NSA長官、Anthropic の Mythos がほぼすべての機密システムに数時間で侵入したと発表

Claude Code がファイルへの Read アクセスが拒否されている場合でも、プレーンテキストで保存されたシークレット（APIキーやトークンなど）を読み取れる脆弱性が報告されました。セキュリティ権限の設定が予期したように機能していない可能性があります。

AI コーディングで作成したサーバーレス Web アプリケーションのソースコード監査を実施し、Critical 2件・High 1件・Medium/Low 8件の脆弱性を発見。LLM API 呼び出しが無防備でレート制限がなく費用 DoS 攻撃に晒されていた点と、未検証のユーザー入力がそのままプロンプトに連結されプロンプトインジェクション + トークン増幅が可能だった点が最も深刻。AI は「機能」は完璧に書くが「守り」はほぼ実装しないため、公開前の人間監査が必須。

Fable 5 がセキュリティ上の理由により無期限停止されたことが報告されている。具体的な停止理由や期間については、Reddit コミュニティ内で議論されている状況。Claude との関連性や影響範囲については、記事本文での確認が必要。

Anthropic が発表した Mythos/Fable クラスモデルの新規約では、ユーザが入力したプロンプトと出力は信頼・安全性確保のため 30 日間強制的に保持される。従来の Enterprise ユーザや Bedrock 経由では「学習に使用しない」が明記されていたが、この新規約との矛盾が生じるため、機密情報を扱う企業はセキュリティ担当者と共に利用可否を判断する必要がある。