AIニュース・Anthropic・セキュリティ
Anthropic、オープンソース向けにAIセキュリティスキャンを無料提供
OSS Scannerは、自社モデルだけで書いた脆弱性レポートを送信します。重要インフラも対象に含む、より広い取り組みの一環です。
Anthropicは2026年10月8日（木）、OSS Scannerの提供を開始しました。Claude Mythosなど同社の最上位モデルで、オープンソースプロジェクトの脆弱性を定期的にスキャンする無料・申込制のサービスだと、同社は説明しています。レポートがメンテナーに届く前に、人が確認することはありません。誤った報告が一部混じることは、より速く、より頻繁にスキャンするための代償として、Anthropicは受け入れています。
方針転換の理由は、同社自身の数字からわかります。6か月間でAnthropicのモデルが検出した脆弱性の候補は29,000件超で、そのうち社員が確認したのは約6,000件でした。未検証のレポート5,000件近くが、すべてを送ってほしいと希望したメンテナーに届けられました。ペネトレーションテスターが48件のプロジェクトにまたがる重大・高リスクの指摘97件を確認したところ、85件が開示基準を満たし、1件は誤検知でした。wolfSSLは、受け取った74件のレポートのうち、2件を除いてすべて有効だったとしています。
このスキャナーは、Anthropicが「Cyber Mission」と呼ぶ取り組みの半分にあたると、The Registerは報じています。もう半分は、重要インフラの事業者向けに、同社のモデルと現地のエンジニアを組み合わせて提供するもので、パートナーにはCrowdStrike、Deloitte、Palo Alto Networks、PwC、Rockwell Automationなどが名を連ねます。対象となる条件はGoogleのOSS-Fuzzと同様の基準に沿っており、インフラやユーザーのセキュリティに重大な影響を及ぼす、実績あるプロジェクトだけが対象です。AIによるバグ報告の殺到にすでに苦しんでいるプロジェクトもあると、The Vergeは指摘しています。
人気のオープンソースライブラリに依存して開発している側は、メンテナーが対応しきれれば、修正が早く届きます。ただし、確認の作業はメンテナーに移ります。
