Claude Mythos（ミュトス）とは？ 中小企業のHPにとって何が変わるか

Claude Mythos（クロード・ミュトス）は、AI企業の Anthropic が開発したAIモデルで、ソフトウェアの弱点を見つける力の高さから、2026年4月の発表以来、セキュリティのニュースで何度も取り上げられています。日本でも国が重要インフラ事業者に注意喚起を出すなど、影響は大企業やIT企業の話にとどまりません。

Claude Mythos が何で、誰が使えて、何が変わるのかを把握すると、ニュースに振り回されずに、自社で何を確かめればよいかを判断できます。特に、何年も更新していないホームページ（HP）を持つ会社にとっては、優先して手を打つ理由がはっきりします。

本記事では、Claude Mythos の定義・Fable 5.1 との違い・これまでの経緯・使える組織の条件を、2026年10月時点の Anthropic の公式発表をもとにまとめています。さらに、中小企業のHPにとって何が変わるのか、自社が影響を受けやすいかを確かめる3STEPと、やることの優先順も紹介します。

Claude Mythos とは？ 脆弱性を見つける力が高い、審査制のAIモデル

Claude Mythos とは、Anthropic が開発した、ソフトウェアの脆弱性（ぜいじゃくせい。プログラムの弱点で、攻撃の入口になるもの）を見つける力が特に高いAIモデルです。攻撃にも使える力のため、一般には公開せず、審査を通った組織だけに提供されています。

Claude Mythos の全体像は、以下の早見表のとおりです。

項目	内容
開発した会社	Anthropic（米国のAI企業。Claude シリーズを開発）
読み方	ミトス／ミュトス
最新版	Claude Mythos 5.1（2026年9月1日公開）
特徴	ソフトウェアの脆弱性を見つけ、確かめる力が高い
使える相手	Anthropic の審査プログラムを通った組織。現時点では米国の一部の組織だけ
一般向けの同じモデル	Claude Fable 5.1（安全対策を強めて一般に提供）
中小企業への影響	弱点が速く見つかり、更新していないHPとの差が広がる

※2026年10月時点・Anthropic 公式サイトより

ここでは、Claude Mythos の読み方と位置づけ、Fable 5.1 との違い、これまでの経緯の3つを解説します。

Claude Mythos の読み方と位置づけ

Claude Mythos の読み方は「ミトス」または「ミュトス」です。英語の発音に近いのは「ミトス」ですが、日本語のニュースや解説では「ミュトス」と書かれることも多く、どちらも同じモデルを指します。

Claude Mythos は、Anthropic のAIモデルの中で、文章やプログラムを扱う力が全体に高いうえに、サイバーセキュリティの分野で特に高い力を持つモデルとして位置づけられています。たとえば、2026年10月の発表では、Anthropic の審査プログラムで提供する最上位のモデルとして、Claude Opus 5.5・Claude Sonnet 5.5 と並んで Claude Mythos 5.1 が挙げられています。

ただし、Claude Mythos は誰でも契約して使えるサービスではありません。一般の会社が Claude を使う場合に選ぶのは、Fable 5.1 や Opus などの別のモデルです。

Claude Mythos 5.1 と Fable 5.1 の違い

Claude Mythos 5.1 と Claude Fable 5.1 は、中身が同じモデルで、違いは安全対策のかけ方と使える相手です。Anthropic は公式発表で、2つは「同じモデルで、安全対策の水準が違う」と説明しています。

Claude Mythos 5.1 と Fable 5.1 の違いを、使える相手と脆弱性の扱いで比較します。

項目	Claude Mythos 5.1	Claude Fable 5.1
モデルの中身	同じ	同じ
使える相手	審査を通った組織・個人。現時点では米国の一部の組織だけ	一般に提供（Claude の API、AWS・Google Cloud・Microsoft Azure など）
脆弱性を見つける用途	使える	使える
攻撃コードを作る用途	審査の区分に応じて使える	使えない
侵入テストなど攻撃にも使える作業	審査の区分に応じて使える	Opus のモデルに切り替えて答える

※2026年10月時点・Anthropic 公式サイトより

Fable 5.1 では、脆弱性を見つけて直すような守りの作業はできますが、見つけた脆弱性を悪用するコードは作れません。中身が同じでも、使える範囲が違う点を押さえておきましょう。

