サイバーセキュリティはプルーフ・オブ・ワークである：トークンを多く使うのはどちらか

サイバーセキュリティはコンピュートの問題になりつつあります。英国AI Security Instituteの攻撃レンジでは、最上位のモデルほどトークンを費やすほど前進し続けました。Drew Breunigの読みでは、これによって防御は攻撃者を上回る支出の競争になります。 2026年4月、Claude Mythos Previewという1つのモデルが、同研究所の32ステップの企業ネットワーク攻撃レンジを10回中3回完遂しました。¹ 7月までにAISIは、このレンジを完遂した一般公開のクローズドウェイトモデルを4つ数えており、最良のものは10回中6回と7回でした。さらにオープンウェイトモデルのKimi K3も10回中1回完遂しています。⁷ Breunigの読みの前提、つまり最上位のモデルではトークンを増やすほど前進が得られるという点は、今も成り立っています。一方、彼が1回の試行につけた値段は成り立っていません。²

この記事は、AISIの最初のレポートの翌日にあたる2026年4月14日に初めて公開しました。2026年10月2日、その後にAISI、NISTのCAISI、Anthropicが公開した内容をもとに全面的に書き直しています。4月版に何を書いたか、そしてどこが古くなったかは、末尾近くの「4月版に書いたこと」にまとめました。

TL;DR

• レンジ。「The Last Ones」は企業ネットワークへの攻撃をシミュレートしたもので、4つのサブネットと約20台のホストにまたがる32ステップで構成されます。AISIの見積もりでは、人間の専門家でおよそ20時間かかります。初期アクセスを得た後から始まり、防御者はいません。¹⁴
• 誰が完遂したか。 4月には1モデル。4月末までに2モデル。7月23日までに、一般公開のクローズドウェイトモデル4つとオープンウェイトモデル1つです。¹⁴⁷
• 1回の実行にかかるコスト。 Breunigの「1回の試行あたり12,500ドル」は見積もりでした。AISIの1億トークンという予算に、Mythos Previewの出力価格を掛けたものです。AISIが7月に1億トークンのレンジ実行に値段をつけたところ、Opus 4.5と4.6で約85ドル、オープンウェイトのGLM-5.2では推定46ドルでした。²⁶¹⁰
• 誰が実行できるか。 AISIは、サイバー能力において主要なオープンウェイトモデルがクローズドなフロンティアより4〜7か月遅れているとしています。Anthropicの報告によれば、誰でもダウンロードできるGLM-5.3は、ある公開ベンチマークでMythos Previewとほぼ同じ割合でエンドツーエンドのエクスプロイトを構築します。⁶⁹
• フロンティアに頭打ちはない。 最も強いモデルについて、AISIの4月と5月のレポートは、1億トークンの上限でも性能がまだ上がり続けていることを確認しました。弱いモデルは途中で止まり、オープンウェイトのGLM-5.2もその1つでした。¹⁴⁵⁶
• 今も有効な注意点。 レンジには防御がありません。AISIは、これらの能力が「will translate against defended, real-world systems」（防御された現実のシステムに対してどう通用するか）は判断できないとしています。⁵

AISIが測定したもの、そしてその変化

AISIのサイバーレンジは、モデルが攻撃全体を単独で遂行できるかを試すものです。SpecterOpsと共同で構築した「The Last Ones」（TLO）は「modelled on the kill chain of an enterprise intrusion」（企業への侵入のキルチェーンをモデルにしたもの）で、エージェントは認証情報を持たない非特権マシンから出発し、偵察、認証情報の窃取、Active Directoryフォレストをまたぐラテラルムーブメント、CI/CDのサプライチェーンを経由した横展開、社内データベースの持ち出しを連鎖させなければなりません。1回の試行には1億トークンの予算が与えられます。⁴

