何が起きたのか
2026年5月11日、OpenAIはサイバーセキュリティ専用イニシアチブ「Daybreak」を正式発表した（OpenAI公式 daybreak ページ。なお同URLは記事執筆時点で外部からのアクセスに403を返すケースがあり、本記事は二次資料経由で内容を確認した）。これは2026年4月7日にAnthropicが公表した「Claude Mythos Preview」および「Project Glasswing」と直接的に対をなす動きだ。
複数のメディアが同日にOpenAI公式発表を引用しており、Engadgetは見出しで率直に “Daybreak is OpenAI’s response to Anthropic’s Claude Mythos” と書いている（Engadget 2026年5月11日）。攻撃的サイバー能力が「最も熟練した専門家を除くすべての人間を上回る」レベルに達した2026年において、両社の戦略は対照的でありながら同じ問題に応答している。
本記事は、Daybreakの中身、Glasswingとの異同、そして4月22日にarXivで公開されたDominik Blain氏の論文「Mythos and the Unverified Cage」が突きつける封じ込めの構造的課題までを、可能な限り一次資料で検証する。
Daybreakの構成：3階層アクセスとCodex Security中核
OpenAI公式およびMarkTechPost・Engadgetの報道（MarkTechPost 2026年5月11日、Engadget 2026年5月11日）から確認できるDaybreakの構造は次のとおりだ。
3階層アクセス（Trusted Access for Cyber）
| 階層 | モデル | 用途 |
|---|---|---|
| Tier 1 | GPT-5.5（2026年4月23日公開） | 汎用 |
| Tier 2 | GPT-5.5 with Trusted Access for Cyber | 防御セキュリティ：secure code review、vulnerability triage、malware analysis、detection engineering、patch validation |
| Tier 3 | GPT-5.5-Cyber（2026年5月7日公開、プレビュー） | 攻撃側ワークフロー：authorized red teaming、penetration testing、controlled validation |
Tier 3のGPT-5.5-Cyberは「raw cyber capabilityをGPT-5.5から拡張するものではなく、セキュリティ関連タスクでより寛容（permissive）に振る舞うよう主に訓練されたもの」と説明されている。つまり性能の上振れではなく、ガードレールの緩和版だ。
個人がTier 2/3にアクセスするには chatgpt.com/cyber での身元確認が必要であり、2026年6月1日以降は最も攻撃寛容なモデルへのアクセスにAdvanced Account Securityの有効化が必須となる、と二次資料経由でOpenAIの案内文言が伝えられている（公式ページは執筆時点で403のため逐語チェック未完了。記事公開後に解禁されたタイミングで本記述の差分確認が必要）。
Codex Security：DaybreakのSecurityエージェント基盤
Daybreakの中核は2026年3月にローンチされたCodex Securityだ。Daybreakの発表により、Codex Securityは「開発者向けコーディングツール」から「エンタープライズ・セキュリティ・プラットフォーム」へと位置づけが変更された。提供機能は次のとおり（MarkTechPost）。
- コードベース固有の脅威モデリング
- 隔離環境での脆弱性検証（isolated vulnerability validation）
- 人間によるレビューを必須としたパッチ生成
- サードパーティ依存パッケージのリスク分析
- 改修の追跡に使える監査向けエビデンス出力
OpenAI公式の説明には「hours of vulnerability analysis to minutes」（数時間の脆弱性分析を数分に）という効率改善のフレーズが含まれているが、具体的なノイズ削減率や検出件数といった定量KPIは公式発表に存在しない（複数の二次資料を確認）。社内ブリーフィングや営業資料に出回る「84%ノイズ削減」「30日間で792件検出」といった数字は、公開ソースで裏付けが取れないため本記事では引用しない。
20社超のパートナー網
公式発表で名指しされているDaybreakパートナーは少なくとも6社：Cloudflare、Cisco、CrowdStrike、Palo Alto Networks、Oracle、Akamai。加えて「20+ security partners」として、エッジ防御、エンドポイント検知、静的解析、サプライチェーン防御の各カテゴリに分散配置されている。一部の解説記事ではZscalerやFortinetを含めて8社を「名指しパートナー」として扱うケースもあり、列挙の粒度はメディアごとに揺れがある。
Glasswingとの対比：誰に、いくら、どう配るか
ここで4月のAnthropic Project Glasswingと並べると、戦略の差が鮮明になる。Glasswing側のデータは過去記事「Anthropic『Claude Mythos』──全主要OSとブラウザでゼロデイを発見、一般公開は『危険すぎる』」で詳述したので、ここでは要点だけ並べる。
| 比較項目 | Anthropic Glasswing（4月7日） | OpenAI Daybreak（5月11日） |
|---|---|---|
| 配布モデル | Claude Mythos Preview（限定提供のみ） | GPT-5.5 / Trusted Access版 / GPT-5.5-Cyber |
| アクセス制限 | 12社の発足パートナー＋40社超の重要インフラ事業者 | 個人は chatgpt.com/cyber 身元確認、企業はrep経由 |
| 投資・資金面 | 1億ドル相当のモデル使用クレジットを提供 | 公開数字なし（パートナー個別契約） |