Claude Mythos のこれまでの経緯

Claude Mythos は、2026年4月の発表から半年ほどの間に、公開の範囲が何度も変わってきました。米国政府の判断や、Anthropic の審査制度の変更があったためです。

Claude Mythos の主な出来事は、以下のとおりです。

日付	出来事
2026年4月7日	「Claude Mythos Preview」と、重要なソフトウェアを守る取り組み「Project Glasswing」を発表。参加組織だけに提供
2026年5月22日	Project Glasswing の中間報告を公開
2026年6月9日	「Claude Mythos 5」と一般向けの「Claude Fable 5」を発表
2026年6月12日	米国政府の輸出管理を受け、Fable 5 と Mythos 5 の提供を停止
2026年7月1日	Fable 5 は世界で提供を再開。Mythos 5 は米国政府の承認のもと、一部の米国の組織向けだけ再開
2026年9月1日	「Claude Mythos 5.1」「Claude Fable 5.1」を公開
2026年10月6日	審査制度「Cyber Verification Program」を3つの区分に広げると発表

※2026年10月時点・Anthropic 公式サイトより

公開の範囲は数ヶ月単位で変わっています。使えるかどうかを判断する際は、記事の日付と Anthropic の最新の発表を確かめてください。

Claude Mythos は何がすごいのか【発表された3つの成果】

Claude Mythos が注目された理由は、人の専門家が何年も見つけられなかった弱点を、AIが短い期間で大量に見つけたことです。ソフトウェアの弱点が見つかる速さは、守る側と攻める側の両方に影響します。

ここでは、Anthropic が公式に発表した Claude Mythos Preview の成果を3つ紹介します。

長年見落とされていた脆弱性を見つけた

Claude Mythos Preview は、主要なOSと主要なWebブラウザのすべてで、深刻度の高い脆弱性を数千件見つけたと発表されています。人の専門家や自動テストの道具では見つからなかった弱点が含まれていたからです。

Anthropic が挙げた例は、以下のとおりです。

• OpenBSD（OSの1つ）に27年間残っていた脆弱性：接続するだけで、そのマシンを遠隔から止められるもの
• FFmpeg（動画を扱う広く使われるソフト）に16年間残っていた脆弱性：自動テストが500万回実行していたコードの中にあったもの
• Linux の脆弱性の組み合わせ：複数の弱点をつなげ、一般の利用者の権限から全体を操作できる状態まで進めたもの

上記の例により、古くから使われているソフトほど、まだ見つかっていない弱点が残っている可能性があると分かります。

脆弱性を探す試験で前のモデルを上回った

Claude Mythos Preview は、脆弱性を再現する力を測る試験「CyberGym」で83.1%を記録しました。前のモデル Claude Opus 4.6 の66.6%を大きく上回る結果です。

たとえば、プログラムの不具合を直す力を測る試験「SWE-bench Verified」でも、Claude Mythos Preview は93.9%で、Claude Opus 4.6 の80.8%を上回ったと発表されています。

ただし、試験の点数は Anthropic 自身の発表値で、AIの性能は数ヶ月で入れ替わります。中小企業にとって大切なのは点数ではなく、弱点が見つかる速さが上がったという事実です。

Project Glasswing で1万件以上の脆弱性が見つかった

Project Glasswing の参加組織は、Claude Mythos Preview を使って、深刻度が高い・重大な脆弱性を1万件以上見つけました。2026年5月22日の中間報告で、約50の参加組織の合計として公表された数字です。

Project Glasswing の中間報告の主な数字は、以下のとおりです。

項目	数字（2026年5月22日時点）
参加組織	約50
参加組織が見つけた、深刻度が高い・重大な脆弱性	1万件以上
オープンソースの開発者に伝えた、深刻度が高い・重大な脆弱性	約530件（推計）
そのうち修正が出たもの	75件
修正が出るまでの平均	約2週間

※Anthropic「Project Glasswing: An initial update」より

Project Glasswing の発足時には、Amazon Web Services・Apple・Google・Microsoft など12の組織が参加し、Anthropic は最大1億ドル分の利用枠を提供すると発表しました。取り組みの詳しい中身は Project Glasswing とは。AIで脆弱性を探して直す取り組み で解説しています。

