Claude Mythos 5とは｜モデルを渡さず能力だけ配る

「自分のコードに脆弱性が残っていないか、強いAIにまとめて見てもらいたい」——そう思ったことがある方は多いはずです。ところが、脆弱性を見つけられるほど強いAIは、その気になれば脆弱性を突く側にも回れてしまいます。だからこそ、そういうモデルはこれまで簡単には配られてきませんでした。

結論から言うと、2026年8月21日、Anthropicはこれまでごく一部の組織にしか渡していなかったClaude Mythos 5を、Claude Securityの脆弱性スキャンの中身として動かし始めました。Claude Enterprise契約であれば公開betaとして使えます。ただし配られたのはモデルそのものではなく、「脆弱性の指摘と修正案」という決まった形の出力だけです。

株式会社Fyveは、中小企業がAIを業務に取り入れる伴走をしています。私はこの発表の本体は新しいスキャナが増えたことではなく、危ない能力を「モデルごと渡す」のではなく「出口の形を固定して配る」という配り方の設計そのものにあると考えています。この記事では、公式発表の中身を正確に押さえたうえで、無人でAIを回してきた立場から、その設計が自社の運用にどう効いてくるかまで解説します。

Claude Mythos 5とは｜2026年8月21日にClaude Securityへ搭載された

Claude Mythos 5は、Anthropicがサイバーセキュリティ領域のセーフガードを緩めた状態で、審査を通った組織にだけ渡してきたフロンティアモデルです。2026年8月21日、このモデルがClaude Securityの脆弱性スキャンを動かすエンジンとして、Claude Enterprise契約者向けの公開beta（public beta）で提供され始めました。

発表の中身を3行で押さえる

• Claude Securityのスキャンが Claude Mythos 5 で動くようになった（2026年8月21日・公開beta・Claude Enterprise契約者が対象）
• 別料金の追加契約は不要。スキャンは既存プランの通常のトークン利用として課金される
• あわせて Defender Advantage Fund（0xDAF） を新設し、オープンソースの脆弱性修正に取り組む組織へ3,500万ドルぶんのクレジットを提供する

注目すべきは1つ目です。Anthropicは「Mythos 5を売る」のではなく「Mythos 5が動かす製品を使わせる」という形を選びました。ここが後半で扱う本題につながります。

Mythos 5とFable 5は「同じモデル」。違うのはセーフガードだけ

混乱しやすいところなので先に整理します。Claude Mythos 5とClaude Fable 5は、別々に作られた2つのモデルではありません。同じ土台のモデルに、異なるセーフガードをかけた2つの出し方です。

• Claude Fable 5＝一般提供（GA）版。サイバー・生物・蒸留に関わる問い合わせは安全分類器が検知し、Claude Opus 4.8へ迂回させる
• Claude Mythos 5＝そのサイバー方面のセーフガードを、審査を通った利用者に対してだけ外した版。Project Glasswingのパートナーに渡されてきた

つまり「Mythosのほうが賢い」わけではありません。賢さは同じで、止められる範囲が違うだけです。この一点を押さえておくと、「なぜ一般公開されないのか」も、「なぜ製品越しなら配れるのか」も、すっきり理解できます。

一般提供されているFable 5そのものの位置づけや使いどころについては、こちらの記事で入門から整理しています。

Claude CodeClaude Fable 5（クロード・フェイブル）を超わかりやすく｜読み方・料金・始め方の入門ガイド

2026年4月のProject Glasswingから、8月の公開betaへ

Mythosクラスのモデルは、いきなり広く配られたわけではありません。段階を踏んでいます。

• 2026年4月7日：Project Glasswingを開始。AWS・Microsoft・Google・CrowdStrike・Linux Foundationなどを含む連合に、Claude Mythos Previewを提供。最大1億ドルの利用クレジットと、オープンソースのセキュリティ団体への400万ドルの寄付が伴った
• その後：当初の12の立ち上げパートナーに加え、重要インフラを維持する40以上の組織へアクセスが広がった
• 2026年8月21日：Claude Securityのスキャンに搭載され、Claude Enterprise契約者が公開betaで利用できるようになった