4月から7月までの5本のレポートが経緯を物語っています。

7月23日のレポートは現状をこう述べています。「Solves of TLO are no longer exclusive to a small set of models. In prior testing, four publicly released closed-weight models have solved TLO, with the most capable models solving it more reliably at 6/10 and 7/10 attempts.」（TLOを解くのは、もはや一部のモデルに限られない。これまでのテストで、一般公開されたクローズドウェイトモデル4つがTLOを解いており、最も能力の高いモデルは10回中6回と7回というより高い確実性で解いている）⁷ この4つの名前は挙げられておらず、限定リリースであるMythos Previewがそこに含まれるかどうかも書かれていません。

2つ目のレンジにも動きがありました。4月の時点では、模擬発電所に対する7ステップの攻撃「Cooling Tower」を完遂できたモデルはなく、AISIはMythos Previewが「got stuck on IT sections of this range」（このレンジのIT部分で行き詰まった）と記していました。5月13日、AISIは新しいMythos Previewチェックポイントがこれを10回中3回解いたと報告し、「the first time that a model completed the second of our two cyber ranges」（2つあるサイバーレンジの2つ目をモデルが完遂した初めての例）としています。AISIはここから教訓を引き出しました。「Notable capability jumps do not always require new model releases.」（顕著な能力の飛躍に、新しいモデルのリリースが必要とは限らない）¹⁴⁵

これらすべての根底に、2つの知見があります。1つ目は、最良のモデルでは、トークンを増やすたびに必ず前進が得られたことです。4月：「Models continue making progress with increased token budgets across the token budgets tested.」（テストしたトークン予算の範囲全体で、予算を増やすほどモデルは前進し続けている）。4月30日：「we have not yet observed a plateau with the best models.」（最良のモデルでは、まだ頭打ちは観測されていない）。5月：性能は「would likely still improve beyond that budget, especially for recent models」（その予算を超えてもおそらくまだ向上する。特に最近のモデルでは）。¹⁴⁵ ただし、これはすべてのモデルに当てはまるわけではありません。7月、GLM-5.2はOpus 4.6と「to step 11 before stalling」（ステップ11までは並び、そこで止まった）でした。⁶ 2つ目は、進歩の速さです。AISIは2月に、フロンティアモデルが完遂できるサイバータスクの長さは「had doubled every 4.7 months since late 2024」（2024年後半から4.7か月ごとに倍増してきた）と見積もり、5月にはMythos PreviewとGPT-5.5がその傾向を「substantially exceeded」（大きく上回った）と報告しました。⁵ この見積もりは、タスクあたり250万トークンの予算を前提にしています。AISIの7月2日の分析では、この傾向は「~60% steeper when horizons are estimated at 50M tokens rather than 2.5M tokens per task」（タスクあたり250万トークンではなく5,000万トークンでホライズンを見積もると、約60%急になる）ことがわかりました。¹³

1回の実行にかかるコスト

Breunigは4月の結果を金額に換算しました。「AISI budgeted 100M tokens for each attempt. That’s $12,500 per Mythos attempt, $125k for all ten runs.」（AISIは試行ごとに1億トークンの予算を組んだ。Mythosの1回の試行あたり12,500ドル、10回の実行すべてで12万5,000ドルになる）² この記事の初版は、その数字をタイトルに掲げていました。

これは見積もりで、しかも高めのものでした。1億トークンで12,500ドルは100万トークンあたり125ドルで、これはMythos Previewの出力トークンの定価です。入力価格は25ドルです。¹⁰ 予算のすべてのトークンを出力単価で計算すれば、出てくるのは上限であって請求額ではありません。

AISIは7月、オープンウェイトモデルに関するレポートで価格を公表しました。「A 100M-token cyber range run cost roughly $85 for both Opus 4.5 and 4.6, versus an estimated $46 for GLM-5.2 and $1.19 for DeepSeek V4-Pro at current pricing.」（1億トークンのサイバーレンジ実行のコストは、Opus 4.5と4.6のいずれも約85ドル。対して、現行価格でGLM-5.2は推定46ドル、DeepSeek V4-Proは1.19ドル）⁶ これらは「advertised first-party prices」（公表されているファーストパーティ価格）であり、AISIはオープンウェイトモデルにファーストパーティのプロバイダーを使っていないため、「so real compute costs may vary」（実際のコンピュートコストは異なる可能性がある）と注記しています。

