Anthropic offers free AI security scans to open-source maintainers
2026/10/09 HelpNetSecurity — Anthropic の OSS Scanner は、同社の最も高性能な AI モデルを使用し、オープンソース・ソフトウェアのセキュリティ脆弱性を検出する新たな無料サービスである。メンテナたちはオプトインすることで、定期的なスキャンを実行し、脆弱性の疑いがある問題、その再現方法、修正方法 (提示可能な場合) を説明するレポートを受け取る。このサービスは、Claude を使用してソフトウェアの脆弱性を発見する、Project Glasswing で Anthropic が得た知見を基盤としている。
Anthropic によると、脆弱性調査では人間による検証がボトルネックとなっている。OSS Scanner は、AI が生成した発見事項を人間によるレビューを経ずにプロジェクトチームへ直接送信することで、報告を迅速化する。その一方で、報告内容の確認と修正の優先順位付けは、引き続きメンテナが担う。
初期の成果と限界
OpenSSL Corporation の Anton Arapov は、「約 18 か月前、Project Glasswing が始まる前の初期の AI レポートは、ひどいものだった。しかし、Anthropic から受け取ったレポートは、生のモデル出力も含め、人間から受け取るレポートと同等か、場合によってはそれ以上の品質だった。特に、実際に動作するエクスプロイトが添付されている場合には、エンジニアの作業がほぼ完了するレベルに達する。すぐに検証できるからである」と述べている。
ペンテスターたちは、スキャナの初期バージョンから得られた、48 プロジェクトにわたる深刻度が High および Critical の発見事項 97 件を評価した。Anthropic によると、85 件は同社の協調的な脆弱性開示基準を満たし、11 件は実在する問題であるが、既知の問題や他の発見事項と重複していた。残る 1 件は無効と判断された。
Anthropic は「スキャナが完璧であることは保証できない」と述べている。同社は、レポートが脆弱性の深刻度を過大評価したり、プロジェクトのセキュリティ上の前提条件を誤って理解したりする可能性があることを認めている。
メンテナが利用できる機能
登録されたプロジェクトには、初回スキャンの結果と複数のレポートがメールで送信される。その後のスキャンでは、新たに混入した脆弱性や、以前の検査で見落とされた問題が調査される。スキャンの頻度は、需要やプロジェクトの利用状況などの要因によって決まる。
メンテナは、テスト対象／悪意の可能性を考慮すべき入力／深刻度の評価方法／有用な修正パッチ案の種類について、指針を提供できる。
Anthropic によると、このサービスは、検証済みの深刻度が High および Critical の脆弱性について、すでに報告できるようになっており、追加の発見事項を調査する余力があるチームを対象としている。
利用資格と脆弱性の開示
主要メンテナは、OSS Scanner の GitHub リポジトリから、利用に関する申請を行える。申請は個別に審査されるが、インフラやユーザーのセキュリティにとって重要な、実績のあるプロジェクトが対象となる。
検証されていない発見事項には、90 日以内の開示を義務付ける期限は適用されない。その後に Anthropic が、既存の協調的な脆弱性開示プログラムを通じて報告内容を検証した場合には、メンテナに検証結果が通知された時点から、90 日間の開示期間が開始される可能性がある。
プロジェクト側に提供されるオプションを用いれば、自動レポートを一時停止することも、オプトアウトして Anthropic の標準的な脆弱性開示プロセスに基づく報告のみを受け取る運用に戻すことも可能である。
AI を活用した脆弱性検証サービス Anthropic OSS Scanner の提供開始について解説する記事です。オープンソース検証の人手不足に伴い、自動検出結果の通知／重要度過大評価／前提条件誤認といった不具合が生じる危険性があります。対象となる製品は Anthropic OSS Scanner です。対応策として報告内容の確認／検証基準の提供／運用方針の見直しが求められます。
You must be logged in to post a comment.