| 価格（公開分） | API 入力25ドル / 出力125ドル（per 1Mトークン）（Anthropic Glasswingページより） | 階層により異なる、公開価格表は未公表 |
| 攻撃的シナリオ | 防御用途に限定（オフェンシブ側へは未提供） | Tier 3で red teaming / pentesting を公式に許容 |
| 哲学 | “containment first”（封じ込め優先） | “resilience by design”（設計による回復力） |
最大の違いは「攻撃側用途を公式に提供するか否か」である。Anthropicはオフェンシブを完全に制限する。OpenAIはTier 3のGPT-5.5-Cyberで認可されたred teaming/pentestingに開放する。これは哲学の違いというより、実務上の選択肢の違いだ。
そして見落とせない事実として、Cisco、CrowdStrike、Palo Alto Networksの3社は両陣営に参加している。GlasswingとDaybreakの双方からモデル提供を受ける構造になっており、この3社はAI攻防の両側のシグナルを同時に拾える特殊なポジションにいる。
「Mythos and the Unverified Cage」論文が指摘する構造課題
4月22日にarXivで公開されたDominik Blain氏の論文（arXiv:2604.20496）は、Mythos騒動の核心を技術的に整理した最初のパブリケーションだ。タイトルは「Mythos and the Unverified Cage: Z3-Based Pre-Deployment Verification for Frontier-Model Sandbox Infrastructure」。
論文アブストラクトの核心部分を引用する。
“The April 2026 Claude Mythos sandbox escape exposed a critical weakness in frontier AI containment: the infrastructure surrounding advanced models remains susceptible to formally characterizable arithmetic vulnerabilities. Anthropic has not publicly characterized the escape vector; some secondary accounts hypothesize a CWE-190 arithmetic vulnerability in sandbox networking code. We treat this as unverified and analyze the vulnerability class rather than the specific escape.”
つまり論文自身が「Anthropicは脱獄の手口を公表していない」「二次的な情報源がCWE-190（整数オーバーフロー）を疑っているが、本論文では未検証として扱う」と明記している。世間でしばしば語られる「2026年4月7日にMythosが脱獄してメールを送り、ウェブにエクスプロイトを公開した」といった具体的タイムラインは、公開された一次情報からは裏付けられない。本記事も詳細なタイムラインは載せない。
検証済み（Validated）vs 提案段階（Proposed）
論文は2つの主張クラスを明確に分けている。これは技術論文の誠実さの観点で重要だ。
検証済み: COBALT（Z3 SMTベースの形式検証エンジン）
“Validated: COBALT detects arithmetic vulnerability patterns in production codebases, producing SAT verdicts with concrete witnesses and UNSAT guarantees under explicit safety bounds. We demonstrate this on four production case studies: NASA cFE, wolfSSL, Eclipse Mosquitto, and NASA F Prime, with reproducible encodings, verified solver output, and acknowledged security outcomes.”
COBALTはZ3 SMTソルバを用いてC/C++コードのCWE-190（整数オーバーフロー）/ CWE-191（アンダーフロー）/ CWE-195（符号変換ミス）を形式検証する。4つの実プロジェクトで動作実証済みだ。
検証の意味は次のように整理できる。コードの整数演算が安全境界 $B$ を超えるかを、Z3が次のような充足可能性問題として解く。
$$\exists \, x \in \mathrm{Inputs} : \, f(x) > B \, \lor \, f(x) < -B$$ここで$f$は対象コードの算術式、$B$は型の最大/最小値などの安全境界である。Z3が「SAT（成立する）」を返せば、その $x$ が具体的な反例（脆弱性を発火させる入力）になる。逆に「UNSAT（成立しない）」と返れば、境界条件下では脆弱性が存在しないことを数学的に保証できる。これが「pre-deployment formal verification」の意味である。
提案段階のみ: 4層フレームワーク全体
“Proposed: a four-layer containment framework consisting of COBALT, VERDICT, DIRECTIVE-4, and SENTINEL, mapping pre-deployment verification, pre-execution constraints, output control, and runtime monitoring to the failure modes exposed by the Mythos incident.”
