Anthropic、脆弱性検出・修正ツール「Claude Code Security」をプレビュー公開

セキュリティチームは長年、終わりのない課題に直面してきました。膨大なコードベースに対して専門家の人手が全く足りず、既存の静的解析ツールは既知のパスワード露出などを検知するのが限界で、複雑なロジックの欠陥までは見抜けないのが現実です。

Anthropic はこの状況を変えるべく、Web 版 Claude Code に組み込まれた新機能「Claude Code Security」の限定リサーチプレビューを公開しました。Enterprise および Team プラン向けに提供され、オープンソースのメンテナーには迅速な無償アクセス枠が用意されています。

人間のセキュリティ研究者のようにコードを推論する

従来の静的解析は基本的にルールベースであり、あらかじめ登録された危険パターンとコードを照合する仕組みです。しかし、実際のサイバー攻撃で狙われるのは、権限管理の不備や業務ロジックの矛盾といった、文脈に深く依存する脆弱性です。

Claude Code Security はルールを探すのではなく、人間のリサーチャーのようにコード全体を読み込んで論理的に推論します。コンポーネント同士がどう連携し、データがシステム内をどう流れるかを追跡して、複雑な欠陥を特定します。

開発者が誤検知のアラートに忙殺されないよう、複数段階の検証プロセスも備えています。Claude 自身が自らの発見を検証・反論しようと試みることで偽陽性を除外した上で、重大度と信頼度のスコアを付与します。

ダッシュボード上には修正パッチの提案まで表示されますが、人間の承認なしにコードへ自動適用されることはありません。最終判断は常に人間のエンジニアに委ねられます。

数十年見逃されてきた脆弱性を 500 件以上検出

この機能の基盤となっているのは、今月前半にリリースされた最新モデル Claude Opus 4.6 です。Anthropic のフロンティアレッドチームは、CTF 大会への参戦や米パシフィック・ノースウェスト国立研究所との重要インフラ防衛に関する共同実験を通じて、その防御能力を磨いてきました。

本番稼働しているオープンソースのコードベースを対象にしたスキャンでは、専門家が長年レビューしてきたにもかかわらず何十年も見逃されていたバグを含む、500 件以上の脆弱性を発見したといいます。現在、対象プロジェクトの管理者と協力してトリアージと責任ある開示作業が進められています。

なぜ重要か

私たちは、この取り組みが AI 時代のサイバーセキュリティにおいて極めて実効性の高い一歩だと考えています。

ユーザーや開発チームにとっての価値は、これまでトップクラスのホワイトハッカーに頼るしかなかった深いコード監査を、日常の開発フローに取り込める点にあります。修正パッチまで提示されるため、バックログに埋もれがちだったセキュリティ対応の作業負荷を大幅に削減できます。特にリソースが不足しているオープンソースのメンテナーに優先提供される点は、ソフトウェアサプライチェーン全体の底上げにつながります。

業界全体で見れば、AI を使った脆弱性探索の軍拡競争が本格化したことを示しています。攻撃者側が AI を使ってゼロデイ脆弱性を高速に見つけ出す時代において、防御側も同等以上のモデルで先手を打たなければ防衛線は維持できません。自社ツール内でワンストップの修正環境を提供することは、競合するコーディング支援ツールに対する大きな差別化要因になります。

ただし懸念点もあります。AI が生成した修正パッチが、一見正常に見えながら新たな別の副作用を生み出していないかを人間が見極めるのは容易ではありません。ツールの信頼度スコアを鵜呑みにして承認作業が形骸化すれば、かえって潜在的なリスクを見落とす危険性もあり、チーム側の最終検証プロセスが引き続き問われます。