Claude Mythos が一般公開されない理由と、使える組織の条件

Claude Mythos が一般公開されない理由は、脆弱性を見つける力が、そのまま攻撃にも使えるためです。守る側に先に使ってもらい、攻撃者の手に渡りにくくすることが、Anthropic の方針です。

ここでは、一般公開しない理由、審査制度の区分、日本の中小企業が使えるかの3点を解説します。

攻撃にも使えるため、使える相手を審査で絞っている

Claude Mythos は、守りの目的が確かめられた組織だけに提供されています。脆弱性を見つける力は、修正する側にも、悪用する側にも同じように役立つからです。

たとえば、Fable 5.1 でも脆弱性を見つける作業はできますが、侵入テストや攻撃コードの作成など、攻撃にも使える作業は Opus のモデルに切り替えて答える作りになっています。Claude Mythos 5.1 は、審査を通った相手に対して、こうした制限の一部を外したモデルです。

ただし、同じ方向のAIは他の会社からも出ています。特定のモデルを閉じても、AIで弱点が速く見つかる流れそのものは止まりません。

Cyber Verification Program の3つの区分

Cyber Verification Program とは、セキュリティの仕事をする組織や研究者が、サイバー分野の制限を緩めたモデルを使うための Anthropic の審査制度です。2026年10月の更新で、3つの区分に分かれました。

Cyber Verification Program の区分と申し込める相手を比較します。

区分	申し込める相手	備考
Defense Access	組織、または個人（独立した研究者・オープンソースの開発者など。有料プランが条件）	守りの作業が中心
Red Team Access	組織だけ	区分が上がるほど条件が厳しくなる
Specialized Access	組織だけ	Project Glasswing の参加組織はこの区分へ移行

※2026年10月時点・Claude ヘルプセンター、Anthropic 公式サイトより

申し込みへの回答は7営業日以内にメールで届くとされています。また、審査では組織が置かれた国の法規制の状況も考慮されます。

日本の中小企業は Claude Mythos を使えるか

日本の一般的な中小企業が Claude Mythos を直接使うことは、2026年10月時点ではまずありません。Anthropic は、Claude Mythos 5.1 を「現時点では米国の一部の組織だけ」が使えるとしており、米国政府と協力して国内外に広げる予定としているからです。

中小企業が Claude を仕事で使う場合の選択肢は、以下のとおりです。

• Claude Fable 5.1：Claude Mythos 5.1 と同じモデル。脆弱性を見つける用途にも使える
• Claude Opus・Sonnet：文章作成や資料づくりなど、ふだんの仕事向け
• AIを使った診断・保守のサービス：自社でモデルを動かさず、専門の会社に任せる

中小企業が自分で最新のAIモデルを動かす必要はほとんどありません。モデルの選び方は Claude Mythos と Opus の違い。一般の会社は使える？ で詳しく比較しています。

Claude Mythos の登場で、中小企業のHPにとって何が変わるか

Claude Mythos の登場で変わったのは、ソフトウェアの弱点が見つかる速さです。Claude Mythos が直接どこかの会社のHPを狙うわけではありませんが、HPを動かす PHP や WordPress も、弱点が見つかる対象に含まれます。

ここでは、修正の速さとの差、日本政府の注意喚起、身近な PHP の例、HPの状態別の影響の4つを解説します。

脆弱性が見つかる速さに、直す速さが追いつかない

AIで弱点が見つかる速さは上がりましたが、修正を作って配るのは今も人の手です。Anthropic は中間報告で、修正の妨げになっているのは「人が仕分けし、報告し、修正を作って配る力」だと書いています。

たとえば、Project Glasswing で開発者に伝えた約530件のうち、修正が出たのは75件でした。修正が出たあとも、HPの持ち主がアップデートを当てなければ弱点は残ります。

つまり、アップデートを当てているHPは守られ、当てていないHPは弱点が残ったままになります。差はこれまでより早く広がります。

日本政府も重要インフラ事業者に注意喚起を出した

日本政府は2026年5月18日、内閣官房国家サイバー統括室を中心とする関係府省の連名で、重要インフラ事業者などに向けた注意喚起「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について」を出しました。Claude Mythos Preview をはじめとするAIモデルで、脆弱性の発見・修正の力が急速に上がっていることが理由です。

