CVE-2007-3999General(mit / kerberos_5)

Anthropicが「AI初の遠隔カーネル脆弱性発見」としてCVE-2026-4747を大々的に発表したけど、これ実は新発見じゃないっぽい。 中身を調べると、2007年にMIT Kerberosで既に発見・パッチ済みのバグ（CVE-2007-3999）と、ほぼ同じコード・ほぼ同じ修正パターン。 経緯としては、FreeBSDがMIT Kerberosの実装をコピペで持ち込んだ際に、2007年のパッチを取り込まないまま20年放置していた、というのが真相。 つまりClaude Mythosは、訓練データに入ってる20年前の脆弱性を別ファイルで再発見しただけ。「新発見」というより「既知バグの横展開探し」に近い。 AIの脆弱性発見能力を語る上で、この「訓練データ内の再発見」と「真の新発見」を区別する議論は、これからもっと重要になりそう。 https://rival.security/posts/mythos-discovered-a-cve-already-in-its-training-data---and-thats-still-worrying

Anthropicの「Claude Mythos」が“AIが初めて発見・悪用したカーネルRCE脆弱性”として話題になった。しかしRival Researchの分析によると、その脆弱性（CVE-2026-4747）は、実際には2007年にMIT Kerberosで修正済みだった古い脆弱性（CVE-2007-3999）とほぼ同一だった可能性が高いという。 問題のコードは、FreeBSDのRPCSEC_GSS実装に存在する典型的なスタックバッファオーバーフローで、96バイトを超える認証情報をコピーするとスタックを書き潰してしまう。ところが、このコードはSun Microsystems時代のONC RPC/NFS実装を経由して、MIT KerberosやFreeBSDにほぼコピーされた形で残っていた。Rivalは、2007年版Kerberosの脆弱コードと2026年のFreeBSDコードを比較し、「ほぼ同一」と指摘している。 つまり、Mythosは“未知の創造的ゼロデイ”を発見したというより、「学習データに含まれていた古い脆弱性パターンを、別のコードベース上で再発見した」可能性が高い。数学分野などでLLMが既知の定理を“再発見”している議論に近く、サイバーセキュリティでも「AIの発見とは何か」という問題が浮上している。 ただし、Rivalは「だから脅威ではない」とは言っていない。むしろ重要なのは、AIが高度な創造性を持たなくても、過去の脆弱コードを大量に再発見・悪用できる点だとしている。LLMが生成するコードや設定には、訓練データ由来の古い危険パターンが混入しやすく、攻撃側AIはそれを高速に探索・悪用できる。つまり、“新しい脆弱性を作るAI”より、“過去の失敗を高速で掘り返すAI”の方が現実的脅威かもしれない。 記事の結論は、AI時代の防御では「攻撃よりも高速に検出・修正するエージェント型防御」が重要になる、というものだった。古い脆弱性でも、AIによって exploit のコストが劇的に下がる以上、防御側もAIを使わなければ不利になる、という見方である。 https://rival.security/posts/mythos-discovered-a-cve-already-in-its-training-data---and-thats-still-worrying

@usetraceix CVE-2007-3999

Rival Security traced the flaw to CVE-2007-3999, an identical bug in MIT Kerberos code from which the FreeBSD version was derived. This suggests Mythos acted as a high-speed pattern matcher for memorized insecure code patterns rather than exhibiting novel zero-day reasoning.