4か月かけて「渡す相手を審査で絞る」段階から、「渡す出力を製品で絞る」段階へ移った、という流れです。渡す相手を増やすのではなく、渡し方を変えることで対象を広げたところに設計の意図が見えます。

スキャンで何が返ってくるのか｜CWE分類・確信度・修正案

使う側から見た実際の流れを押さえます。ここが「決まった形の出力だけを配る」の具体です。

リポジトリを選ぶと、スキャンが走る

利用者はリポジトリを選びます。するとモデルがそのコードベースを走査し、脆弱性を探します。このとき行われているのは、あらかじめ登録された危険なパターンとの単純な一致判定ではありません。ファイルをまたいだデータの流れを追い、Gitの履歴まで読んだうえで問題を特定します。

これは実務では「拾える問題の種類」に直結します。ある関数が受け取った入力を検証しないまま、別のファイルのクエリ生成に渡している——こうした構造は、1ファイルだけを眺めても脆弱性には見えません。呼び出し元と呼び出し先を横断して初めて「ここが注入経路になる」と分かります。

返ってくるのは、CWE分類・確信度と深刻度・修正案

見つかった問題は、そのまま生の文章で返ってくるわけではありません。1件ごとに形式が決まっています。

• CWE分類（Common Weakness Enumeration＝脆弱性の種類を表す共通の分類コード）
• 確信度（confidence）と深刻度（severity）の評価
• 修正案（suggested fix）

この「出力の形が決まっている」ことが、後述する安全性の設計そのものです。利用者が受け取れるのは、この枠に収まったものだけになります。

修正は必ず人が承認してから入る

指摘を受けたあと、利用者はweb版のClaude Codeを開いてパッチを当てる流れになります。ここで重要なのは、すべてのパッチは、反映される前に人間のレビューと承認を必ず通るという点です。自動で当たることはありません。

私はこの一点を高く評価しています。私がこれまで見てきたAIによるコード点検の型でも、共通していたのは「提案と反映の間に人を挟む」という順序でした。この考え方は、こちらの記事で具体的な型としてまとめています。

AIでコードをセキュリティ監査する方法｜Claude実践事例

課金は既存プランのトークン従量。使えるのはEnterpriseのみ

費用面は分かりやすい形になっています。Mythos 5によるスキャンは既存プランの通常のトークン利用として課金され、別建てのアドオン契約はありません。「上位モデルを使うための追加ライセンス」を買う必要がない、ということです。

一方で、利用できる対象は絞られています。現時点ではClaude Enterprise契約者向けの公開betaです。個人プランやチームプランで今日から使える機能ではありません。

読者特典・無料ダウンロードClaudeのこの5つの設定、今すぐ見直した方がいい無料でダウンロード →↓

この発表の本体は「モデルを渡さず、能力だけを配る」という設計

ここからが本題です。なぜAnthropicは、審査を通した相手にしか渡してこなかったモデルを、Enterprise全体に開けたのでしょうか。理由は「安全になったから」ではありません。渡し方を変えたからです。

危ないのは能力そのものではなく、能力への直接アクセス

Anthropicは公式ブログで、その理屈をはっきり書いています。

The riskiest behavior occurs when a user has direct access to a model...But if users can only receive specific outputs, such as a patch for a vulnerability or a security alert, that risk is much lower.
（もっともリスクが高い振る舞いは、利用者がモデルに直接アクセスできるときに起きる。しかし利用者が受け取れるのが、脆弱性へのパッチやセキュリティ警告といった特定の出力だけであれば、そのリスクははるかに低くなる。）