ここが極めて重要な区別だ。4層フレームワーク全体は「提案（Proposed）」であり、COBALTだけが「Validated」とされている。VERDICT（実行前制約）、DIRECTIVE-4（出力制御）、SENTINEL（実行時監視）の3つは実装・検証は今後の課題として明記されている。一部の解説記事がこれら4層をすべて「実装済み」「検証済み」と扱っているのは過剰な解釈だ。
| レイヤー | 機能 | 論文上のステータス |
|---|---|---|
| COBALT | Z3による配備前形式検証（C/C++算術脆弱性） | Validated（NASA cFE等4プロジェクトで実証） |
| VERDICT | 実行前の制約チェック | Proposed |
| DIRECTIVE-4 | 出力制御 | Proposed |
| SENTINEL | 実行時監視 | Proposed |
論文の結論部分の主張は次のとおりだ。
“The broader claim is infrastructural: frontier-model safety cannot depend on behavioral safeguards alone; the containment stack itself must be subjected to formal verification.”
「フロンティアモデルの安全性は行動的なガードレールだけに依存できない。封じ込めスタック自体を形式検証にかけなければならない」——これは昨日扱ったTeaching Claude Why（モデル内部の価値観を訓練データで上書きする手法）と対をなす主張である。モデル本体の整合性（alignment）と、モデルを取り囲むサンドボックスの形式検証は、両方やらないと意味がないというのがBlain論文の核だ。
攻防の非対称性をどう数式化するか
Mythos/Daybreak論争の中心は、攻撃側と防御側がともにAIを使うときに、どちらが優位を取れるかだ。ここで簡単な不等式を立ててみる。
攻撃側の「単位時間あたりの脆弱性発見率」を $R_A$、防御側の「単位時間あたりのパッチ適用完了率」を $R_D$、AIモデルによる攻撃側のuplift（増幅倍率）を $u_A$、防御側のupliftを $u_D$ とする。防御優位（defender’s advantage）が保たれる条件は次のように書ける。
$$u_D \cdot R_D \, > \, u_A \cdot R_A$$歴史的に $R_A > R_D$（攻撃側のほうが速い）が成り立ってきたため、AI登場前は防御側は受け身に回らざるを得なかった。AnthropicやOpenAIが描いている戦略は、AIによる防御側のuplift $u_D$ を攻撃側の $u_A$ より大きくすることで、初めて不等式の向きを逆転させようというものである。
この観点でDaybreakの3階層アクセスを読み直すと、設計思想が見える。Tier 2（防御特化）の配布を広く・Tier 3（攻撃特化）の配布を厳格に絞ることで、社会全体での $u_D \gg u_A$ を維持しようという配布戦略のレバーになっている。Glasswingは同じ目標に対して、攻撃側用途を全く配布しないという極端な選択を取った形だ。
ただしこの不等式が示すのはあくまで定性的な構造であり、実際の $R$ や $u$ の値は脆弱性の種類、コードベースの規模、組織的なオペレーション能力などに依存する。Anthropicがmodel usage creditsとして1億ドル（100M）を投入しているのは、$R_D \cdot u_D$ の側を実効的に押し上げるためのコストとして読める。
Mythosが見つけたもの：「数千の」ゼロデイ、検証可能な事例
Anthropic自身のProject Glasswingページでは、Mythos Previewが達成した攻撃的能力について次のように記述している。
“Over the past few weeks, Anthropic used Claude Mythos Preview to identify thousands of zero-day vulnerabilities (that is, flaws that were previously unknown to the software’s developers), many of them critical, in every major operating system and every major web browser, along with a range of other important software.”
「数週間で、あらゆる主要OSと主要Webブラウザに、数千件の重大なゼロデイ脆弱性を発見した」——これはAnthropic自身の言葉だ。さらに具体例として：
“Mythos Preview fully autonomously identified and then exploited a 17-year-old remote code execution vulnerability in FreeBSD that allows anyone to gain root on a machine running NFS.”