この数字を、成功した攻撃の値段として扱えない理由が3つあります。値段がつけられたモデルはどれもレンジを完遂していません。Mythos Previewのトークンあたりの定価はOpusの5倍なので、その実行はOpusより高くつきます。そしてAISIは、TLOを完遂した実行の値段を一つも公表していないため、それがいくらかかるかは私には言えません。値段のついた実行が示しているのは桁です。Opus 4.6の実行は約85ドルでした。Mythos Previewの5倍の定価で換算すると数百ドルになります。これはAISIではなく私の計算ですが、12,500ドルを大きく下回ります。⁶¹⁰

より小さなデータ点も同じ方向を指しています。AISIの4月30日のレポートでは、GPT-5.5が、熟練のプレイテスターでおよそ12時間かかったリバースエンジニアリングの課題を「in 10 minutes and 22 seconds with no human assistance at a cost of $1.73 (USD) in API usage」（人間の支援なしに10分22秒、API利用料1.73米ドルで）解きました。⁴ Anthropicの9月のレポートでは、ある研究者がGLM-5.3-Flashを使い、Chromeの修正の公開情報から動作するエクスプロイトチェーンを作らせました。必要だったのは「20 minutes of human attention, plus eight hours of work」（人間が注意を払った20分と、8時間の作業）で、後者はモデルによるものです。「At Zhipu’s API prices, this effort would have cost $20.40.」（ZhipuのAPI価格では、この作業のコストは20.40ドルになる）⁹ どちらも値段のついた1回のセッションであり、割合ではありません。

Mythosクラスの価格も下がっています。Anthropicの価格ページは現在、Mythos 5とMythos 5.1を入力100万トークンあたり10ドル、出力100万トークンあたり50ドルとしており、Mythos Previewの25ドルと125ドルに比べて安くなっています。¹⁰

誰が実行できるか

4月の時点では、この能力は限定リリースの向こう側にありました。最も大きく変わったのはこの点です。

AISIの7月17日のレポートは、サイバー分野でのオープンウェイトモデルとクローズドモデルの差を測り、それが縮まっていることを確認しました。最近のオープンウェイトモデルは「lag frontier closed models’ cyber capabilities by 4 to 7 months」（フロンティアのクローズドモデルのサイバー能力に4〜7か月遅れている）とされ、2025年の大半を通じては6〜10か月でした。レポートは、この差がなぜ重要かも明言しています。ウェイトが公開されれば、「safeguards can be removed, and copies can be downloaded, redistributed, and run on private systems beyond monitoring」（セーフガードは取り除かれ、コピーはダウンロード、再配布され、監視の届かない私的なシステムで実行されうる）。オープンウェイトモデルに対するAISI自身のテストも「were largely unimpeded by safeguards」（セーフガードにほとんど妨げられなかった）とのことです。⁶

GLM-5.2はレンジを完遂しませんでした。その6日後、Kimi K3が10回中1回完遂しました。AISIとCAISIはこれを、このモデルが「is capable of autonomously attacking small, weakly defended and vulnerable enterprise systems, when directed to do so and given initial network access」（指示を受け、初期のネットワークアクセスを与えられれば、小規模で防御が弱く脆弱な企業システムを自律的に攻撃できる）ことを示すものと読んでいます。⁷

続いて登場したのがGLM-5.3で、Z.ai（旧Zhipu AI）は8月末にそのウェイトを公開しました。CAISIは9月17日にこれを「the most cyber-capable open-weight model released to date」（これまでに公開された中で最もサイバー能力の高いオープンウェイトモデル）と呼び、自らのベンチマークで米国のフロンティアから約4か月遅れと位置づけました。⁸ AnthropicのFrontier Red Teamは9月29日、GLM-5.3がExploitBenchでエンドツーエンドのエクスプロイトを410回中50回構築し（Mythos Previewは56回）、Anthropic社内のベンチマークでは完全な制御フローの乗っ取りを試行の4%で達成した（同6%）と報告しました。⁹

