Mythos公開から5カ月、EUのENISAがついに手にしたもの

2026年9月10日 20:48

欧州委員会が9月10日、EUのサイバーセキュリティ機関ENISAがAnthropicの最上位モデル「Mythos 5」にアクセスできるようになったと明らかにした。米国の輸出規制でEUだけが締め出されていた一件に、ようやく動きが出た形だ。この記事では、何が使えるようになって何が使えないままなのか、そしてOpenAIとの差まで含めて整理する。

4月の公開から5カ月、6月の「約束」から3カ月かかった受け渡し

Mythosは今年4月7日にAnthropicが存在を公表したモデルだ。同社は当初「一般公開の予定は無い」と明言し、代わりに40社超が参加する「Project Glasswing」という枠組みで、ソフトウェアの脆弱性（攻撃者に悪用されうる欠陥）を見つける用途に限って一部企業へ提供していた。

つまり構図はこうだ。Mythosの一般公開自体を最初から想定していない、選ばれた組織だけに使わせる特別なモデルなのだ。

EU側は5月から働きかけを強めていた。5月4日には欧州の財務当局トップが「自国の防衛のためにMythosへのアクセスが要る」と発言し、5月28日にはEUがAnthropicとの協議に入ったと報じられた。6月1日、Anthropicは「ENISAにアクセスを提供する」と発表した。ここまでは順調に見えた。

ところが6月12日、米商務省がAnthropicに書簡を送り、米国籍以外の利用者によるMythos 5とFable 5(公開版モデル)へのアクセスを国家安全保障を理由に禁止した。Anthropicは対応のため一時的に全顧客のアクセスを止め、EUとの話は宙に浮いた。6月25日にはEUがホワイトハウスと協議したと報じられ、6月30日に米国は制限を緩和、安全対策付きでFable 5の一般提供を再開した。

ここから実際にENISAが使える状態になるまで、さらに2カ月半かかっている。 「6月1日に約束、9月10日に実行」——3カ月の遅れが今回のニュースの核心だ。

手にしたのはMythos 5、9月に出た5.1は対象外という線引き

欧州委員会のスポークスマン、Thomas Regnier氏はこう述べている。

Following our constructive engagement with Anthropic, we can confirm that the EU's cybersecurity agency ENISA has been granted access to Mythos 5 and is testing it now.
（Anthropicとの建設的なやり取りの結果、EUのサイバーセキュリティ機関ENISAがMythos 5へのアクセスを許可され、現在テストしていることを確認できる）

ただし手放しでは喜べない内容だ。ENISAのアクセスは防御目的の利用に限定されている、と同スポークスマンは明言している。加えて、今年9月に出たばかりの最新版「Mythos 5.1」はこの対象に含まれていない。同じく英国のAI Safety Instituteも5.1からは除外されたままだ。

ENISAが使えるもの：Mythos 5（9月10日時点でテスト中）
ENISAが使えないもの：Mythos 5.1（2026年9月リリース）、用途は防御目的限定
Anthropic自身のコメント：取材に対し回答を拒否（なぜ5.1を除外したかは未確認のまま）

つまりEUが受け取ったのは「最新版ではなく、ひとつ前のバージョンへの、条件付きの入り口」だ。ニュースの見出しだけを追うと解決したように読めるが、実態はまだ途中段階にある。

OpenAIはすでにGPT-6 Astraまで渡していた、という比較

同じ会見でRegnier氏はもう一つ気になる事実を明かしている。ENISAはこれ以前にOpenAIの「GPT-5.6-Cyber」へのアクセスをすでに得ており、さらに最新モデルの「GPT-6 Astra」まで提供済みだという。

同じ欧州の規制環境の下で、OpenAIはすでに自社の最新モデルまでEUに渡している。Anthropicだけが一段遅れて、しかも旧バージョンだけを差し出した形だ。

Mythosはサイバーセキュリティ性能で頭一つ抜けているとされるモデルだ。英国のAI Security Instituteのテストでは、Claude Opus 4.6や競合のGPTモデルを上回る評価を得ていた。その「一番強いモデル」を巡って各国が神経を尖らせているからこそ、渡す・渡さないの駆け引きが長引いている、という構図が見えてくる。

対象は各国のサイバー機関だけ、日本も同じ交渉のテーブルにいる

これはEUだけの話ではない。6月の米国による輸出禁止のときは、米財務長官とFRB議長が銀行首脳陣に注意喚起する会合を開き、インド・日本・カナダ・オーストラリアの各政府も同様の協議をしていたと伝えられている。一方で中国からのアクセス要請は却下された。

もしあなたが金融機関や重要インフラのセキュリティ部門にいないなら、Mythosという名前自体、今後もニュース以外では目にしないかもしれない。それくらい対象が絞られた、国家間のアクセス交渉の話だ。

この話、セキュリティ業界の外にいる人には関係あるか

普段Claudeを仕事で使っている人には、直接の実務影響は無い。 一般提供されているのはFable 5であり、サイバーセキュリティや生物・化学分野に関わる質問は安全対策で弾かれる設計になっている。Mythos自体はそもそも一般には公開されない前提のモデルだ。

一方で、AIモデルへのアクセス権が国家間の外交カードとして扱われている現実は、業界の外の人にとっても知っておく価値がある。 6月の輸出規制からわずか3カ月で、モデルの提供範囲が国ごとの交渉次第で変わることが実際に起きた。

まだ判断できないのは、Mythos 5.1がいつEUに渡るのか、そして日本を含む他国がどんな結論に至るのかだ。ここが分かれば、この件が一過性の外交ニュースで終わるのか、AIガバナンスの新しい標準になるのかが見えてくる。