GMOインターネットグループ株式会社（代表取締役グループ代表：熊谷 正寿）は2026年7月10日、米Anthropic PBCと戦略的パートナーシップ契約を締結した。
発表は7月28日。契約の骨子は、サイバー攻撃対策サービスへのAnthropicのAI適用、AI・ロボティクス事業での活用、グループ内でのAI活用強化、イベント等の共同取り組みの4点である。GMO Flatt Securityの「Takumi byGMO」ではClaudeとのMCP連携を図る。グループ全体でClaude Enterpriseを導入し、Zero Data Retention、多要素認証、IP制限を活用した基盤を整備するとしている。約200名のホワイトハッカー体制を活かし、CTFなどのイベント共同開催を検討する。
From: GMOインターネットグループ、Anthropicと戦略的パートナーシップ契約を締結 〜ハイパーオートメーション企業グループへ加速〜
【編集部解説】
この発表を、単独のニュースとして読まないでください
GMOインターネットグループがAnthropicと契約を結んだのは2026年7月10日。発表はその18日後の7月28日でした。
そして、その前日の7月27日、同グループのGMOサイバーセキュリティ byイエラエは、まったく別のリリースを出しています。「AIホワイトハッカー byGMO」というサイバーセキュリティ特化のAI基盤を構築した、という内容です。
この2本を並べて読むと、今回の提携が何を狙ったものなのか、輪郭がはっきりします。
イエラエのリリースは、基盤構築の背景をこう説明していました。2026年4月にAnthropicが「Claude Mythos Preview」を発表し、主要OSやブラウザ、オープンソースソフトウェアから多数のゼロデイ脆弱性を洗い出したこと。それが、AIが「攻め」にも「守り」にも使われる新時代の到来を象徴している、と。脚注に置かれた参照先は、Anthropicのプロジェクト「Glasswing」のページです。
つまりGMOは、Anthropicのモデルが変えてしまった前提に、2日連続で応答したことになります。
骨子の1番目が「セキュリティ」である理由
4つの骨子のうち、社内の生産性向上ではなくサイバー攻撃対策が筆頭に置かれている。ここが今回の発表でもっとも読み解く価値のある箇所だと、編集部は考えています。
背景にあるのが、Anthropicが2026年に進めてきた「Mythos級」モデルの扱いです。
4月上旬、同社はProject Glasswingを立ち上げました。AWS、Apple、Cisco、CrowdStrike、Google、JPMorganChase、Linux Foundation、Microsoft、NVIDIA、Palo Alto Networksなどを含む約50組織が初期メンバーとなり、Claude Mythos Previewを使って自社コードベースの脆弱性を洗い出す取り組みです。
6月2日には約150組織が追加され、15か国以上・合計約200組織へ拡大。この時点で、参加組織が発見した高深刻度・重大深刻度の脆弱性は1万件を超えたとAnthropicは公表しています。
6月9日には、Claude Fable 5とClaude Mythos 5がリリースされました。この2つは同一の基盤モデルで、違いは安全対策の強度と提供条件だけです。一般向けのFable 5は、サイバー、生物・化学、モデル蒸留に関わる要求を分類器が検知すると、その回答をClaude Opus 4.8へ振り替えます。一方のMythos 5は、防御目的で信頼できる限られた組織に対してのみ、制限を一部外した状態で提供されます。
ここで見落とされがちな点があります。Anthropic自身が、Fable 5には固有の攻撃的能力はないと明言していることです。同社の評価によれば、脆弱性の発見と悪用において他のどのモデルよりも優れているのはMythos 5のほうであり、Fable 5には過去最強の安全対策が施されています。
脆弱性の発見コストが劇的に下がる能力は、守る側にも攻める側にも等しく効く。だからAnthropicは、同じ基盤モデルを2つの名前に分けて出した——そういう構図です。
「利用できるようになったことを受け」という一文