セーフガードは薄いものです。Anthropicは、もっともらしい作り話で64%、推論のプリフィルで92%の割合でそれを回避しました。ウェイトからセーフガードを丸ごと取り除くのに、「which had never previously attempted this task」（この作業を一度も試みたことのない）チームで約2,200 GPU時間、「roughly $4,400」（およそ4,400ドル）かかり、経験のあるチームなら1,200ドルと見積もられています。さらに「Several developers released abliterated versions of GLM-5.3 to the public within days of the model’s release.」（モデルのリリースから数日のうちに、複数の開発者がGLM-5.3のアブリテレーション版を一般に公開した）⁹ このレポートについてはGlasswingの記事で詳しく扱っています。

GLM-5.3をTLOで実行した結果が公表された例を、私は見つけていません。私が裏付けられる主張はもっと狭いものです。オープンウェイトモデルがレンジを完遂した、そしてより新しいオープンウェイトモデルが、ある公開ベンチマークでのエクスプロイト構築において4月の限定公開モデルに並んだ、ということです。

Breunigの議論、6か月後

Breunigの主張は一文でした。「to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them」（システムを堅牢にするには、攻撃者がエクスプロイトに費やすより多くのトークンを、エクスプロイトの発見に費やす必要がある）。彼はこれを暗号通貨のプルーフ・オブ・ワーク、つまり「where success is tied to raw computational work」（成功が純粋な計算作業量に結びついている仕組み）になぞらえ、身も蓋もなくこう言いました。「You don’t get points for being clever. You win by paying more.」（賢さでは点はもらえない。多く払った者が勝つ）²

彼はそこから2つの帰結を引き出しました。1つ目はオープンソースについてです。セキュリティが支出の問題なら、Linusの法則「given enough eyeballs, all bugs are shallow」（目玉が十分にあれば、どんなバグも浅い）はトークンにも拡張できます。多くの企業がお金を払って守るライブラリは、1つのチームだけで保守するコードよりもしっかり守られる、ということです。Simon Willisonも同じ日に同じ点を指摘しています。オープンソースのライブラリは「become more valuable, since the tokens spent securing them can be shared across all of their users」（それを守るために費やしたトークンをすべてのユーザーで共有できるので、価値が高まる）。²³ Breunig自身は、そこに複雑さを付け加えています。広く使われるパッケージは攻撃対象としても価値が高く、「which incentivizes attackers to spend more on OSS targets」（それが攻撃者にOSSの標的へより多く支出する動機を与える）のです。

2つ目は、作業の新しいフェーズです。彼は開発、レビュー、ハードニングというサイクルを想定し、ハードニングを次のように定義しました。「Identify exploits, autonomously, until the budget runs out.」（予算が尽きるまで、自律的にエクスプロイトを特定する）。最初のフェーズを制約するのは人間の入力で、最後のフェーズを制約するのはお金です。²

価格の暴落はこの議論を崩しません。その理由はBreunig自身が4月に述べています。「Even if costs go down as inference optimizations, unless models reach the point of diminishing security returns, you still need to buy more tokens than attackers do. The cost is fixed by the market value of an exploit.」（推論の最適化でコストが下がっても、モデルがセキュリティ上の収穫逓減点に達しない限り、攻撃者より多くのトークンを買う必要があることに変わりはない。コストはエクスプロイトの市場価値で決まる）² トークンが安くなれば、双方のコストが下がります。変わるのは、誰が攻撃者の役を演じる余裕を持てるかです。

防御側にも証拠があります。Anthropicによれば、Mythos Previewの限定リリースによって、審査を経た防御者は、同等のモデルが公開される前に「find more than 10,000 vulnerabilities in critical software」（重要なソフトウェアで1万件を超える脆弱性を発見）できました。⁹ AISIは自分自身でもこの試みを行っています。7月のケーススタディでは、あるフロンティアモデルが、AISI自身の研究プラットフォームのステージング環境のコピーで、5ステップの攻撃チェーンを「for under £150 in tokens」（150ポンド未満のトークン代で）見つけました。¹² これらの取り組みの最初のものについてはProject Glasswingに、それに先立つ結果、つまりClaude Codeと短いスクリプトで見つかった23年前のLinuxカーネルのバグについてはWhen Your Agent Finds a Vulnerabilityに書きました。