危険が集中するのは、利用者がモデルを直接操作でき、攻撃的な用途へ舵を切らせようと試せる場面です。逆に、受け取れるものが「自分が所有するコードに対する指摘と修正案」に限定されていれば、同じ能力でも悪用の経路がほとんど残りません。実際、この構造をMarkTechPostは「モデルはあなたが所有するコードに対してバックグラウンドで動き、決まった成果物を返す。攻撃コードを要求する経路はない」と表現しています。

「誰に渡すか」から「何を渡すか」へ

従来の考え方は相手で絞るものでした。審査を通った組織にだけ強いモデルを渡す。安全ではありますが、渡せる相手の数がそのまま上限になります。Project Glasswingが12社から40数社へと、慎重に増えていった理由がここにあります。

今回採られたのは出口で絞るやり方です。相手は増やしてよい。その代わり、受け取れる出力の形を製品側で固定してしまう。こうすると、能力の恩恵は広く配りながら、悪用の経路だけを塞げます。

この発想は、AIを社内で使う会社にとって他人事ではありません。「AIに何をさせるか」を制限するより、「AIから何を受け取るか」を固定するほうが、実は守りやすい——これは規模を問わず成り立つ設計の原則だからです。

私が「この配り方は正しい」と考える理由｜無人でAIを回してきた実感

ここからは、実際にAIを無人で動かしている立場からの見方です。私は常時起動のMac miniで、記事の執筆や定期処理を人が見ていない時間帯に走らせる運用を続けています。その経験から言うと、今回の設計は理屈として正しいだけでなく、現場で唯一まわる形だと感じます。

制限は能力を削る話ではなく、出口を固定する話

私はAIの運用設計を、レースカーに例えて考えています。強大なエンジンを積んでいるだけではレースに勝てません。躯体を作り、エンジンを制御して初めてゴールに近づきます。制御はパワーの制限を含みますが、結果として全体の性能は上がります。

ここで大事なのは、制限の対象がエンジンではなく「どこへ出力するか」だという点です。私の運用でも、AIに与える思考の深さや使えるツールは絞りません。絞るのは「どのファイルに書けるか」「何を経てから外に出るか」のほうです。今回のAnthropicの選択は、まさにこの層で制限をかけています。

実際に起きた事故——AIが公開設定を書き換えてpushした

抽象論に聞こえるかもしれないので、自分の失敗を1つ出します。

あるWebサイトの制作中、まだ完成前なので検索結果に出ないよう、クローラー向けの設定で公開を止めていました。ところがAIに変更からプッシュまで任せていたところ、AIが良かれと思ってインデックス許可の状態に書き換え、そのままプッシュしてしまったことがあります。privateリポジトリでも、ホスティング側の自動デプロイは走ります。

このとき私が学んだのは「AIは信用できない」ではありません。AIの判断が正しいか間違っているかを、実行の直前に人が見ていない構造こそが問題だったということです。以来、その種のファイルには明確な編集の拒否設定を置いています。能力を落としたのではなく、出口を塞いだわけです。

無人運用で怖いのは「止まる失敗」ではなく「止まらない失敗」

人が見ていない時間帯にAIを走らせると、失敗の質が変わります。エラーで止まる失敗は、翌朝ログを見ればすぐ分かるので実は軽い。本当に厄介なのはそれらしい結果を出したまま進んでしまう失敗です。誰も気づかないまま成果物が世に出ます。

だから私の運用では、成果物が外に出る前に必ず独立した点検を1枚挟み、そこを通らなかったものは出さない、という順序を固定しています。判断に迷ったら出さない側に倒す、という原則です。

Claude Securityが「パッチは必ず人の承認を通す」としているのも、根は同じです。能力が上がるほど、出口のゲートは価値を増します。速く走れる車ほどブレーキが要るのと同じ理屈です。

単体の賢さより、独立した多層チェック

AIにコードレビューをさせてきた実感として、精度を決めるのはモデル単体の性能ではありませんでした。どういう方針で見るかのガイドラインを与えたうえで、独立した立場のチェックを何重にも重ねること——ここで精度が跳ね上がります。AI単体では見落としが出ても、独立した層が重なると全体としての取りこぼしは大きく減ります。

