ログイン学習を始める
AIニュース

Claudeの無料脆弱性スキャンOSS Scanner開始｜条件と手順

  • 公開
  • 約8分で読めます
デジライズAIスクール 監修茶圓 将裕（株式会社デジライズ 代表取締役CEO）

Anthropicは2026年10月8日、サイバー防御に長期で取り組む「Anthropic Cyber Mission」を発表しました。その柱の一つが、オープンソースのプロジェクトがClaudeの最も強力なモデルによる脆弱性スキャンを無料で受けられる「OSS Scanner」です。個人開発者やフリーランスが自分のコードで使えるのか、どんな条件があるのかを出典に沿って整理します。

要点

  • Anthropic Cyber Missionは2026年10月8日に発表され、重要インフラとオープンソースソフトウェアの2領域から始まる
  • OSS Scannerは任意参加（オプトイン）の仕組みで、登録したプロジェクトは最も強力なモデルによる定期的なスキャンを無料で受けられる
  • レポートには悪用のしかたを示す実証、脆弱性の説明、可能な場合は修正案が入る。人のレビューを経ずに送られ、真陽性率は90%超を見込む
  • 対象はOSS-Fuzzに近い基準で「インフラとユーザーのセキュリティに重大な影響を持つ」確立したプロジェクト。コアメンテナーかどうかを手作業で確認する
  • 重要インフラ向けにはCritical Infrastructure Defense Program（CIDP）も同時に始まった

何が発表されたか

Anthropic Cyber Missionは、防御する側をツール・研究・リソースで支える新しい取り組みです。出発点は2つで、1つは電力網・水道・交通網を動かす運用技術（operational technology）や政府システムを守る重要インフラ、もう1つは多くのソフトウェアが依存する共有コードの脆弱性を見つけて修正案を出すオープンソースです。

重要インフラ側ではCritical Infrastructure Defense Programが始まりました。フロンティアのClaudeモデル、現場に入るエンジニア、脅威研究を、運用技術を守る事業者に届けるもので、創設パートナーにはAccenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationが並びます。

オープンソース側がOSS Scannerです。GoogleのOSS-Fuzzに触発された任意参加のサービスで、登録したプロジェクトは最も強力なモデル（Claude Mythosを含む）による定期スキャンを無料で受けられます。各レポートには、バグがどう悪用され得るかの実証、脆弱性の説明、可能な場合は修正案が含まれます。レポートはモデルが生成したものを人のレビューなしで送る形です。そのため速く届く一方、深刻度の評定が誤っているなど不正確なものも混じります。Anthropicは真陽性率が90%を超えると見込み、真陽性率と修正の質を今後も改善するとしています。

背景には人手の壁があります。Anthropicは直近6か月で2万9000件を超える脆弱性候補を見つけたものの、人の手でレビューと切り分けができたのは約6000件でした。脆弱性発見のベンチマークCyberGymでは、LLMの発見率が昨年初めの20%未満から今年は85%超に伸びたとしています。初期版の検証では、48プロジェクトから出た重大度の高い97件を外部のペネトレーションテスターが確認し、85件（88%）がCVD（調整された脆弱性開示）の基準を満たしました。残り12件のうち11件は実在するが既知の問題や他の検出との重複で、無効だったのは1件だけだったと説明されています。

メンテナー向けには、脆弱性の修正やプロジェクト改善に使えるClaude Max 20xのサブスクリプションを無料提供するClaude for OSSもあります。

個人の仕事や学びにどう使えるか

公開ライブラリを持つOSSメンテナーの登録手順

コアメンテナーがGitHub上のoss-scannerリポジトリにPRを出し、projects/配下にproject.yamlを追加します。必須項目は、複製するGitリポジトリへのリンク（repo）、主担当のメールアドレス（primary_contact）、環境構築と依存のインストール、ビルドまで済ませるDockerfileのパスです。Dockerfile自体はネットワークありでビルドされ、その後はネットワークなしで動くため、オフラインのエージェントが監査できる状態にしておく必要があります。PRを出す前にtools/validate.pyで設定ファイルを検証できます。任意項目として、対象範囲や深刻度の分類方針を書くthreat_model、レポートを暗号化するためのGPG公開鍵（pgp）、CC先（auto_ccs）も指定できます。副業でライブラリを公開しているエンジニアなら、まず自分がコアメンテナーかどうかと、プロジェクトの重要性を一文で説明できるかを確認するところからです。