国土交通省が水道事業者向けに出した通知では、求める対策が次の3つにまとめられています。

1. 経営層のリーダーシップの下でのサイバーセキュリティ対策
2. 基本的なサイバーセキュリティ対策の確実な実施と、さらなる強化
3. 高性能AIにより高速化する脆弱性の発見・修正などへの対応

対象は重要インフラ事業者ですが、中身は中小企業にもそのまま当てはまります。経営者が更新の責任者を決め、基本の対策を徹底し、修正が出たら早く当てる体制をつくることが求められています。

PHP の脆弱性 php2shell の発見にもAIが使われた

2026年10月21日に公表された PHP の脆弱性 CVE-2026-109618／109619（通称 php2shell）は、AIで長年の弱点が見つかった身近な例です。php2shell は、ログインなしで外部からプログラムを実行される恐れがある脆弱性で、発見して PHP に報告したセキュリティ企業の Wiz は、発見にAIを使ったと公表しています。

php2shell への対応の状況は、以下のとおりです。

PHP のバージョン	対応
8.2〜8.5	修正版（8.2.35／8.3.36／8.4.27／8.5.12）が公開済み
8.1 以前	サポート終了のため通常の修正版は出ない（最小限の修正コードだけが公開）

※2026年10月時点・php.net、IPA より

IPA と JPCERT/CC は、2026年10月22日に注意喚起を出しています。IPA は、PHP 8.1 以前を使っている場合、サポートされているバージョンへの更新や移行を検討するよう求めています。詳しくは PHP の重大な脆弱性、中小企業のHPで今やること をご覧ください。

HPの状態によって影響の大きさが変わる

Claude Mythos のようなAIの影響は、HPを更新しているかどうかで大きく変わります。弱点が見つかったあとに修正を当てられるかどうかで、危険が残るかが決まるからです。

HPの状態別に、AIで弱点が見つかりやすくなったときの影響を整理します。

HPの状態	AIで弱点が見つかりやすくなると
PHP・WordPress・プラグインを定期的に更新している	修正が出たら当てればよく、影響は小さい
何年も更新していない	新しく見つかった弱点が直らないまま残る
PHP 8.1 以前で動いている	通常の修正版がもう出ないため、弱点が見つかっても直せない
誰が管理しているか分からない	修正が出ても誰も当てない

上記の表で下の行に当てはまるほど、優先して手を打つ必要があります。古いHPが危ない理由は AIが脆弱性を見つける時代、古いPHP・WordPress のHPが危ない理由 で詳しく解説しています。

自社のHPが Claude Mythos の影響を受けやすいか確かめる方法【3STEP】

自社のHPが影響を受けやすいかは、PHP のバージョン・WordPress の更新状況・管理の体制の3つで判断できます。どれも見るだけの作業なので、HPが壊れることはありません。

ここでは、確かめる手順を3STEPで紹介し、最後に結果の判定表を示します。

【STEP1】PHP のバージョンを確かめる

PHP のバージョンは、影響を受けやすいかを判断するいちばんの手がかりです。PHP 8.1 以前は通常の修正版が出ず、PHP 8.2 も2026年12月31日でセキュリティ修正が終わるからです。

たとえば、WordPress のHPなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で PHP のバージョンを確かめられます。WordPress 以外のHPは、レンタルサーバーの管理画面か、制作会社への問い合わせで確かめます。

【STEP2】WordPress・プラグインの更新状況を確かめる

WordPress を使っている場合は、本体・プラグイン・テーマの更新が残っていないかを確かめます。PHP が新しくても、プラグインに弱点が残っていれば攻撃の入口になるためです。

確かめる場所は、管理画面の「ダッシュボード」→「更新」です。たとえば、更新が半年以上残っているプラグインや、作った会社が更新をやめたプラグインがあれば、優先して対応します。

【STEP3】HPを管理している人と契約を確かめる

HPを誰が管理しているかを確かめます。修正が出ても、当てる人がいなければ弱点は残るからです。

確かめるポイントは、以下のとおりです。

• 更新の作業を誰がしているか
• 制作会社との保守契約が続いているか、中身が分かるか
• サーバー・ドメインの契約者が自社か
• 「更新しないでください」と言われたままになっていないか

