OrcaRouter、「OrcaCyber Zero 1.5」がMeta「Muse」のソースコード露出を発見

FlashLabs株式会社（本社：東京都千代田区、代表取締役：細井洋一、以下「FlashLabs」）は、米国のAI研究機関Continuum AIが開発し、当社が日本市場向けに独占提供するAI推論ゲートウェイ「OrcaRouter」で提供しているサイバーセキュリティ特化モデル「OrcaCyber Zero 1.5」が、Meta Platforms（以下「Meta」）のAIエージェント「Muse」において、認証なしで閲覧可能なソースコード露出を発見したことをお知らせします（2026年10月14日発表※1）。

「Muse」は、Metaが2026年9月8日に発表した個人向けAIエージェントです。今回、OrcaCyber Zero 1.5による調査で、ソースファイル1,235件・コード9.9MBが認証なしで外部から閲覧可能な状態になっていることを検出しました※1。これは、同モデルが見つけた15件のセキュリティ上の発見のうちの1つであり、OrcaRouterは発見内容をMetaのバグバウンティプログラムを通じて報告する準備を進めています※1。

主なポイント（2026年10月14日時点）

• MetaのAIエージェント「Muse」にソースコード露出を発見（ソースファイル1,235件・コード9.9MB・認証なしで閲覧可能）※1

• セキュリティ上の発見15件のうちの1つ※1

• 発見内容はMetaのバグバウンティプログラムを通じて報告予定※1

• 「OrcaCyber Zero 1.5」は、既知の脆弱性を再現する「CVE-Bench」で95.8%、サイバーセキュリティの実行タスク「Cybench」で100%（いずれも開発元発表）※2

• 前モデルを搭載した自律ハーネスは、実在の脆弱性を再現する世界ベンチマーク「CyberGym Level 1」で上位3位（当社調べ・2026年10月11日時点）※3

発見の内容

Metaの「Muse」は、ユーザーに代わって長期間のタスクを実行する個人向けAIエージェントとして、2026年9月8日に発表されました。今回の調査では、Muse関連のソースコードが認証なしで閲覧可能な状態で公開されていることを検出しました。対象となったのはソースファイル1,235件・コード9.9MBで、外部からアクセスできる状態でした※1。

これは、OrcaCyber Zero 1.5が一連の調査で見つけた15件のセキュリティ上の発見のうちの1つです。異なる脆弱性であっても、その根底にあるリスク（外部からアクセス可能な状態でコードやデータが置かれている）は共通しているとしています※1。

OrcaRouterは、発見内容をMetaのバグバウンティプログラムを通じて報告する準備を進めています※1。

開発の背景 — AIによる能動的なセキュリティ調査の時代へ

ソースコードの露出は、攻撃者にとってシステムの構造や秘密情報を把握するための貴重な手がかりになります。企業のソースコードが外部に漏れる事故は後を絶たず、最近では大手IT企業の内部リポジトリへの不正アクセスが報じられるなど、ソースコードの管理は重要な課題となっています※4。

「OrcaCyber Zero 1.5」は、こうした「人間が網羅しきれない規模の調査」を、許可を得たセキュリティ調査の範囲で自律的に実施できるモデルとして開発されました。今回の発見は、AIが実際の製品に対して、既知の脆弱性の再現だけでなく未知のセキュリティ上の問題を能動的に発見できることを示す事例です。

「OrcaCyber Zero 1.5」について

「OrcaCyber Zero 1.5」は、サイバーセキュリティの調査・検証業務に特化したフロンティアモデルです。脆弱性の「説明」に留まらず、未発見の脆弱性の発見や、複雑な攻撃経路の調査、実世界での悪用可能性の検証までを自律的に行うよう設計されています※2。

開発元の発表によると、既知の脆弱性を再現するベンチマーク「CVE-Bench」で95.8%、サイバーセキュリティの実行タスクを測る「Cybench」で100%（いずれも開発元の発表）を達成しています※2。100万トークンのコンテキストウィンドウとネイティブなツール呼び出しに対応し、大規模なコードベースや複雑な攻撃対象を、長い文脈のまま調査できるよう設計されています。

本モデルは、信頼できるセキュリティ研究者やレッドチーム、認可されたセキュリティテストを目的とする利用者向けに、審査制で提供されます。企業または所属機関のメールアドレスによる申請と手動審査を経て提供されます。モデルの詳細はモデルページをご参照ください。

今後の展望

OrcaRouterは、OrcaCyber Zeroシリーズの継続的な能力向上と、セキュリティコミュニティへの責任ある情報開示（バグバウンティプログラムを通じた報告）を通じて、サイバーセキュリティ分野の研究・実務の両面に貢献してまいります。

OrcaRouterについて

OrcaRouterは、米国のAI研究機関Continuum AIが開発し、FlashLabs株式会社が日本市場向けに独占提供するAI推論ゲートウェイ（AIモデルへのアクセスを1つにまとめる中継サービス）です。OpenAI互換のAPIを備え、Anthropic、OpenAI、Google Gemini、DeepSeek、Grok、Qwenなど200以上のLLM・生成AIモデルを単一のゲートウェイから利用できます。直近では、GPT-6.1 Sol、Claude Sonnet 5.5、Gemini 3.8 Flash、Grok 4.6、DeepSeek-V4.1-Flashなど、各社の最新モデルが公開後まもなくカタログに追加されています。OrcaRouterのAIモデル一覧からすべてのモデルを確認できます。

会社概要

FlashLabs株式会社

• 本社所在地：東京都千代田区一番町10番8号

• 代表取締役：細井洋一

• 設立：2023年7月

• 事業内容：AI応用研究所（Human-AI Hybridで営業・CXの自動化・自律化。OSS音声モデルChromaの開発元）

• URL：https://www.flashlabs.ai/

Continuum AI

• 「次の10年の知能システムを支える基盤インフラを開発する研究機関（米国）」

• OrcaRouterの開発・提供

• URL：https://www.continuum01.ai/

本件に関するお問い合わせ

FlashLabs株式会社 マーケティング部 小林光喜

E-mail：koki.kobayashi@myflashcloud.com

※1 本発見は、OrcaRouter公式Xアカウント（@OrcaRouter）の発表（2026年10月14日）に基づきます。発見内容の詳細・Meta側の対応状況は、その後の調査やMetaの確認により変わる可能性があります。

※2 ベンチマークの数値は開発元（Continuum AI）の発表に基づくものであり、第三者機関による検証を受けていません。

※3 ベンチマークの順位・スコアは当社調べ（2026年10月11日時点）です。結果は各チームが自ら評価・提出する形式であり、実行ごとに変動します。上位での僅差は能力の差を意味するものではありません。なお、順位の根拠となったのは前モデルを搭載した自律ハーネスの実績であり、モデル単体のスコアではありません。

※4 ソースコード管理に関連する報道（大手IT企業の内部リポジトリへの不正アクセス等）は、報道等の公開情報に基づくものです。