今回のリリースには、こんな表現があります。Anthropicの先進的なAIサービスを利用できるようになったことを受け、まずサイバー攻撃対策サービスに適用する、と。
何がどう「利用できるようになった」のかは明示されていません。ただ、6月以降の経緯を並べると、この一文が持つ含みは見えやすくなります。
6月12日、米政府がFable 5とMythos 5に輸出管理措置を適用しました。きっかけは、Amazonの研究者がFable 5の安全対策を回避し、複数のソフトウェア脆弱性を特定させ、うち1件では実際に悪用手順を示すコードを生成させた、という報告です。外国籍の利用者への提供を制限する内容でしたが、リアルタイムでの国籍確認が不可能だったため、Anthropicは全利用者への提供を停止しました。
措置は6月30日に解除されます。Fable 5は7月1日から全世界向けに再展開されました。ただしMythos 5は、6月26日の米政府の承認を受けてまず米国内の一部組織へ復旧した段階であり、国内外のProject Glasswing参加組織への拡大は引き続き政府と調整中である、と同社は説明しています。
GMOがProject Glasswingの参加組織であるという公表情報は、現時点で確認できません。GMOが使うのが一般提供されるFable 5なのか、限定提供のMythos 5へのアクセスまで含むのかは、リリースからは読み取れない。ここが、続報で最初に確かめたい点です。
そしてもうひとつ。Anthropicは再展開にあたって新しい分類器を導入し、報告された回避手法を99%超の確率で遮断できるようになったとしています。同時に、通常のコーディングやデバッグの場面で無害な要求を誤検知する頻度が上がることも認めています。脆弱性診断という業務は、まさにその境界線上にあります。
ZDRは、プランに付いてくる機能ではない
今回のリリースで、安全なAI基盤の要素として真っ先に挙げられているのがZero Data Retention（ZDR）です。やり取りした内容を提供事業者側に残さない契約を指します。
ここは、AI活用を検討する企業がもっとも誤解しやすいところです。Anthropicの公式ドキュメントを読むと、ZDRはClaude Enterpriseを契約すれば付いてくる機能ではありません。
公式の記載は明快です。Claude TeamおよびClaude Enterpriseの製品画面（チャットのインターフェース）は、ZDRの対象外。唯一の例外が、ZDRを有効化した組織で利用するClaude Codeです。そのClaude Code側の文書にも、ZDRは標準のClaude for Enterpriseプランには含まれず、管理画面から有効化することもできない、資格を満たす組織に対してAnthropicが個別に有効化する、と書かれています。
ZDRが適用されるのは、対象となるAPI利用と、条件を満たしたClaude Code。この2つが基本です。
さらに、モデル側にも制約があります。Claude Fable 5とClaude Mythos 5は「Covered Models」に指定され、30日間のデータ保持が必須。ZDRの対象外です。安全性の監視に必要だという理由で、提供されるすべてのプラットフォームに適用されます。
回避の道はあります。Claude API／Consoleでは、ZDR契約下の組織でも、特定のAPIワークスペースだけ30日保持を有効にすれば両モデルを使えます。同じ組織の他のAPIワークスペースはZDRのまま維持できる仕組みです。
つまり、「最新モデルを使う領域」と「データを残さない領域」は、契約と利用面の設計として切り分けるほかないということになります。GMOのリリースは、機密情報を扱う業務領域を含む幅広い業務でClaudeを活用するとしています。そこをどう設計するのかは、同じ検討をしている企業にとって、そのまま参考になる論点だと編集部は考えます。
なお、Claude Enterpriseを契約すればFable 5がそのまま使えるわけでもありません。Anthropicの案内では、標準のEnterpriseシートにFable 5の利用枠は含まれず、usage creditsの設定が必要とされています。「契約したから最新モデルが使える」という単純な話ではないのが、2026年の企業向けAI調達の実態です。
GMOが同時に走らせている2つの戦略
ここで、7月27日のイエラエのリリースに戻ります。