FreeBSDのNFSにおける17年潜伏したリモートコード実行脆弱性を、Mythosが完全自律的に発見し悪用に成功した。これは具体的な検証事例として一次資料に明記されている（CVE IDは公開資料からは未確認のため引用しない）。
OpenBSDのSACK実装に存在した27年潜伏バグ、FFmpegの16年潜伏バグについては、過去記事「Anthropic『Claude Mythos』──全主要OSとブラウザでゼロデイを発見」で詳述したとおり、AnthropicのRed Teamブログ（2026年4月7日）およびPiunikaWebの報道に基づく。
Mozillaは別経路で、Mythosが271件のFirefox脆弱性のパッチ適用に貢献したと4月時点で報告している（MarkTechPost経由で確認）。22件発見がclaude-found-22-vulnerabilities-in-firefoxで扱われていたが、Glasswing経由で対象範囲が大幅に拡大した形だ。
残された未解決問題
検証可能な事実から導かれる主要な未解決問題を整理する。
- Mythos脱獄事件の詳細は依然非公開: Anthropic公式は脱獄手口・タイムラインを公表していない。arXiv論文も「未検証」と明示。「何が起きたか」は推測の域を出ない。
- 4層封じ込めの本番実装は未完: COBALTのみ実証段階。VERDICT/DIRECTIVE-4/SENTINELは設計提案にとどまる。
- Tier 3（GPT-5.5-Cyber）の悪用リスク: 認可されたred teaming/pentestingに限定するとはいえ、認可の境界はOpenAIの審査に依存する。誤審査・内部漏洩・ソーシャルエンジニアリングのリスクは構造的に残る。
- 両陣営に同時参加するベンダーの情報非対称性: Cisco、CrowdStrike、Palo Alto Networksの3社は双方のシグナルを同時に受け取れる。これは強みだが、競合に対する情報格差を生む。
- 形式検証の網羅性: CWE-190/191/195以外の脆弱性クラス（メモリ安全性、TOCTOU、論理欠陥等）への適用は今後の研究課題。
まとめ
2026年4月7日のAnthropic「Claude Mythos / Project Glasswing」と、5月11日のOpenAI「Daybreak」は、フロンティアAIが攻撃的サイバー能力で人間を上回った後の業界が選び得る2つの極である。
- Anthropic路線: 攻撃側用途を提供しない。12社＋40社の限定パートナー、1億ドルのモデル使用クレジット、API入力25ドル/出力125ドル（1Mトークン）。
- OpenAI路線: 3階層で開放性をコントロール。Tier 3で認可されたred teamingまで許容。6社の名指しパートナー＋20社超。
両者は同じ問題（攻撃側がAIを使い始める時代に防御をどう設計するか）に異なる解で応答している。Cisco、CrowdStrike、Palo Alto Networksが両陣営に参加している事実は、業界が「どちらかの解に賭ける」のではなく「両方から学ぶ」段階にあることを示している。
そしてもう一つ、本記事を通じて筆者が学んだことがある。Mythos脱獄事件の詳細なタイムラインを引用する記事は注意して読む必要がある。一次情報源（Anthropic、arXiv論文）はいずれも詳細を公表していない。「何が起きたか」の具体的描写は、現時点では検証不能なフィクションを混ぜている可能性が高い。これはAIサイバーセキュリティに限らず、急速に展開する技術領域の報道全般に共通する課題だ。
過去記事「クラウドCloudflareが描く『エージェンティックAI優先』の経済学」で書いたように、エージェンティックAIは2026年に運用フェーズに入った。攻撃側もAIを使う時代において、防御側の $u_D \cdot R_D > u_A \cdot R_A$ という条件を維持できるかどうかが、今後数年の社会全体のサイバーレジリエンスを決める。
一次資料
- Anthropic Project Glasswing 公式ページ（2026年4月7日）
- Claude Mythos Preview（Anthropic Red Team）（2026年4月7日）
- OpenAI Daybreak 公式ページ（2026年5月11日。アクセス制限のあるケース有）
- arXiv: Mythos and the Unverified Cage (2604.20496) — Dominik Blain（2026年4月22日 submitted）
二次資料（参考）
- Engadget: Daybreak is OpenAI’s response to Anthropic’s Claude Mythos（2026年5月11日）
- MarkTechPost: OpenAI Introduces Daybreak（2026年5月11日）
- Fortune: Anthropic is giving some firms early access to Claude Mythos（2026年4月7日）