Anthropicが防衛支援イニシアチブ発表：電力網の保護とOSS脆弱性無償スキャン

大規模言語モデルによる脆弱性検知の能力が急伸する一方で、それに対処する現場のリソース不足が深刻化しています。

Anthropic は、重要インフラとオープンソースソフトウェア（OSS）の防御を支援する長期イニシアチブ「Anthropic Cyber Mission」を発表しました。この取り組みの中核となるのが、重要インフラ向けの防御プログラム「CIDP」と、オープンソース向けに無償で脆弱性診断を提供する「OSS Scanner」の2つです。

人手による確認が追いつかない現状

脆弱性検知ベンチマーク「CyberGym」において、LLM の検知率は昨年初頭の20%未満から、今年は85%以上にまで跳ね上がりました。Anthropic が過去半年間で重要ソフトウェアをスキャンしたところ、2万9000件以上の脆弱性候補が検出されました。

しかし、同社の人手による検証チームが対応できたのは約6000件にとどまり、検証体制が明らかなボトルネックとなっていました。一方で攻撃者側は、AI を用いて数分でエクスプロイトを作成できる状況になっています。

こうした速度の差を埋めるため、オープンソースプロジェクト向けの「OSS Scanner」では、Google の OSS-Fuzz に着想を得た仕組みを導入しました。Claude Mythos を含む最上位モデルによるスキャン結果を、人手による事前確認を省き、モデルが生成した未検証のレポートとしてプロジェクト管理者に直接提供します。

レポートには再現用の PoC、原因の解説、修正パッチ候補が含まれます。人手確認を省くことで誤検知のリスクはあるものの、90%以上の真陽性率を目指しています。事前検証では48プロジェクト・97件の重要脆弱性のうち、88%にあたる85件が有効と認められました。

curl の開発者である Daniel Stenberg 氏は、近年で最悪レベルの脆弱性を含む複数の問題を修正できたと評価しており、wolfSSL でも74件の報告のうち72件が有効で、5件の CVE 発行に至ったとしています。

停止できない重要インフラを支援

もうひとつの柱である「Critical Infrastructure Defense Program（CIDP）」は、電力網、水道、交通網などの運用技術（OT）を保護する取り組みです。

これらのインフラは数十年前の機器や制御ソフトウェアで稼働しており、パッチ適用のためにシステムを停止させることが極めて困難です。場合によっては既知の脆弱性が長年放置されることもあります。

CIDP では、CrowdStrike、Palo Alto Networks、Deloitte、日立製作所、Rockwell Automation などのパートナー企業と連携し、Claude モデルや現地駐在のエンジニア、脅威研究リソースを提供します。同社は今年6月から全米の半数以上の州政府向けに支援を行っており、その枠組みを民間インフラの防衛へと拡大します。

なぜ重要か

攻撃者による AI 悪用のコストが下がり続けるなか、防御側がスピードで対抗するための極めて実用的な一手だと評価できます。

十分なトリアージ能力を持つオープンソースの開発チームにとって、OSS Scanner は今すぐ導入を検討する価値があります。かつての AI による低品質なバグ報告とは異なり、再現コードと修正パッチがセットで届くため、検証作業の負担を大幅に削減できます。一方で、人的リソースが乏しい個人主導のプロジェクトに未検証レポートが送られた場合、確認作業だけで疲弊しかねないという懸念は残ります。

業界全体で見れば、Anthropic は AI の安全性を単なる研究テーマではなく、社会インフラの防衛という実需に結びつけました。電力や行政、主要 OSS 基盤といった代替困難な領域に深く入り込むことで、競合他社に対する強力な信頼の堀を築きつつあります。