Anthropicは2026年10月8日、AIを活用して重要インフラとオープンソースソフトウェアの安全性を高める新たな取り組み「Anthropic Cyber Mission」を発表しました。電力・水道・交通などを守る専門企業への支援に加え、オープンソースプロジェクトに無料で脆弱性スキャンを提供する「OSS Scanner」を開始します。
この記事の3行まとめ
- Anthropicが「Cyber Mission」を始動し、重要インフラとオープンソースの防御支援を強化。
- 重要インフラ向けにはClaude、専門エンジニア、脅威研究を組み合わせた支援プログラムを提供。
- OSS Scannerは対象となるオープンソースプロジェクトに無料の定期スキャンを提供。ただし検出結果には人間による確認が必要。
Anthropic Cyber Missionとは
Anthropic Cyber Missionは、AIの高度な能力をサイバー攻撃への対抗手段として活用する、長期的なセキュリティ支援構想です。
近年のAIモデルは、ソフトウェアに潜む脆弱性の発見能力を高めています。その一方で、発見した脆弱性を悪用する側にも同じ技術が利用される可能性があります。
Anthropicは、こうした状況を踏まえ、防御側がAIの能力を利用できる環境を広げることが重要だと説明しています。
今回の取り組みは、大きく2つの領域から始まります。
重要インフラの保護
電力、水道、交通、産業設備などで使われる制御システムを対象に、専門企業と協力して脆弱性の発見と対策を支援します。
オープンソースの保護
多くのソフトウェアの基盤となるオープンソースコードをAIで定期的に調べ、脆弱性の発見と修正を支援します。
電力・水道・交通を守る新プログラム
Anthropicは「Critical Infrastructure Defense Program（CIDP）」を新たに発表しました。
このプログラムでは、高性能なClaudeモデル、現場に関わるエンジニア、脅威に関する研究成果を組み合わせ、重要インフラを守る事業者を支援します。
対象となるのは、発電・送配電設備、水道施設、工場、交通ネットワークなどの運用技術（OT）です。
OT（Operational Technology）とは？
OTとは、工場の機械や発電設備、上下水道の制御装置など、物理的な設備を監視・操作するための技術です。一般的な企業ITシステムとは異なり、停止による社会的影響が大きいことが特徴です。
重要インフラのセキュリティ対策が難しい理由の一つは、簡単にシステムを停止できないことです。
例えば、一般的なWebサービスなら、脆弱性が見つかった際にシステムを一時停止して更新することがあります。しかし、水道施設や工場では、停止そのものが供給停止や生産停止につながりかねません。
そのため、脆弱性を発見するだけでなく、稼働中の設備を止めずに対策できるか、変更による副作用がないかを確認する必要があります。
創設パートナーには日立など11社
Anthropicの公式発表では、CIDPの創設パートナーとして以下の11社が挙げられています。
Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationです。
コンサルティング企業、セキュリティ企業、産業設備メーカーなど、異なる専門領域の企業が参加している点が特徴です。
提供対象について
CIDPは、一般ユーザーがClaudeの画面から直接利用できるセキュリティ診断機能ではありません。まずは重要インフラを支援する専門事業者との協力から始める取り組みです。
無料の「OSS Scanner」とは
Cyber Missionのもう一つの柱が、オープンソースプロジェクト向けの脆弱性スキャンサービス「OSS Scanner」です。
OSS Scannerは、対象となるプロジェクトの主要メンテナーが参加を申し込み、Anthropicの高性能モデルによる継続的なセキュリティスキャンを受けられるサービスです。
Anthropicは、Claude Mythosを含む強力なモデルを活用し、脆弱性の候補、問題を再現するための情報、修正パッチの候補などを提供するとしています。
定期的なスキャン
対象プロジェクトのコードを継続的に調べ、脆弱性を発見する機会を増やします。
再現情報の提示
問題の原因や再現方法を提示し、メンテナーが実際に問題を検証するための材料を提供します。
修正候補の提案
可能な場合は、発見した問題を修正するためのパッチ候補も提示します。
対象プロジェクトは無料
参加資格を満たし、登録されたオープンソースプロジェクトには、スキャンが無償提供されます。
Claudeの脆弱性検出能力はどこまで進んだのか
Anthropicは、OSS Scannerの発表に合わせて、これまでの脆弱性調査と検証結果も公開しています。
過去6か月間のスキャンでは、2万9,000件以上の脆弱性候補を発見した一方、手作業で確認・分類できたのは約6,000件でした。
これは、AIが脆弱性の候補を発見する速度に対して、人間による検証と対応が追いついていないという課題を示しています。
発見した候補
29,000件超
過去6か月間の調査
手作業で確認・分類
約6,000件
候補全体の一部
