cURL 開発者のダニエル・ステンバーグ氏は、Anthropic の Mythos（同社が「セキュリティ上の欠陥を発見する能力が高すぎるため一般公開できない」とうたっていた AI モデル）を使って、自身が開発する人気オープンソースプロジェクトをスキャンさせた。しかし、発見された脆弱性がたった 1 件だったことから、同氏は Mythos の同社による評価を「 AI セキュリティの大きなブレークスルーというよりは主にマーケティングだった」と結論づけた。
ステンバーグ氏は月曜日（編集部註：2026 年 5 月 11 日）のブログ投稿で、Anthropic の Project Glasswing プログラムを通じて、Mythos モデルへのアクセスを約束されていたと説明した。もっとも、それを「アクセス」と呼べるかは疑問だが。そもそも Glasswing プログラムは、Linux Foundation を通じて、cURL のような著名なオープンソースプロジェクトの開発者にはアクセスが提供されることになっている。ステンバーグ氏は Mythos を試すために登録したが、実際にはモデルへの直接アクセスを得ることはなかったという。代わりに、アクセス権を持つ別の人物が cURL のコードベースに対して Mythos を実行し、後日レポートを送ってくれたという。
「そもそも私にはさまざまなプロンプトを試したり、深く掘り下げて調査したりする時間も余裕もなかった」とステンバーグ氏は説明した。「だから誰がやったにせよ、ツールにきちんとしたスキャンと分析を一度やらせて、その結果が見られれば十分です」
そのスキャンは、cURL の開発リポジトリにある最新ソースコードを分析したもので、今月初めに彼のもとに送り返された。結果、cURL の「確認されたセキュリティ脆弱性」だと主張するものが 5 件見つかっただけだった。なにしろ「公開できないほど高性能な AI 」の分析結果である。膨大な脆弱性リストが届くものとばかり考えていたステンバーグ氏は、このレポートを「拍子抜けするほど何もなかった」と書いており、Mythos の調査結果をレビューした結果、その印象はさらに裏付けられた。
「セキュリティチームの仲間たちと私がこの短いリストを数時間かけて精査し、詳細を掘り下げた結果、リストはさらに絞り込まれ、確認された脆弱性は 1 件だけとなりました」とステンバーグ氏は述べ、冒頭で触れた数字に戻った。
残りの 4 件については、3 件は API ドキュメントですでに記載されている cURL の制限事項を指摘した誤検知（false positive）であり、4 件目はチームが単なるバグと判断した。
「確認された唯一の脆弱性は、深刻度「低」の CVE として、6 月下旬に予定されている次期リリース 8.21.0 と同時に公開される予定です」と cURL の生みの親は記した。「この欠陥で息を呑むような人はいないでしょう」
とはいえ、Mythos はセキュリティ以外のバグも複数発見しており、ステンバーグ氏によればチームはその修正に取り組んでいるという。また、それらの説明と解説はとてもよくできていたと評価している。つまりこういうことだ。Mythos は良い仕事をすることはするが、Anthropic が主張してきたような「公開できないほど高性能な AI 」でも「画期的でゲームチェンジャー的な AI 」でもない、ということだ。
「私の結論はシンプルです。Mythos をめぐる大騒ぎは結局マーケティングだったということです」とステンバーグ氏はブログ投稿で述べた。
「この仕組みが、Mythos 以前の他のセキュリティツールよりも特に優れた、あるいはより高度な方法で問題を発見しているという証拠は見当たりません」
