何が公表されたか
Qihoo 360 Security Technologyの周鴻禕(Zhou Hongyi)氏は北京で開かれた会議で、脆弱性を自動探索する「屠龍鳳(Tu Long Feng)」と、サイバー防御を自動化する「倚天針(Yi Tian Zhen)」の2ツールを披露しました。屠龍鳳はすでに3,432件の脆弱性を検出したと説明していますが、OpenAIやAnthropicが行うような第三者ベンチマークによる検証は行われていません。命名は中国武侠小説に由来し、伝説の武器を持つ者が頂点に立つという含意を持たせています。
「核抑止」の比喩で語る理由
周氏はAnthropicのMythosを「AI時代のサイバー核兵器」と表現し、自律的に脆弱性を発見し攻撃チェーンを構築する能力を抑止力の対象として位置づけました。同氏は中国の最先端モデルと欧米最強モデルとの差を20〜30%と見積もり、その差をエージェント設計(モデル+セキュリティ専門性+自動化ツール)で埋める戦略を提示しています。清華大学の唐傑(Jie Tang)教授(Z.aiを創業しGLM-5.2を出荷)は、中国版「Mythos」級モデルは2027年第1四半期より前に登場するとの見立てを示しました。
輸出規制と「片務的透明性」批判
周氏は米国がMythosの輸出を禁じ、低機能版の「Fable 5」のみを「民生用・去勢版」として出していると指摘。米国だけが中国システムを走査できる「一方的な透明性」を許せば、防御側の中国は劣後すると訴えました。米政府はチップやMythosの輸出規制をまさに同じ安全保障論理で正当化しており、両国の論理が鏡像になっている点が今回の発表の本質です。長年にわたり双方は重要インフラへのサイバー攻撃を相互に非難してきており、自律型AIエージェントの登場はこの応酬を一段引き上げます。
💼 事業会社視点：これは自社にどう効くか
この発表は、日本の事業会社にとって「脆弱性開示の時間軸が一段短くなる」というシグナルとして読むべきです。屠龍鳳の3,432件という主張の真偽は別として、攻撃側がAIエージェントで脆弱性を量産・即時悪用するフェーズに入ったことは織り込む必要があります。
特にSaaSベンダーと受託開発企業は、四半期ごとの脆弱性診断やリリース前ペネトレで足りるという前提を捨てるべきです。CI/CDにSAST/DASTを組み込み、CVE公開から72時間でのパッチ適用をSLA化するのが現実的な打ち手です。EC事業者は決済・会員基盤を狙うクレデンシャルスタッフィングがAIで加速する前提で、WAFのレートリミットとボット対策を見直す時期です。
経営判断としては、米中いずれの陣営のAIセキュリティツールにも依存しすぎない調達戦略が要点です。Anthropicの「Fable 5」相当が日本にも提供されるかは未確定で、フロンティアモデルの輸出規制が顧客側のセキュリティ運用に直接波及する構造に入っています。CISOは半年以内に「主要AIベンダーが使えなくなった場合の代替経路」を文書化しておくべきです。