「プロアクティブなセキュリティ」を重視するアプローチ転換を、WithSecure年次イベントレポート

「防御に回るころには、すでに手遅れ」“Mythos以後”のサイバー脅威のリアルにどう立ち向かうか

　セキュリティベンダーのウィズセキュア（WithSecure）は2026年6月28日、日本向けの年次イベント「SPHERE2YOU Japan 2026」を開催した。

　フィンランドから来日した同社の幹部らが口を揃えて語ったのが、「プロアクティブ（先見的）なセキュリティ対策が必要」だというメッセージだ。高度化したAIにより、これまでとは比較にならないスピードで未知の脆弱性が発見され、攻撃が実行されてしまう“ポストMythos”時代を迎えたいま、セキュリティ対策アプローチの再考が求められている。

Mythosの登場で、セキュリティは「スピードと時間の問題」になった

　WithSecureのCRO（最高収益責任者）であるモーガン・ジェイ氏がまず触れたのは、やはりAnthropicのフロンティアモデル「Claude Mythos」の話題だった。

WithSecure CRO（最高収益責任者）のモーガン・ジェイ（Morgan Jay）氏

　Mythosは、未知の脆弱性（ゼロデイ脆弱性）を発見する能力が極めて強力であり、そのまま公開すればサイバー攻撃に悪用されて、重大なセキュリティリスクをもたらすという理由から、一般公開が見送られた。

　このことは大きな話題となり、世界中の政府機関や金融機関、重要インフラ企業を中心に警戒が呼びかけられた。今後、Anthropic以外のAI開発企業からも同様の能力を持つモデルが登場する可能性があり、企業や組織は“ポストMythos時代”に備える必要に迫られている。ジェイ氏は「AI革命はすでに始まっている」と強調する。

　Mythosの登場が明らかにしたのは、高度化したAIを攻撃者が悪用することで何が起きるのかという、近未来のサイバー脅威環境の姿である。WithSecureのCPO（最高製品責任者）を務めるニナ・ラークソネン氏は、高度なAIによって「サイバーセキュリティが『スピード』と『時間』をめぐる問題に変わった」と指摘する。

　「これまでは、攻撃者が脆弱性を突くために何時間も何日もかかっていたが、AIの助けを借りればそれが『数分』レベルに短縮される」「スキルの高い攻撃者の人数が限られていることが制約になっていたが、AIによりその制約がなくなり、非常に複雑な攻撃が高速に実行されるようになった」（ラークソネン氏）

WithSecure CPO（最高製品責任者）のニナ・ラークソネン（Nina Laaksonen）氏

マシンスピードの攻撃に対抗するには、「次の一手の予測」が重要に

　すでに、セキュリティ業界では「マシンスピードの攻撃」という言葉が使われるようになっている。機械の速度（マシンスピード）で実行される攻撃――それは人間の判断と対応のスピードをはるかに上回り、このままでは防御側が完全に敗北しかねない。マシンスピードの攻撃に対抗するには、セキュリティ対策のアプローチを大きく変える必要がある。

　それでは、具体的にどうアプローチを変えるべきなのか。それは「プロアクティブ（先見的）なセキュリティ」だと、ラークソネン氏は答える。攻撃者よりも先に自らの脆弱性を発見し、修復することで、攻撃の発生そのものを防ぐという考え方である。

　「マシンスピードの攻撃から自社を守るために必要なのは、マシンスピードの対応などではなく『次に何が起こるのかを予測すること』だ。インシデントが発生してから検知し、対応するリアクティブ（事後対応的）なセキュリティでは、手遅れになってしまう。チェスをプレイするように、相手の次の一手は何か、攻撃者が次に狙う弱点はどこかを考える。これがプロアクティブなセキュリティの姿だ」（ラークソネン氏）

　同じようにジェイ氏も、「WithSecureが最優先する戦略はプロアクティブセキュリティだ」と語った。

マシンスピードの攻撃が展開される時代には、検知して防御（対応）するアプローチではスピードが追いつかず「手遅れ」になると指摘する

　もちろんこれは、従来方式のリアクティブなセキュリティが不要になるという話ではない。さらに、すでにこれまでにも、脆弱性管理、ASM（アタックサーフェス管理）、CSPM（クラウドセキュリティ態勢管理）といったプロアクティブなセキュリティを実践してきた企業もあるだろう。したがって、現在求められている変化の本質は、事後対策から事前対策へという、セキュリティ対策の“重心の移動”だと考えるのがよさそうだ。