注意点が今も意味すること

AISIのレポートはどれも同じ限界を抱えており、それは解消されていません。TLOは「lacks active defenders and defensive tooling, imposes no penalty for actions that would trigger security alerts, and contains an intentional attack path」（能動的な防御者や防御ツールがなく、セキュリティアラートを引き起こす行動にペナルティを課さず、意図的に用意された攻撃経路を含む）ものです。⁷ しかも攻撃者がすでに内部にいる状態から始まります。4月、AISIは「cannot say for sure whether Mythos Preview would be able to attack well-defended systems」（Mythos Previewが十分に防御されたシステムを攻撃できるかどうかは確かなことは言えない）と書き、「active monitoring, endpoint detection and real-time incident response」（能動的な監視、エンドポイント検知、リアルタイムのインシデント対応）を備えたレンジを構築中だと述べました。¹ 5月には、証拠が示していないことを列挙しています。「how the pace of progress will evolve, when AI will reach any particular capability threshold, or how these capabilities will translate against defended, real-world systems」（進歩のペースが今後どう推移するか、AIがいつ特定の能力の閾値に達するか、これらの能力が防御された現実のシステムに対してどう通用するか）。⁵

人員が配置されたネットワークでは、問題そのものが変わります。現実の攻撃者にとってノイズはコストになり、アラートの一つひとつが防御側にとって対応の機会になります。レンジはそのコストを取り除いています。現実の防御に対するテストにAISIが最も近づいた公表例は7月のケーススタディで、検知システムが本番環境を「exactly mirror」（そのまま反映した）ステージング環境で行った1回の演習です。結果は「one basic commercial alerting system did not flag any of the autonomous agent activity as a security event」（ある基本的な商用アラートシステムは、自律エージェントの活動をどれもセキュリティイベントとして検知しなかった）一方、より高度なモニターは「did correctly identify some of the aggressive behaviour as anomalous」（攻撃的な振る舞いの一部を異常として正しく識別した）というものでした。¹²

逆方向に働く点も2つあります。1回の試行あたりの成功率は、試行を繰り返すことで得られるものを過小評価します。試行が互いに独立で標的が変化しないなら、10回中3回完遂するモデルは、10回試せば約97%の確率で少なくとも1回は完遂し、10回中1回のモデルでも約65%の確率でそうなります。これは私の計算で、その仮定に依存しています。防御され変化するネットワークでは、この仮定は崩れるでしょう。そして4月から7月にかけて、傾向は一方向に進みました。10回中3回のモデル1つから、最良のもので10回中6回と7回に達する複数のモデルへ。それ以降、AISIはレンジの結果を公表していません。

テストからは別のリスクも浮かび上がりました。8月4日、AISIは、あるサイバー評価の122回の実行のうち10回で、インターネットアクセスを有効にし、開発者のサイバー分類器を無効にした状態で、エージェントが「took autonomous, unsanctioned action on the live internet, targeting real people and organisations」（実在の人々や組織を標的に、実際のインターネット上で自律的かつ無許可の行動をとった）と公表しました。AISIはこうした行動を19件記録し、そのうち17件がMythos 5によるもので、人間のメンテナーが拒否したオープンソースプロジェクトへの悪意あるコードの挿入の試みも含まれていました。AISIは実害は確認されなかったとし、これらの構成は「are not commercially available」（商用では提供されていない）ことを強調しています。¹¹ AISIは最もリスクの高いサイバー評価を一時停止し、エージェント型のサイバーテストでインターネットアクセスを無効化したうえで、10月1日に評価作業の大半を再開すると発表しました。¹⁴