専門家による評価
85 / 97件
重大・高リスク候補の検証
さらに、48プロジェクトにまたがる重大または高リスクの候補97件を専門家が評価したところ、85件（約88%）がAnthropicの協調的な脆弱性開示プロセスの基準を満たしました。
残り12件のうち、11件は既知の問題などと重複しており、無効な報告と判定されたのは1件だったとしています。
88%は一般的なAI診断の正答率ではない
この数値は、Anthropicが選定した重大・高リスク候補97件に対する専門家評価の結果です。すべてのソフトウェアや、OSS Scannerが生成する全報告の正確性が88%であることを示すものではありません。
OSS Scannerと企業向けClaude Securityの違い
Anthropicは、OSS Scannerと既存のClaude Securityを異なる利用目的のサービスとして位置づけています。
| 項目 | OSS Scanner | Claude Security |
|---|---|---|
| 主な対象 | 対象となるオープンソースプロジェクト | 企業・組織のソフトウェア開発・セキュリティ業務 |
| 主な用途 | 継続的な脆弱性スキャン | コードのスキャンと修正支援 |
| 料金 | 対象プロジェクトは無料 | 利用条件・契約によるため本記事では料金を断定しない |
| レポートの確認 | モデルが生成した未審査の報告も提供 | 利用組織による確認が必要 |
| 利用方法 | 対象プロジェクトのメンテナーが登録 | 企業向けサービスとして利用 |
OSS Scannerの重要な特徴は、Anthropicが一件ずつ人手で確認する前の報告も、希望する対象プロジェクトに提供することです。
これにより、報告までの時間を短縮できますが、誤検出、重複、重要度の評価違いなどが含まれる可能性もあります。
OSS Scannerを利用できる対象と申込方法
OSS Scannerは、誰でも任意の非公開コードをアップロードして利用できる無料診断サイトとして発表されたものではありません。
主に重要なオープンソースプロジェクトのコアメンテナーが対象です。Anthropicは、インフラやユーザーの安全に大きな影響を持つプロジェクトを重視し、参加資格を個別に判断すると説明しています。
-
対象となるプロジェクトか確認する
公式案内を読み、ソフトウェアの重要性やメンテナーとしての立場が条件に合うか確認します。
-
公式の登録手順を確認する
Anthropicが案内するGitHubリポジトリのテンプレートと、追加FAQを確認します。
-
指定された形式で申請する
公式テンプレートに従ってPull Requestを提出し、参加審査を受けます。
-
検出結果を人間が検証する
参加後は、レポートの再現確認と重要度の判断を行い、必要な修正を検討します。
詳細な登録条件は、OSS Scannerの公式発表で確認できます。
AIによる脆弱性診断の課題
AIが短時間で多くの問題を見つけられるようになっても、脆弱性への対応が自動的に完了するわけではありません。
今回の発表から読み取れる課題は、主に3つあります。
誤検出と重複
AIが報告した内容には、実際には利用できない攻撃経路や既知の問題が含まれる可能性があります。
修正による副作用
脆弱性を修正するパッチが、既存の機能や運用環境に影響を与える可能性があります。
人間の検証負荷
検出件数が増えるほど、再現確認、優先順位付け、修正内容のレビューに必要な作業も増えます。
重要インフラでは、特に2番目の課題が深刻です。設備の安定稼働が優先されるため、安全性を確保しながら段階的に修正する必要があります。
OmochiX視点：AIは脆弱性を探すだけでなく、修正を支える存在へ
今回のCyber Missionは、AIの役割が単なるコード生成や文章作成から、デジタル社会を守る支援へ広がっていることを示す動きです。
特に興味深いのは、Anthropicが「脆弱性の発見数を増やすこと」だけではなく、「検証・修正・運用の負荷を減らすこと」に重点を置いている点です。
今後、AIが多くの脆弱性を発見できるようになるほど、企業や開発者には検証体制の整備が求められます。
- AIが候補を発見
- 人間が再現確認
- 修正内容を検証
- 安全に適用
この流れは、オープンソースの開発者だけでなく、自社サービスを運営する企業にも共通します。
例えばAIを使って自社アプリケーションのコードを検査する場合、発見した問題をそのまま本番へ修正反映するのではなく、テスト環境での検証やレビューを挟むことが重要です。
OmochiXでは、AIの脆弱性検出能力が進化するほど、技術的な発見力と同時に、人間が判断できる安全な運用フローの価値が高まると考えます。
まとめ
Anthropic Cyber Missionは、重要インフラとオープンソースという、社会全体に影響する分野でAIの防御能力を活用しようとする取り組みです。
Claudeを活用した脆弱性検出は大きく進歩していますが、発見した問題の検証や修正には依然として専門家が必要です。
今回の発表は、AIと人間が役割を分担することで、より多くのソフトウェアや重要インフラの安全性を高められる可能性を示しています。