対象になりにくいコードを抱えている場合

OSS Scannerの受け入れ基準はOSS-Fuzsに準じるとされ、リモート攻撃にさらされているか、どれだけのユーザーや他プロジェクトが依存しているかが見られます。受託案件の非公開コードや小さな個人アプリはこの基準に当てはまりにくい領域です。メンテナーであれば前述のClaude for OSS、セキュリティの専門職であれば規模を問わず申請できるCyber Verification Programという選択肢が案内されています。

レポートを受け取ってからの進め方

登録後は最初のスキャンが走り、メンテナーはバグレポートの束をメールで受け取ります。初回以降も、前回のスキャン以降に入った新しい脆弱性や、過去に見落とした可能性のあるものを定期的にスキャンします。所見へのフィードバックはメールへの返信で受け付けており、修正した際はコミットメッセージにレポートIDを添えてもらえると助かる、とも案内されています。再現コードと修正案が付いたレポートは、フリーランスのWebエンジニアや学び直し中の人が安全なコードの書き方を実例で学ぶ材料にもなります。

会社・チームで使うときのポイント

社内の非公開コードについては、ソースコードの脆弱性を見つけて修正する商用提供のClaude Securityが案内されており、企業ユーザーがClaude Mythosを開発プロセスに組み込めるとされています。重要インフラ向けにセキュリティ製品やサービスを作る企業は、CIDPへの関心を登録できます。規模を問わないセキュリティチームは、拡張されたCyber Verification Programに申請してモデルを利用できます。法人での導入や研修の設計を考えるなら、株式会社デジライズに相談できます。

使う前の注意点

最大の注意点は、OSS Scannerのレポートが人のレビューを通らないことです。深刻度が高めに出る、プロジェクトの脅威モデルを誤解しているという声もメンテナーから寄せられています。このサービスは、検証済みの高・重大の脆弱性レポートに既に追いつけているプロジェクト向けで、そうでないプロジェクトにはCVDポリシーの下で人が検証した開示を続けるとされています。受け入れ基準は個別判断で、登録数によって今後変わる可能性があると明記されています。

開示については、未検証の所見に90日の調整開示期間は設けません。後からCVDで人が検証した場合は、検証済みと通知された日から90日でCVDポリシーに沿って開示されることがあります。レポートが不要になったら、設定ファイルにdisabled: trueを追記するPRで一時停止できます。データ面では、レポートは必要なAnthropicのセキュリティ担当者だけがアクセスできる隔離されたクラウドプロジェクトで保管され、スキャンを行うエージェントはインターネットを完全に無効化した強化サンドボックス内で実行されます。日本語での案内や対象範囲が気になる場合は、申し込む前に公式のヘルプで最新の提供範囲を確かめてください。

まとめ

Claudeの脆弱性スキャンを無料で受けられるOSS Scannerは、だれでも自分のコードに使える汎用ツールではなく、影響の大きいオープンソースを支えるメンテナー向けの仕組みです。それでも、再現コードと修正案が付いたレポートという形は、個人がコードの安全性を見直す基準づくりに役立ちます。Claudeの使い方を体系的に学ぶなら、デジライズAIスクールのコース一覧から「セキュリティ・Q&A」のような講座をたどってみてください。デジライズAIスクールは個人向けのオンラインAIスクールで、動画は990本以上あります。

出典

この記事は、各社の公式の発表をもとに AI で下書きし、出典の本文との照合とGoogle 検索による事実確認（ファクトチェック）を通ったものだけを公開しています。