中国の360が「中国版Mythos」を宣言。止めたはずの脅威が、止めたことで増殖する

情報の灯台

2026年6月24日 23:0300

Fable 5とMythos 5が米国政府の輸出管理で全面停止してから12日。中国のサイバーセキュリティ大手がMythos対抗を名乗り出た。360 Security Technology（三六零安全科技、上交所：601360）が、Mythosに匹敵すると自称するAIツールを正式に発表した。

「倚天屠龍」という名乗り

360の創業者ジョウ・ホンイー（Zhou Hongyi）氏が北京のISC.AI 2026カンファレンスで披露したのは、2つのAIセキュリティツールだ。総称は「倚天屠龍」。金庸の武侠小説『倚天屠龍記』（いてんとりゅうき）から取った名前で、原義は「天の剣と龍を屠る刀」。

脆弱性の自動発見を担う「屠龍鋒」（Tulongfeng）を、ジョウ氏は自ら「中国版Mythos」と呼んだ。もう一つの「倚天鎮」（Yitianzhen）は、サイバー防御とインシデント対応の自動化に特化している。

ジョウ氏は中国の最高政治諮問機関である全国政治協商会議の委員でもある。360が公開した講演録によれば、AIによる脆弱性発見を「国家戦略資産」と位置づけ、インフラ防御と攻撃の両面で使えると述べた。

数字の読み方

360は屠龍鋒で3,432件のソフトウェア脆弱性を発見したと主張し、うち105件は中国当局が確認したとしている。Reutersはこの主張を独自に検証できていない。

4月の天府杯（中国のハッキングコンテスト）の時点で360が主張していた発見件数は約1,000件だった。ETHチューリッヒのセキュリティ研究者エウジェニオ・ベニンカーサ（Eugenio Benincasa）氏が分析し、360がAnthropicのMythosに対する直接の競合として自社を位置づけていると指摘していた。2ヶ月で件数が3倍以上に膨らんだ計算になる。

Mythos Previewは4月の発表から約1ヶ月で、Project Glasswingのパートナー約50組織とともに1万件超の重大・高深刻度の脆弱性を発見した。CloudflareだけでCriticalを含む2,000件、Mozillaは前バージョン比10倍以上のバグを検出している。規模が違う。

AI脆弱性発見の件数比較

※ 360の数値は同社の自己申告であり、Reutersは独立検証できていない。Mythos Previewの1万件超はAnthropicとProject Glasswingパートナー約50組織の合算

数字を額面どおりに比較するのは乱暴だ。発見対象のコードベースが異なる。深刻度の基準も同じとは限らない。だが「Mythos同等」を名乗るなら、この桁の差は無視できない。

「待てない」という論理

ジョウ氏の講演で、一つの発言が引っかかる。

「中国の国産モデルには、ベースの能力でまだ20〜30%のギャップがある」と認めた上で、「追いつくのを待ってから脆弱性発見を始める余裕はない。待つ余裕がないからだ」と語った。

ギャップを認めながら「同等」を宣言する。矛盾に聞こえるが、ジョウ氏の論理は一貫している。Mythosが単体のモデル性能で脆弱性を見つけるのに対し、360はモデルの弱さをセキュリティ専門知識・脆弱性データベース・自動化ツールとの組み合わせ（「エージェント」ルート）で補うという。

「Mythosがハイエンドチップだとすれば、我々が作っているのは安定稼働する完成品のマシンだ。24時間動き、ミスも少ない」「米国のやり方が天才ハッカーを一人育てることだとすれば、360のやり方はプロの攻防チームを組織することだ」。

モデル性能の差は認めるが、運用で埋めるという主張だ。

Mythosを止めた結果

この発表のタイミングは偶然ではない。

Fable 5とMythos 5は6月12日に米商務省の輸出管理指令で全世界のユーザーから遮断された。発端はジェイルブレイクの報告だが、商務長官ハワード・ラトニック（Howard Lutnick）氏がAnthropicのダリオ・アモデイ（Dario Amodei）CEOに送った書簡では、中国やロシアなど懸念国の軍事情報機関に利用される恐れが理由として挙がっていた。12日目の現在、両モデルは依然オフラインのままだ。

ジョウ氏の講演は、米国がMythosのような能力でソフトウェアや重要システムをスキャンできる一方、中国企業は同等の能力を持てないという「一方通行の透明性」のリスクを訴えた。

ここに構造的な皮肉がある。Mythosの能力が脅威だから止めた。だが止めたことで、「止められた側」には自前で作る理由と正当性が与えられた。Anthropic自身、4月の時点で「6〜12ヶ月以内にMythosクラスの能力は他のAI企業にも拡散するだろう」と予測していた。360の発表は、その予測の最初の応答だ。

「止めたから作る理由が生まれた」構造

360という企業の性格

360の主張を評価するには、この企業を見ておく必要がある。

ジョウ・ホンイー氏は2005年に奇虎360を設立し、無料のウイルス対策ソフトで中国のPC市場を席巻した。2011年にNY証券取引所に上場したが、2016年に約93億ドルで私有化して上海市場に回帰。安全保障寄りの企業になった。

2020年5月、米商務省のBIS（産業安全保障局）は奇虎360をエンティティリストに追加した。理由は「中国での軍事最終用途向け調達に関与するリスク」だ。同じ年の指定では、新疆ウイグル自治区での監視活動への関与が指摘された企業も含まれている。

ジョウ氏自身は、この制裁を360がCIAやNSAによる中国へのハッキングを暴露した報復だと主張してきた。米国から制裁を受けている企業のトップが、米国のAI輸出管理を批判し、「中国版Mythos」を掲げる。この背景を知らずに技術的な主張だけを評価するのは不十分だろう。

問いは技術の外にある

Reutersが検証できていない3,432件という数字を、そのまま信じるかどうかはこの記事の本題ではない。

本題は、AIによる脆弱性発見能力が広がることに対して、輸出管理では対処しきれないという現実だ。モデル性能で20〜30%劣っていても、エージェント的な運用で補う道は閉じない。Anthropicのダリオ・アモデイ氏が「6〜12ヶ月で拡散する」と言った能力を、360は「倚天屠龍」の名で2ヶ月後に宣言した。

Fable 5/Mythos 5の停止が長引くほど、この流れは加速する。「米国がAIの攻撃能力を独占している」という語りは、技術的にどこまで正確かとは無関係に、中国国内で政策を動かす力を持つ。ジョウ氏が全国政治協商会議委員という立場でこれを語った事実自体が、技術発表を超えたメッセージだ。

倚天剣と屠龍刀を手にした者は天下に号令する、と金庸は書いた。AI版の「剣と刀」は、止めようとしたことで増える。

参照元

SecurityWeek - Chinese Cybersecurity Firm's AI Hacking Claims Draw Comparisons to Claude Mythos
Reuters - China's 360 says it has developed tools to match Anthropic's Mythos
Anthropic - Project Glasswing: An initial update