動検証の3 工程パイプラインに直行する。人間は「事業影響の判断」だけに専念できる構造だ。

1. 100 万トークンの大規模コンテキスト — コードベース全体を一度に読み込み、獲得可能性チェーンを丸ごと分析
2. Adaptive Thinking（適応思考） — タスクの難易度を動的に判定し、目的的な推論ループを構成
3. 人類トップレベル超えの発見能力 — 27 年前の OpenBSD バグ・17 年前の wolfSSL 脆弱性まで僅か数十秒で特定
4. 修正の工業化 — AI パッチ合成 → 到達可能性分析 → 自動検証の 3 工程で、修正プロセスそのものを流れ作業化
5. 高精度トリアージ — OSS メンテナを低品質 AI 報告の津波から救う、真陽性率 90.6% の選別レイヤー

Chapter 4 — 戦略: 1 ヶ月で証明された「圧倒的インパクト」

Glasswing は概念実証で終わらなかった。1 ヶ月のパイロット期間で、10,000 件超の高・重大脆弱性、23,019 件の所見、90.6% の真陽性率、Firefox 150 での前モデル比 10 倍の 271 件修正、150 万ドル相当の不正送金エクスプロイト未然防止——定量的に証明された防御側の非対称的優位がここにある。

Strategic Position

10,000 件超 × 23,019 件 × 90.6% × 150 万ドル防止

パートナー全体の高・重大脆弱性 10,000 件超、1,000 以上の OSS プロジェクトでの23,019 件所見、真陽性率 90.6% という人類アナリスト級の精度、Firefox 150 で前モデル比 10 倍の 271 件修正、そしてあるパートナー銀行では Mythos の内部スキャンが150 万ドル相当の不正送金エクスプロイトを未然防止。これらは「AI を導入したら何かが速くなる」という抽象論ではなく、事業に直接届く KPIとして記録された数字だ。

• 10,000 件超 — パートナー全体の高・重大脆弱性を 1 ヶ月で発見
• 23,019 件 — 1,000 以上の OSS プロジェクトでの所見数
• 90.6% — Glasswing 報告の真陽性率（人類アナリスト級）
• 271 件 / 10 倍 — Firefox 150 における前モデル比の脆弱性修正数
• 150 万ドル相当 — 金融機関での不正送金エクスプロイト未然防止

セキュリティアーキテクトのノート：Glasswing の本質は「ゼロデイの大量発見」ではなく、「修正の工業化」と組み合わせた防御サイクル全体の高速化である。Mythos が網羅的に見つけても、修正プロセスが従来通り「人間レビュー → 個別パッチ作成 → 段階的展開」のままなら、Patch Window 死亡という前提に応えられない。Glasswing は発見・トリアージ・パッチ合成・到達可能性分析・自動検証を一つの DAG に圧縮することで、世界に対する防御の Time-to-Patch を物理的に短縮する。

実務ワークフロー: AI ネイティブな防衛態勢への「4 ステップ」

攻撃 AI が一般化するまでの約 18 ヶ月の Safe Zoneを、現場でどう使い切るか。3 つの層すべてに共通する基本動作は「先に硬化し、修正を工業化し、検証を自動化する」。立場ごとに最初の一歩は変わるが、骨格は揃っている。

Chapter 5 — 未来: 「文明レベルのパッチ」と AI ネイティブ SOC へ

Glasswing が目指すのは個別企業のセキュリティ強化ではない。デジタル社会という土地の地盤沈下を防ぐ取り組み——文明レベルのパッチである。攻撃 AI が一般化する 18 ヶ月後を見据え、SOC は人間中心の警報処理から、AI ネイティブな自律防御へと体質を切り替える。

Future · 18-Month Roadmap

Safe Zone 〜 AI ネイティブ SOC まで 4 段階

攻撃 AI 一般化までの 18 ヶ月を、エコシステム全体で「先に硬化させる時間」として使い切る。SOC は警報を読む組織から、AI が一次対応・人間が事業判断に専念する組織へ移行する。「Patch Window is Dead.」を前提とした防御設計が、業界標準として固まっていく。

1. 0–6 ヶ月 — Mythos による網羅スキャンと真陽性率トリアージを既存 SAST/DAST パイプラインに併設
2. 6–12 ヶ月 — 修正の工業化（AI パッチ合成 + 到達可能性分析 + 自動検証）を本番ブランチへ統合
3. 12–18 ヶ月 — AI ネイティブ SOC への移行。一次対応を AI、二次は人間の事業判断という分業を確立
4. 18 ヶ月以降 — 「文明レベルのパッチ」が業界標準化。攻撃 AI 一般化下でも防御の先行優位が維持される世界へ

押さえるべき構成要素

4 つのペルソナが、それぞれにやるべきこと

Glasswing が告げるのは、AI 時代のサイバー防衛を成立させるための具体的な作業マップだ。立場ごとに最初の一歩は変わる。

出典 & 参考リンク