生成AIのAnthropic、オープンソース向けの無料脆弱性スキャンサービス「OSS Scanner」を開始

Anthropicは、オープンソースのプロジェクトが任意で参加できる脆弱性スキャンサービス「OSS Scanner」を開始しました。参加したプロジェクトは、Claude Mythosを含む同社の最も高性能なモデルによる定期的なセキュリティ診断を無料で受けられます。報告書は人の確認や選別を経ずにモデルが生成したまま届けられるため、より速く頻繁にスキャンできる一方で、誤りが含まれる可能性もあると同社は説明しています。各報告書には脆弱性を再現する手順や原因の説明、可能な場合は修正案が添えられます。仕組みはGoogleのOSS-Fuzzを参考にしており、インフラや利用者の安全への影響が大きいプロジェクトを個別に審査したうえで受け入れます。

同社はこの半年間、世界の重要なソフトウェアで脆弱性の候補を2万9,000件以上見つけましたが、人が確認して選別できたのは約6,000件にとどまっています。未確認でもすべての報告を求めるメンテナーも増えており、これまでに約5,000件の未確認の報告を修正案とともに直接送ってきました。公開前の検証では、同社の脆弱性開示を審査する専門のペネトレーションテスターが、48のプロジェクトにわたる深刻度「重大」と「高」の97件を確認しました。そのうち85件（88%）が同社の開示基準を満たし、残る12件のうち11件は実在するものの既知の問題などとの重複で、誤検知は1件でした。早期に試した暗号ライブラリ開発のwolfSSLは、受け取った74件のうち2件を除いてすべて有効で、5件が脆弱性識別番号（CVE）として登録されたと述べています。

OSS Scannerは、重要インフラを守るセキュリティ企業に同社の最先端モデルと常駐エンジニアを提供する「Critical Infrastructure Defense Program」とあわせて、新たな取り組み「Anthropic Cyber Mission」の一環として始まりました。このプログラムには創設パートナーとして11社が参加しています。Accenture、Booz Allen Hamilton、Deloitte、PwC、CrowdStrike、Palo Alto Networksに加え、制御システムのセキュリティを手がけるDragos、Insane Cyber、Nozomi Networks、さらに株式会社日立製作所とRockwell Automationが名を連ねています。発電所や変電所、水道設備など、長期間停止できない制御システム（OT）の脆弱性対策が主な対象です。報道によると、パートナー企業へのモデル提供の条件などは明らかにされていません。

Anthropicについて
Anthropicとは、2021年に設立されたアメリカのAI企業で、本社はカリフォルニア州サンフランシスコにあります。Dario AmodeiとDaniela Amodeiらが共同創業し、Dario AmodeiがCEOを務めています。主力製品は大規模言語モデル群Claudeで、開発者向けAPIやコーディング支援のClaude Codeも提供しています。公益法人（PBC）の形態をとり、解釈可能性やモデルの安全性の研究に注力しています。信頼でき、理解・制御しやすいAIシステムの開発を掲げています。