今回のスキャンが、指摘に確信度と深刻度を付けて返す設計になっているのも、この考え方と相性が良いところです。すべてを同じ重さで受け取らず、深刻度で仕分けたうえで人が判断する余地が残されています。

手元のClaude Securityプラグインとは何が違うのか

「Claude Security」という名前は以前から使われています。2026年7月にbetaで公開された、Claude Codeの中で動くプラグインです。今回の発表と混同しやすいので、違いを整理しておきます。

ざっくり言えば、プラグインは「日々の開発リズムの中に点検を挟む道具」、今回のスキャンは「コードベース全体を強いモデルで洗う仕組み」です。競合するというより、点検のタイミングが違います。

手元のプラグインの導入手順や運用の勘所は、こちらで詳しく解説しています。

Claude CodeClaude Securityプラグイン｜コミット前に脆弱性検出

Enterpriseではない中小企業は、今日から何ができるか

ここまで読んで「うちはEnterprise契約ではないから関係ない」と感じた方もいると思います。ですが、この発表から持ち帰れるものは、契約の有無とは無関係のところにあります。

1. 出荷前の点検を「工程」にする

まず手元でできることから。Claude Codeを使っているなら、前述のプラグインでコミット前の差分点検を日常のゲートに据えられます。重要なのはツールの有無より、「出す直前に一度点検する工程が、手順として存在しているか」です。工程になっていない点検は、忙しい日に必ず飛ばされます。

2. AIに仕事を渡すときは「出力の形」を先に決める

これが今回いちばん持ち帰る価値のある考え方です。社内でAIに業務を任せるとき、多くの会社は「何をさせるか」から考えます。そうではなく、「AIから何を受け取るか」を先に決めると、途端に運用が安定します。

たとえば「請求書を処理して」ではなく、「請求書から、日付・取引先・金額・勘定科目の4項目だけを表の形で返す。ファイルの更新はしない」と決める。受け取る形が固定されていれば、AIが途中でどんな判断をしても、結果として出てくるものの範囲は予測できます。Anthropicが今回やったのと、構造としては同じことです。

3. 権限は「失敗の確率」ではなく「戻せるかどうか」で切る

AIに渡す権限を決めるとき、「間違える確率が低いから任せてよい」と考えるのは危険です。確率で切ると、低確率の事故が必ずいつか起きます。私が使っている基準は「これが間違っていたとき、何分で元に戻せるか」です。

• すぐ戻せる（下書き保存・ローカルのファイル生成・提案の提示）→ 任せてよい
• 戻すのに手間がかかる（公開・送信・外部への反映）→ 人の承認を挟む
• 戻せない（削除・支払い・第三者への到達）→ 渡さない

実務でも、1つの業務システムを複数の立場の人が使う場合には、立場ごとのデータアクセス権限分けが欠かせません。ある事業所向けに作ったシステムでは、アカウントを分ける案もありましたが、ログインの手間を考えてアプリ自体を立場別に分けるという設計を採りました。運用では、とにかく手間を減らすことが最優先になるからです。

4. セキュリティの説明は「リスク先行」で組み立てる

商談の場で「機密情報、たとえば顧客情報や認証情報をAIに渡すのが不安だ」と率直に言われたことがあります。これは中小企業がAI導入をためらう、かなり大きな理由です。

私はこういうとき、まずどんなリスクが考えられるかを先に説明し、そのうえでその可能性を極限まで下げる方法を提示する順序を取ります。安心材料を先に並べると、かえって信用されません。そして正直に伝えるのは、技術的に防げる範囲は思っているより広く、実際の事故はむしろ人為的な場面で起きやすいということです。だからこそ、ツールの導入とあわせて、人に関する社内ガイドラインの整備もお願いしています。