3STEPの結果を、以下の表で判定します。

結果	判定	やること
PHP 8.3 以上・更新も残っていない・管理者がいる	影響は小さい	更新を続ける
PHP 8.2	年末にセキュリティ修正が終わる	12月までに 8.3 以上へ
PHP 8.1 以前、または分からない	影響を受けやすい	早めに更新。上げられなければ移管か作り直し
更新が半年以上残っている、管理者がいない	影響を受けやすい	管理する人を決め、バックアップを取って更新

判定に迷う項目がある場合は、影響を受けやすい側として扱うのが安全です。

Claude Mythos のニュースを受けて中小企業がやること【優先順4つ】

Claude Mythos のニュースを受けて中小企業がやることは、AIを導入することではなく、HPと社内の基本の対策を固めることです。Anthropic も、セキュリティの担当者がいない小さな組織には、まず自動更新をオンにすることを勧めています。

ここでは、やることを優先順に4つ紹介し、自社でできない場合の相談先にも触れます。

【1】サポートの切れた PHP・WordPress を更新する

最初にやるのは、サポートの切れた PHP と WordPress の更新です。外から見えて、直されていないHPが、いちばん先に狙われるからです。

PHP 8.2 以前のHPは、8.3 以上に上げられるかを制作会社やサーバー会社に確かめます。進め方は PHP 8.2 のサポートは12月31日で終了。中小企業のHPでやること で解説しています。

【2】更新を続ける体制を決める

PHP を一度上げて終わりにせず、修正が出たら誰が当てるのかを決めます。AIで弱点が見つかる速さが上がると、修正が出る回数も増えるからです。

たとえば、月に1回は管理画面で更新を確かめる担当を決めます。社内に担当がいなければ、保守契約を検討します。

【3】パソコン・メールの自動更新と二段階認証をそろえる

HPと並行して、パソコン・スマホ・ソフトの自動更新と、メールやクラウドの二段階認証を全員分そろえます。Anthropic は、パスキー（指紋や顔認証でログインする仕組み）や物理的なセキュリティキーを勧めています。

【4】自社でできない部分は専門家に任せる

PHP の更新やHPの状態の判断が難しい場合は、専門家に任せます。PHP の更新は、サーバーの設定とHPの中身の両方にかかわり、慣れていないと表示が崩れることがあるためです。

専門家に相談したほうがよいのは、以下のような場合です。

• PHP のバージョンが分からない
• 制作会社と連絡が取れない
• PHP 8.1 以前で、上げると表示が崩れると言われている
• HPを管理する人が社内にいない

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

AIでサイバー攻撃全体がどう変わるかは、AIで、サイバー攻撃はどう変わる？ 中小企業がいまやること に優先順でまとめています。

Claude Mythos についてのよくある誤解

Claude Mythos はニュースで大きく扱われたため、事実と異なる受け止め方も広がっています。誤解のまま判断すると、必要な対策が遅れたり、不要な出費をしたりする原因になります。

ここでは、よくある誤解を4つ取り上げ、2026年10月時点の事実で整理します。

誤解	事実
Claude Mythos が一般公開され、誰でも攻撃できるようになった	Claude Mythos 5.1 は審査制。一般向けの Fable 5.1 は攻撃コードを作れない
小さな会社は関係ない	攻撃は会社の規模ではなく、弱点が残っているかで向かう先が決まる
Claude Mythos を使えば守れる	中小企業は自分でモデルを動かすより、更新を続けるほうが効果がある
ニュースが落ち着けば大丈夫	見つかった弱点の修正はこれからも次々に出る。更新を続ける体制が要る

※2026年10月時点・Anthropic 公式サイトより

上記の誤解を避けるには、モデルの名前より「自社のHPが更新されているか」に目を向けることが大切です。

まとめ

• Claude Mythos は、脆弱性を見つける力が高い Anthropic のAIモデルで、最新版は2026年9月公開の Mythos 5.1
• Mythos 5.1 は審査を通った組織だけが使え、2026年10月時点では米国の一部の組織に限られる
• 中小企業への影響は、弱点が速く見つかり、更新していないHPとの差が早く広がること
• 自社のHPは、PHP のバージョン・WordPress の更新状況・管理の体制の3つで確かめられる

まず PHP のバージョンを確かめ、自力で判断できない場合は専門家の無料診断を活用してください。