IBM、Claude MythosによるスキャンをConcert Protectに追加する計画

IBMは2026年11月9日に発表したところによると、未知の脆弱性を発見し、悪用可能かどうかを検証して、修正を迅速化することを目指し、AnthropicのClaude Mythosによるサイバーセキュリティ推論機能をConcert Protectに追加する計画です。一般提供は2027年初頭を目標としています。

この機能は、Mythosを活用したAIコードスキャンとConcert Protectのエクスポージャー管理ツールを組み合わせる予定です。顧客が選択したアプリケーションのリポジトリを調査し、複雑なロジック上の欠陥、ゼロデイ脆弱性の可能性、既存のシグネチャや共通脆弱性識別子（CVE）の記録がないその他の弱点を検出します。その後、検出結果を従来型スキャナーの結果と同じ脆弱性管理ライフサイクルに取り込みます。

この設計には、AIによる発見の迅速化に伴い、トリアージと修正の重要性が増すというIBMの見解が反映されています。セキュリティチームが、どの欠陥に現実的な攻撃経路があるのかを見極め、その評価を修正につなげられなければ、検出結果が大量に増えても、運用上の価値は限られます。

未知の欠陥を状況に即して検証

Concert Protectはすでに、こうした検出結果を取り込むための環境評価機能を備えています。現在の製品ドキュメントによると、このプラットフォームはコード、アプリケーション、インフラストラクチャ、実行時環境、ビジネスの各コンテキストを相関分析し、特定の環境で脆弱性を悪用できるかどうかを評価します。この分析では、攻撃が成立する前提条件、影響を受けるワークロード、潜在的な攻撃経路を特定することを目指しており、深刻度スコアや一般的な悪用可能性の予測にとどまらない根拠を提示します。

Mythosが検出した脆弱性については、計画中の悪用可能性実証段階でコード、設定、インフラストラクチャのコンテキストを調べ、現実的な悪用経路を評価して裏付けとなる証拠を提示します。こうした検出結果はすべて、AIアラート専用の別キューに振り分けるのではなく、従来型スキャナーの結果とともに、Concert Protectが確立している評価・修正ワークフローで扱われます。

IBMによると、Secure Coderはコードの記述中に脆弱性、シークレット、依存関係のリスクを検出し、統合開発環境内でリアルタイムの分析結果と段階的な修正案を提示します。Mythosの計画はこれを補完するもので、従来型スキャナーでは見逃される可能性のある未知の弱点を、選択されたリポジトリの分析によって発見することを目指しています。

修正時に開発者が承認

検証後、Concert ProtectとRed Hat Lightwellは、悪用可能なリスクに優先順位を付け、信頼できるバックポート済みのオープンソース修正を活用し、対象を絞った修正変更を生成することを想定しています。開発者は、自動化されたプルリクエストのワークフローを通じて、変更を検証、レビューし、承認します。

このプロセスでは、修正の準備とワークフローの調整を自動化しつつ、修正を実施するかどうかの明確な判断は人間に委ねます。また、セキュリティ上の優先順位付けを、アプリケーション開発および運用と結び付けます。これらは、Concert Protectがすでに脆弱性修正のために連携させているチームです。

2027年初頭の提供を目標

今回の発表では、顧客向けの計画と、セキュリティの社内研究・評価に重点を置いたIBMとAnthropicの先行プロジェクトであるProject Glasswingとが区別されています。Concertとの統合は、管理されたセキュリティ運用ワークフローを通じて、企業顧客にMythosの機能を提供することを目指しており、開発者によるレビューが具体的な管理ポイントの一つとなります。

2027年初頭という目標時期から、これらの機能を組み合わせたものは、まだ一般提供されていないことが分かります。ただし、想定されている役割分担は明確です。Mythosが既知のシグネチャを超えて脆弱性の発見範囲を広げ、Concert Protectが顧客の環境に照らして検出結果を検証し、開発者が修正の承認権を保持します。導入にあたっての運用上の課題は、この組み合わせによって、分断されたセキュリティワークフローを新たに生むことなく、AIが発見する弱点の範囲を広げ、その中から十分な根拠に基づく優先項目と承認済みの修正につなげられるかどうかです。