ニュース
Anthropic、OSS向け無料脆弱性スキャンを開始 重要インフラ防御も支援
社内でOSSを使っている企業のセキュリティ担当者にとって、無料で定期的な脆弱性診断を受けられる選択肢が一つ増えました。AnthropicがAIモデルによる脆弱性スキャンと、重要インフラ事業者向けの防御支援を同時に打ち出したためです。
何が起きたか
Anthropicは10月8日（現地時間）、社会が依存するシステムを守るための長期的な取り組み「Anthropic Cyber Mission」を発表しました。まず重要インフラとオープンソースソフトウェア（OSS）の2分野からスタートし、同日に重要インフラ向け「Critical Infrastructure Defense Program」（CIDP）と、OSS向け脆弱性スキャンサービス「OSS Scanner」を立ち上げています [1]。
CIDPは、電力網や水道、交通網などを支える制御機器や産業用ネットワーク（OT）の防御を担うセキュリティ事業者に対し、Claudeのフロンティアモデルや現地に派遣するエンジニア、同社の脅威リサーチを提供するものです。創設パートナーはAccenture、Booz Allen、CrowdStrike、Deloitte、Dragos、日立製作所、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationの11社で、まず少数の事業者と進め、数カ月かけて対象を広げる計画です [1]。
OSS Scannerは、参加を申し込んだOSSプロジェクトに対し、最も高性能なモデル群（「Claude Mythos」を含む）で定期的なセキュリティスキャンを無償で実施するサービスです。レポートには再現手順や脆弱性の説明に加え、可能であれば修正パッチ案も含まれますが、人間による確認を経ずにモデルの出力がそのまま届きます [1][2]。初期の検証では、深刻度が「Critical」「High」とされた脆弱性97件のうち誤検知は1件にとどまり、Anthropicは真陽性率90％超を見込んでいます [1]。専門家によるレビューでは、48プロジェクトで検出された97件のうち85件（88％）がCVD（協調的脆弱性開示）プロセスの基準を満たしたとされています [2]。
Anthropicによると、関連の取り組み「Project Glasswing」の一環として過去6カ月間にOSSをスキャンし、2万9000件超の脆弱性候補を発見した一方、人手で確認できたのは約6000件にとどまっていたといいます。この差を埋めたいという一部メンテナーの要望が、OSS Scanner提供の背景にあります [1]。
背景・解説
OSSとは、ソースコードが公開され誰でも利用・改変できるソフトウェアのことです。現代の業務システムの多くが、こうした無償の部品を組み合わせて作られています。OT（運用技術）は、電力や水道、交通網などの物理的な設備を制御するシステムを指し、一般のIT機器とは異なる専門的な防御が必要とされてきました。
CVD（協調的脆弱性開示）は、脆弱性を発見した側が開発元と連携しながら情報を公開していく手続きのことです。バグ報告が基準を満たしているかどうかは、報告の信頼性を測る一つの目安になります。
背景には、攻撃側は既に強力なAIモデルを使える一方、防御側には同等の道具がまだ行き渡っていないという状況があります [4]。小規模な有志チームが運営するOSSプロジェクトでは、大量に届くAI生成のバグ報告をさばききれないという課題も指摘されており [3]、Anthropicは無料スキャンという形でこの偏りを補おうとしています。
仕事や業務への影響 — AI Topicaの見方
OSSを業務システムの土台に使っている企業は、今回の発表を自社の脆弱性管理を見直すきっかけにすべきです。例えば、社内の基幹システムに外部のOSSライブラリを組み込んでいる従業員300人規模の製造業で、セキュリティ担当者が1人しかいない会社を考えます。こうした会社では、専任の脆弱性診断チームを抱える予算がない場合がほとんどです。OSS Scannerの対象になるのは利用しているOSSプロジェクト側がGitHubで申請し採用された場合に限られるため、自社から直接申し込めるわけではありませんが、採用されたプロジェクトを使っていれば修正パッチ案を含むレポートの恩恵を間接的に受けられます。
一方で、誤検知率が低いとはいえゼロではない点には留意が必要です。初期検証の97件中1件という数字は、裏を返せば数百件単位でスキャンすれば一定数の誤りが混ざる計算になります。セキュリティ担当者が1人の会社であれば、届いたレポートを鵜呑みにせず、重大度が高いものから優先して自社の人間が目視確認する運用で十分です。
重要インフラ側のCIDPについては、電力や水道、交通網を運営する事業者が対象であり、一般の事業会社が直接関わる話ではありません。ただし、日立製作所のような日本企業が創設パートナーに名を連ねている点は、国内のインフラ事業者がこの枠組みを通じて同様の支援を受ける道筋があることを示しています。
不確かな点・注意
OSS Scannerの対象になるには、プロジェクトのコアメンテナーがGitHub上で所定のテンプレートに従って申請し、採用される必要があります。利用の可否は個別に判断されるため、特定のOSSを使っているからといって自動的に対象になるわけではありません。
真陽性率90％超という数字や、97件中誤検知1件という結果は、いずれもAnthropicが示した初期検証の範囲にとどまります。実際に広く運用された後の精度や、対象プロジェクトの数、スキャンの頻度といった具体的な運用実績については、出典の時点では明らかにされていません。
CIDPについても、創設パートナー11社との取り組みが始まった段階であり、対象事業者をどこまで広げるか、支援の具体的な中身がどう変わっていくかは今後の発表を待つ必要があります。