そこには、注意深い一文が置かれていました。「AIホワイトハッカー byGMO」は特定のAI企業・サービスとの提携によるものではなく、自社開発のAIモデルまたは一般に利用可能なフロンティアモデルを、独自のハーネスとホワイトハッカーの知見と組み合わせて活用するものだ、と。
翌日のリリースでは、GMO Flatt Securityの「Takumi byGMO」がClaudeとMCP連携を図ると明記されています。MCPは、AIモデルが外部のツールやデータに接続するための共通規格で、Anthropicが2024年11月にオープンソースとして公開したものです。
グループ内に、ベンダー中立を明言する子会社と、特定ベンダーへ深く接続する子会社が並んでいる。編集部はこれを、意図的な二正面戦略と読んでいます。6月の輸出管理措置は、単一ベンダーへの依存が運用上の実リスクになることを、実例をもって示しました。中立の基盤を持ちつつ、モデル性能そのものが競争力になる領域では特定ベンダーと深く組む。合理的な配置です。
なお、Takumi byGMOはVim、Next.js、7-Zipといった著名OSSで10件以上のゼロデイ脆弱性を報告した実績があり、2026年2月5日には脆弱性の自動修正機能も正式提供されています。イエラエ側も、Pwn2Own Berlin 2026でMicrosoft Windows 11の脆弱性を2件連鎖させ、特権昇格を実証しました。土台のある話です。
2026年春に起きていたこと
Anthropicと戦略的な契約を結んだ日本企業は、今回が初めてではありません。
4月23日にNECが、日本企業初のグローバルパートナーとして協業を発表。グループへのClaude展開により、約3万人のAIネイティブエンジニア体制を構築するとしています。5月19日には日立製作所が、グループ約29万人の全ビジネスプロセスでの活用を掲げて提携。5月27日には富士通が、グループ全社員約10万人への展開を発表しました。
注目したいのは、この3社すべてが、協業内容にサイバーセキュリティの高度化を含めている点です。NECは次世代セキュリティサービスの強化を、日立は重要インフラ向けにCyber CoEとの連携を、富士通は重要インフラの安全性強化を、それぞれ明記しています。
セキュリティは、Anthropicの日本での提携を貫く共通項になっている。そう捉えたほうが、今回のGMOの発表も正確に位置づけられます。
そのうえで、GMOには他の3社と異なる点があります。NEC、日立、富士通はいずれも大規模なシステム構築・運用事業を持ち、顧客のシステムや社会インフラを支える立場です。対してGMOインターネットグループは、自社でインターネットインフラを運用し、自社でセキュリティ製品を売っている。守る対象が、自分たちのものでもある。
「8,300人を83,000人分に」の読み方
熊谷氏が掲げた「8,300人のパートナーの力を83,000人分に変える」という目標は、倍率にして10倍です。生産性向上の目標としては、かなり大胆な部類に入ります。
ここで規模を並べておくと、意味が見えやすくなります。日立グループが約29万人、富士通グループが約10万人。それに対しGMOは約8,300人です。
グループ全体への一斉展開を、現実的な期間でやりきれる規模。これは弱みではなく、この文脈では強みとして働くはずだと編集部は見ています。
加えてGMOは、2025年5月に「GMO AIブースト支援金」を創設し、パートナー一人当たり月平均1万円を有料プランに充てられるようにしてきました。2026年2月にはClaudeに特化した支援金も開始しています。ツールへのアクセスという段階は、すでに1年以上前に通過している。今回のClaude Enterprise契約が向かう先は、機密情報を扱う業務への解禁と、業務プロセスそのものの再設計だろうと編集部は見ています。
「フィジカルAI」だけは、まだ絵が描かれていない
4つの骨子のうち、2番目だけは具体性が薄い、というのが率直なところです。
GMOのロボティクス側の準備は進んでいます。2026年4月7日、渋谷のグループ本社11階に延床382坪の研究開発拠点「GMO ヒューマノイド・ラボ」を先行オープン。6月19日にはUnitree Roboticsの国内正規代理店にもなりました。同社は2026年を「ヒューマノイド元年」と位置づけています。