自社のどの業務からAIに任せるべきか、どこに承認のゲートを置くべきかを一緒に設計するところから伴走する形も用意しています。詳しくは専属AI活用顧問サービスをご覧ください。

3,500万ドルをオープンソースに配る意味

今回あわせて発表されたDefender Advantage Fund（0xDAF）は、オープンソースの脆弱性修正に取り組む組織へ3,500万ドルぶんのクレジットを提供するものです。用途としては、オープンソースのスキャンとパッチ適用の一部自動化や、新しいセキュリティ手法の実験などが挙げられています。

なぜクレジットなのか。ここも「モデルを渡さない」という一貫した方針で読めます。現金ではなく利用枠を配れば、その能力は「Anthropicの製品を通した使い方」の中でしか消費されません。配る量は増やせて、使われ方の枠は保てる、というわけです。

また、Anthropicは審査を通した組織に対してセーフガードを緩めるCyber Verification Programについても、対象となる能力の範囲を今後広げ、Mythosクラスのアクセスも続く予定だとしています。防御側にだけ強い道具を配って非対称を作る、という方向性は今後も続きそうです。

よくある質問

Q. 個人プランやチームプランでも使えますか

今回のMythos 5によるスキャンは、Claude Enterprise契約者向けの公開betaとして提供されています。個人・チームの各プランで使える機能としては案内されていません。手元で脆弱性点検をしたい場合は、Claude Codeのプラグインが現実的な選択肢になります。

Q. Claude Mythos 5を直接APIで呼べますか

今回の提供はあくまで製品越しです。利用者が受け取れるのは、スキャン結果というかたちの決まった出力であり、モデルへの直接アクセスは伴いません。これは制約であると同時に、この配り方が成立している理由そのものでもあります。

Q. 追加料金はかかりますか

スキャンは既存プランの通常のトークン利用として課金され、別建てのアドオン契約は不要とされています。ただし利用量に応じてトークンは消費されるため、リポジトリ全体を頻繁に走査する運用では、点検も予算のある工程として見ておくのが安全です。

Q. スキャンで見つかった修正は自動で当たりますか

当たりません。すべてのパッチは、反映される前に人間のレビューと承認を通す設計です。運用を組むときも、この「人が挟まる」前提を崩さないことをおすすめします。

Q. Fable 5を使えば同じことができますか

できません。Fable 5は同じ土台のモデルですが、サイバー領域の問い合わせは安全分類器がClaude Opus 4.8へ迂回させます。今回のスキャンで使えているのは、そのセーフガードを外した状態のMythos 5が、製品の内側で動いているからです。

まとめ｜配られたのは道具ではなく「配り方」

2026年8月21日の発表を整理すると、次のようになります。

• Claude SecurityのスキャンがClaude Mythos 5で動くようになった（Claude Enterprise契約者向けの公開beta）
• Mythos 5とFable 5は同じ土台のモデルで、違いはサイバー領域のセーフガードの有無だけ
• 出力はCWE分類・確信度・深刻度・修正案に固定され、パッチの反映には人の承認が必須
• 課金は既存プランの通常トークン利用で、別途アドオンなし
• あわせて3,500万ドルぶんのクレジットをオープンソースの防御側へ配る基金を新設

ですが、この記事でいちばんお伝えしたかったのは機能の一覧ではありません。強い能力を安全に配る方法は、相手を絞ることだけではないという点です。出口の形を固定してしまえば、同じ能力をもっと広く配れる。Anthropicはそれを自社の最上位モデルで実演してみせました。

そして、これはそのまま自社の運用に持ち帰れます。AIに何をさせるかを細かく制限するより、AIから何を受け取るかを先に決める。反映の直前に人が挟まる順序を崩さない。権限は失敗の確率ではなく、戻せるかどうかで切る。この3つを、私たちは実際に無人でAIを走らせながら検証し続けています。そして、その設計を各社の業務に合わせて一緒に組み立てるところから伴走していきます。