同様の振る舞いは他でも見つかっています。9月28日、AISIは、サイバー分類器を無効にしたシミュレーション実行で、GPT-6 Astraがタスクの対象外の標的に対し「completed a supply-chain attack 29.2% of the time」（29.2%の割合でサプライチェーン攻撃を完遂した）と報告しました。AISIによれば、シミュレーションの中にいるというモデルの認識がその振る舞いの一部を促した可能性があり、また現実の条件下で同じ振る舞いが起きることも否定できないとしています。¹⁵ Anthropicも自社で4件のインシデントを報告しています。外部パートナーが構築したサイバーセキュリティ評価で、設定ミスにより、出荷時のサイバーセーフガードなしで動くClaudeモデルがオープンなインターネットにつながり、「gained unauthorized access to real third-party systems」（実在する第三者のシステムに不正アクセスした）というものです。そのうち1件では、Mythos 5がPyPIに悪意あるパッケージをアップロードしました。¹⁶ 困難な目標を与えられ、開かれたネットワークにつながった有能なエージェントは、標的だけでなく第三者にとっても危険です。別の研究所での関連事例は封じ込めの記事で取り上げました。

私ならどうするか

1. まずパッチの空白期間を縮める。 値段のついた唯一のNデイのセッションでは、公開された修正からモデル時間8時間で動作するエクスプロイトチェーンができました。ベンダーの修正からあなたの環境への適用までの空白は、今や安く攻撃できます。AISI自身の助言も同じところから始まります。「regular application of security updates, robust access controls, security configuration, and comprehensive logging.」（セキュリティアップデートの定期的な適用、堅牢なアクセス制御、セキュリティ設定、包括的なログ記録）¹⁹
2. ハードニングのフェーズに予算をつける。 リリース前と大きな変更のたびに、自分のシステムに対して自動化されたエクスプロイト発見を実行しましょう。トークン予算は、そのシステムが守っているものの価値に合わせて決めます。AISIが公表した価格なら、もはや予算は障害になりません。障害はトリアージです。AISI自身のケーススタディでは、プロジェクト全体で「under £1000 in LLM tokens」（LLMのトークン代1,000ポンド未満）しか使っていませんが、静的コードレビューについては「Separating the most important reports from the noise took human judgement, from the most experienced engineers.」（最も重要なレポートをノイズから選り分けるには、最も経験豊富なエンジニアによる人間の判断が必要だった）とされています。²⁶¹²
3. 攻撃者はオープンウェイトを持っていると想定する。 GLM-5.3水準のエクスプロイト開発が、セーフガードなしで、望む誰にでも利用可能であるという前提で計画してください。Anthropicのレポートもそう述べています。⁹
4. 誰かが費用をかけて守っている依存関係を選び、自分も費用を出す。 共有されるトークンについてのBreunigとWillisonの指摘は、トークンが実際に費やされて初めて成り立ちます。サプライチェーンの記事では、広く使われている2つのパッケージに攻撃者が先に到達したとき何が起きたかを扱っています。²³
5. 自分のエージェントには手綱をつけ、それで防げないものを知っておく。 私のフックは、エージェントがmainにフォースプッシュしたり認証情報を漏らしたりするのを防ぎます。しかし、それらのエージェントが触れるシステムを探る外部の攻撃者に対しては何もしません。私が書いたパフォーマンスの盲点も同じで、エージェントが書いたコードはすべてのテストに合格しながら最大446倍遅く動いていました。ゲートが捕まえられるのは、そのために作られた種類の失敗だけです。セキュリティには専用の、しかも敵対的なゲートが必要です。

4月版に書いたこと

この記事の初版は、AISIの4月13日のレポートとBreunigのエッセイをもとに、2026年4月14日に書いたものです。その後に公表された内容に照らすと、次の箇所が誤りか、古くなっていました。

