Anthropic、重要なOSSを対象に申し込み制でAIが脆弱性を無料で定期的に調べる「OSS Scanner」を開始

米Anthropicは2026年10月8日、サイバー防御の取り組み「Anthropic Cyber Mission」を発表し、その一環でオープンソースソフトウェア（OSS）向けの「OSS Scanner」を始めた。参加を申し込んで登録したプロジェクトに、Claude Mythosを含む同社の最上位のモデルで脆弱性の定期的なスキャンを無料で行う。

対象は、インフラと利用者のセキュリティに重大な影響を及ぼすプロジェクトで、GoogleのOSS-Fuzzに近い基準で個別に判断する。申し込みはコアメンテナーがAnthropicのGitHubリポジトリへのプルリクエストで行い、申し込んだ人がコアメンテナーかを同社が人手で確かめてから登録する。OSS Scannerは見つかった問題に追いつける体制のあるプロジェクト向けで、それ以外には同社が従来どおり、人が確かめた脆弱性を協調的な脆弱性開示（CVD）の方針に沿って伝える。

報告には、不具合がどう悪用されうるかを示す概念実証（PoC）と説明が付き、修正案があれば添えられる。モデルが作った報告を、人の確認を経ずに送る。同社によると、そのぶん早く届く一方、深刻度の誤りなど不正確な内容を含むものもあり、真陽性率は90%を超える見込みだ。

同社のFrontier Red Teamの解説によると、過去6か月に最新のモデルを使い、世界で特に重要なソフトウェアのプロジェクトの一部を調べ、脆弱性の候補を2万9,000件超見つけたが、人の手が追いつかず、確認と仕分けを終えたのは約6,000件にとどまった。検証では、同社のCVDの所見を確かめる侵入テストの専門家が、OSS Scannerの初期版の検出結果から48プロジェクトの深刻度「重大」「高」の97件を調べ、85件（88%）がCVDの手続きの基準を満たした。残る12件のうち11件は実在するが既知の問題などと重複し、誤検知は1件だった。

重要インフラでは、同社は、電力網や水道などの運用技術（OT）の防御で運用者が頼る支援企業に、モデルや現地の技術者などを提供する「Critical Infrastructure Defense Program（CIDP）」を始めた。創設パートナーはコンサルティング・技術企業、セキュリティ企業、機器メーカーの11社（Hitachiなど）で、最初は少数の支援企業と進める。

【関連サイト】Anthropic「Introducing the Anthropic Cyber Mission」

【関連サイト】Anthropic「Launching an opt-in vulnerability-finding service for open-source software」

【関連サイト】Anthropic「OSS Scanner」