一方で、Claudeは言語、推論、画像理解、コード生成などを扱う汎用モデルであり、ロボットの低レベルな関節制御に特化したモデルではありません。外部ツールや制御システムを介した操作には使えますが、今回のリリースには、Claudeがロボットスタックのどの層を担うのかを示す記述がありません。
タスク分解や現場の自然言語インターフェースに使うのか、より下位の制御に踏み込むのか。ここが具体化したときが、この提携の本当の見どころになる。そう捉えておくのが妥当だと考えます。
読者に持ち帰っていただきたい論点
Anthropicは、輸出管理措置をめぐる一連の出来事を受けて、Amazon、Microsoft、Google、その他のGlasswing参加組織とともに、ジェイルブレイクの深刻度を評価する業界共通の枠組みの策定に着手しました。能力の向上幅、適用範囲の広さ、武器化の容易さ、発見のしやすさ。この4つで採点する案が示されています。完成した標準ではなく、策定中の提案です。
Anthropicは、競合が同等の能力に到達するまでの期間を6〜12か月程度と見積もり、その将来のモデルが同等の安全対策を備える保証はないとも述べています。
脆弱性を高速で見つけるAIは、まもなく複数の提供元から手に入るようになる。そのとき問われるのは、能力へのアクセスではなく、それを誰がどう統制しているかです。
1995年のインターネット事業開始から30年、日本のインターネットインフラを支えてきた事業者が、いまその側に立つと表明した。この発表を歴史の中に置くなら、そういう位置づけになるはずです。
【用語解説】
ハイパーオートメーション
個別の業務をツールで自動化するのではなく、業務プロセス全体を横断的に自動化していく考え方である。GMOインターネットグループは、これをグループ全体の目標として掲げている。
フィジカルAI
デジタル空間に閉じていたAIが、ロボットなどの身体を得て現実世界で動作する領域を指す。GMOインターネットグループはこの語を自社の事業定義として用い、2026年を「ヒューマノイド元年」と位置づけている。
Claude Enterprise
Anthropicが提供する企業向けの契約プランである。個人向けプランと異なり、管理機能が組織単位で提供される。ただし後述のとおり、Zero Data Retentionは標準では含まれず、Claude Fable 5の利用枠もシート種別によって条件が異なる。なお同種のプランは「Claude for Enterprise」と表記される場合もあるが、本記事では引用元であるGMOのリリース表記に従う。
Zero Data Retention（ZDR）
やり取りしたプロンプトと応答を、処理後にAI提供事業者側へ保存しない契約上の取り決めを指す。Anthropicの場合、適用されるのは対象となるAPI利用と、条件を満たしてClaude Enterprise上で有効化されたClaude Codeである。Claude TeamおよびClaude Enterpriseの製品画面は対象外であり、プランに標準で含まれるものでもない。組織単位でAnthropicが個別に有効化する。
Covered Models
Anthropicが定めた、データ保持が必須となるモデルの区分である。Claude Fable 5とClaude Mythos 5が該当し、提供されるすべてのプラットフォームで30日間の保持が適用されるため、ZDRの対象にはならない。Claude API／Consoleでは、特定のAPIワークスペースだけ30日保持を有効にすることで利用できる。
多要素認証（MFA）／IP制限
いずれもアクセス統制の手法である。MFAはパスワード以外の要素を組み合わせて本人確認を行い、IP制限は接続元のIPアドレスによって利用可能な範囲を絞り込む。
Mythos級モデル
Anthropicが自社のOpus級を超える能力帯として定義したモデルの階層である。Claude Fable 5とClaude Mythos 5はいずれもこの階層に属し、同一の基盤モデルを共有する。両者を分けているのは、安全対策の強度と提供条件である。
分類器（classifier）による振り分け