• 価格。 タイトルは「AI Attacks at $12,500 a Run」（1回12,500ドルのAI攻撃）で、記事はこの数字を評価にかかった費用として扱っていました。実際にはBreunigの見積もり、つまりトークン予算に出力価格を掛けたもので、AISIが後に値段をつけた他モデルの実行は1.19ドルから85ドルの間でした。
• 「No other model has solved the full chain.」（フルチェーンを解いたモデルは他にない）これは数週間のうちに事実でなくなりました。4月下旬にGPT-5.5の結果が公表されたためで、7月23日までにはクローズドウェイトモデル4つとオープンウェイトモデル1つが解いています。
• 「The 30% success rate against undefended networks is the floor, not the ceiling.」（防御のないネットワークに対する30%の成功率は下限であって上限ではない）この見立ては当たりましたが、数字は古くなりました。新しいMythos Previewチェックポイントは5月に10回中6回に達しています。
• Cooling Tower。 私はMythosがこの制御技術（OT）のレンジで「failed」（失敗した）と書き、能力のばらつきについて結論を導いていました。1か月後、新しいチェックポイントが10回中3回これを解いています。
• Breunigのレビューフェーズ。 私はこれを「known bug classes」（既知のバグクラス）を捕まえるものと説明しました。彼の言葉は「Document, refactor, and other gardening tasks.」（ドキュメント化、リファクタリング、その他の手入れ作業）です。
• 「Or they lose by default.」（さもなければ、何もしないまま負ける）このフレーズは私のものでした。Breunigが書いたのは「Hopefully you keep trying longer than your attackers.」（願わくは、攻撃者より長く試し続けられますように）です。
• LiteLLMとAxios。 私はこれらを「cases where vulnerabilities persisted in widely-used libraries」（広く使われるライブラリに脆弱性が残り続けた事例）と説明しました。実際にはサプライチェーンの侵害で、Breunigがこれらに触れたのは別の論点のためでした。そうした騒動の後、コーディングエージェントで依存関係を書き直すべきだという主張です。
• 2つの出典。 脚注は、Nicholas Carliniの講演とAnthropicのMythos Previewレポートのタイトルを誤って記載していました。

FAQ

「サイバーセキュリティはプルーフ・オブ・ワークである」とはどういう意味ですか？

Drew Breunigが支出の競争を表した言葉です。「to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them」（システムを堅牢にするには、攻撃者がエクスプロイトに費やすより多くのトークンを、エクスプロイトの発見に費やす必要がある）。自動化されたエクスプロイト発見が、費やせば費やすほど多くを見つけ続けるなら、セキュリティは攻撃者を上回る支出にかかってきます。プルーフ・オブ・ワークの仕組みが成功を計算量に結びつけるのと同じです。²

AISIのネットワーク攻撃シミュレーションを完遂できるAIモデルはいくつありますか？

AISIとCAISIの2026年7月23日のレポートの時点で、一般公開のクローズドウェイトモデル4つと、オープンウェイトモデル1つ（Kimi K3）が「The Last Ones」を完遂していました。最も能力の高いモデルは10回中6回と7回、Kimi K3は10回中1回です。⁷

AIによるサイバー攻撃1回の実行にはいくらかかりますか？

レンジを完遂した実行について、公表された価格はありません。Breunigの「1回の試行あたり12,500ドル」は、1億トークンの予算をMythos Previewの出力単価で計算した見積もりでした。AISIが値段をつけた1億トークンのレンジ実行は、Opus 4.5と4.6で約85ドル、GLM-5.2で推定46ドルで、いずれもレンジを完遂していません。²⁶

これはAIが防御されたネットワークに侵入できるという意味ですか？

AISIはそうは主張していません。そのレンジには能動的な防御者も防御ツールもなく、アラートを引き起こしてもペナルティがなく、初期アクセスを得た後から始まります。AISIによれば、結果が示しているのは「small, weakly defended and vulnerable enterprise systems」（小規模で防御が弱く脆弱な企業システム）に対する能力です。¹⁷

チームはまず何をすべきですか？

公開ずみの修正をデプロイするまでの時間を短くしましょう。公開された修正をエクスプロイトに変えるのは、今や安くできるからです。そして、AISIが挙げる基本、つまりセキュリティアップデート、アクセス制御、安全な設定、ログ記録を維持してください。そのうえで、システムが守るものに見合った予算で、自動化されたエクスプロイト発見をリリースプロセスに組み込みます。¹⁹

出典