Claude Fable 5に組み込まれた安全対策の中核をなす仕組みである。対話の途中で、危険な可能性のあるサイバーセキュリティ関連の要求を検知し、モデルの応答を遮断する。遮断された要求は利用者への通知とともにClaude Opus 4.8へ回される。Anthropicは、明らかに無害とは言い切れない要求も含めて広めに遮断する「安全マージン」を意図的に設けており、Fable 5ではその幅を過去最大に広げたと説明している。
ゼロデイ脆弱性
修正パッチが提供される前の、未知または未対応の脆弱性を指す。防御側に準備期間がないため、攻撃に利用された場合の被害が大きくなりやすい。
ホワイトハッカー
攻撃者と同等の技術を、防御や脆弱性の発見のために用いる技術者である。GMOインターネットグループは、約200名の体制を国内最大規模だとしている。
Pwn2Own
実機に対するゼロデイ脆弱性の発見と実証を競う国際コンテストである。2026年のベルリン大会では、GMOサイバーセキュリティ byイエラエがMicrosoft Windows 11の脆弱性2件を連鎖させ、特権昇格を実証した。
CTF（Capture The Flag）
擬似的な攻防環境で、隠された文字列（フラグ）の獲得を競うセキュリティ競技である。実務に近い技術を試せるため、人材の発掘・育成の場としても機能する。
輸出管理措置
特定の技術や製品の国外提供を、政府が制限する仕組みである。2026年6月12日、米政府はClaude Fable 5とClaude Mythos 5に対してこの措置を適用した。外国籍の利用者への提供を制限する内容だったが、リアルタイムでの国籍確認が不可能だったため、Anthropicは全利用者への提供を停止した。措置は6月30日に解除されている。
グローバルパートナー
NECは2026年4月、日本企業として初めてAnthropicのグローバルパートナーになったと発表した。両社の協業には、Claudeの展開に加え、業務特化型AIソリューションやセキュリティサービスの共同開発が含まれる。
【参考リンク】
GMOインターネットグループ（外部）
1991年設立、1995年にインターネット事業を開始。ドメイン、サーバー、決済、セキュリティを手がける総合インターネットグループ。
GMOサイバーセキュリティ byイエラエ（外部）
脆弱性診断やペネトレーションテスト、フォレンジック調査などを提供する、GMOグループのセキュリティ専門会社の公式サイト。
AIホワイトハッカー byGMOとは？（外部）
2026年7月27日に発表されたAI基盤の解説ページ。単一製品ではなく基盤の名称であること、特定のAI企業との提携ではないことを明記する。
GMOサイバーセキュリティ byイエラエ、サイバーセキュリティ特化AI基盤を構築（外部）
Anthropic提携の前日に出された発表。基盤構築の背景として、Claude Mythos Previewによる脆弱性発見を挙げている。
Takumi byGMO（外部）
GMO Flatt Securityが提供するセキュリティ診断AIエージェントの製品サイト。診断手法の使い分けや自動修正機能を扱う。
Takumi byGMO 技術ドキュメント（外部）
Takumi byGMOの公式技術ドキュメント。脆弱性診断、コードレビュー、自動修正、サプライチェーン保護の仕様を解説する。
GMO AI＆ロボティクス商事（外部）
AIとロボティクスの社会実装を担うグループ会社の公式サイト。Unitree Roboticsの国内正規代理店として導入支援まで扱う。
GMO ヒューマノイド・ラボ（外部）
渋谷のグループ本社11階に先行オープンした、延床382坪のフィジカルAI研究開発拠点の公式サイト。発表も随時更新される。
GMOヒューマノイド.shop（外部）
ヒューマノイド本体に加え、ロボットハンドやセンサー、外装などのモジュールを組み合わせて購入できるプラットフォームの公式サイト。
Anthropic（外部）
Claudeを開発する米国のAI企業。米デラウェア州法上のPublic Benefit Corporation（PBC）である。
API and data retention（Claude Platform Docs）（外部）
Claude APIのデータ保持に関する公式文書。Fable 5とMythos 5はZDRの対象外で、30日間の保持が必要と明記する。
Zero data retention（Claude Code Docs）（外部）
Claude CodeのZDRに関する公式文書。標準のEnterpriseプランには含まれず、資格審査と個別の有効化が必要と明記する。
Project Glasswing（外部）
重要ソフトウェアの脆弱性をAIで洗い出すAnthropic主導の取り組み。GMOのリリースが背景説明の参照先として挙げたページ。
Model Context Protocol（MCP）（外部）
Anthropicが2024年11月に公開した、AIモデルと外部ツールやデータを接続するためのオープン標準の公式ドキュメントサイト。
NEC、AnthropicとエンタープライズAI分野を中心に戦略的協業を開始（外部）
2026年4月23日発表の一次情報。日本企業初のグローバルパートナーとなること、約3万人のエンジニア体制の構築などが示される。
日立、Anthropicと戦略的パートナーシップを締結しLumada 3.0を強化（外部）
2026年5月19日発表の一次情報。グループ約29万人での活用、10万人規模の人財育成、重要インフラ向け連携を記載する。
富士通とAnthropic、戦略的パートナーシップ契約を締結（外部）
2026年5月27日発表の一次情報。最新AIモデルへの早期アクセス権の取得と、重要インフラの安全性強化の方針を示している。
日立、Anthropicと提携 グループ29万人に「Claude」などAI導入（外部）
日立の提携内容を簡潔に整理した記事。グループ約29万人という規模と、社会インフラ向けソリューション強化の狙いを伝えている。
富士通が「Claude」全社展開へ Anthropicと戦略提携（外部）
富士通グループ全社員約10万人へのClaude展開と、Anthropicの最新モデルへの早期アクセス権の取得を報じた記事。
【参考記事】
Redeploying Claude Fable 5（Anthropic）（外部）
Fable 5の全世界向け再展開と、Mythos 5の米国内一部組織への段階的な復旧を伝える公式発表。新しい分類器も解説する。
Claude Fable 5 and Claude Mythos 5（Anthropic）（外部）
Fable 5とMythos 5が同一の基盤モデルであり、安全対策の強度だけが両者を分けることを説明した6月9日の公式発表。
Expanding Project Glasswing（Anthropic）（外部）
Glasswingを約150組織へ拡大したという公式発表。発足は4月上旬で初期は約50組織、脆弱性1万件超という成果を示す。
Anthropic expanding access to Project Glasswing（CyberScoop）（外部）
Glasswing初期メンバーの企業名と、約50組織から約200組織への拡大の経緯を報じた記事。大統領令との重なりにも触れる。
Anthropic expands Mythos to 150 additional organizations（CNBC）（外部）
拡大発表を報じるとともに、主要パートナーとしてAppleやNVIDIAなどを挙げた記事。新規参加組織は非公表だとしている。
Companies using Fable 5 beware: it’s collecting your data（Cybernews）（外部）
Fable 5がZDRの対象外である点を、既存の企業契約への影響という観点から整理した記事。実務上の論点を扱う。
Anthropic is expanding its restricted cybersecurity AI program（Quartz）（外部）
競合各社が同等の能力に到達するまでの期間をAnthropicが6〜12か月と見積もり、警告していることを伝えている記事。
【編集部後記】
Anthropicの公式ドキュメントには、Claude TeamとClaude Enterpriseの製品画面がZDRの対象外であること、例外はZDRを有効化した組織のClaude Codeだけであることが明記されています。ZDRはプランに付いてくる機能ではなく、資格を満たす組織に個別に有効化される取り決めです。GMOのリリースは、ZDRを含む安全な基盤の整備と、機密情報を扱う業務でのClaude活用を、同じ段落に並べて掲げています。この2つは、どの業務をどの利用面に置くかという設計で切り分けられるのでしょうか。
