発表内容
2026年10月8日、Anthropic は OSS Scanner を公開しました。Claude Mythos を含む最上位モデルでオープンソースプロジェクトの脆弱性を探す、無料のオプトイン型 サービスです。ファザーで同様のことを行う Google の OSS-Fuzz に着想を得たとしています。
数字
Anthropic によると、過去6か月で同社のモデルは重要なソフトウェアから 2万9,000件以上の脆弱性候補 を見つけましたが、人手でレビューできたのは 約6,000件 にとどまります。未検証でもすべて受け取りたいというメンテナーも多く、そうした報告は 約5,000件 送付済みです。
学術ベンチマーク CyberGym では、昨年初めに20%未満だった発見率が今年は85%超になったといいます。
検証のため、ペネトレーションテスターが 48プロジェクトの緊急・高深刻度の97件 を確認したところ、85件(88%)が協調的開示(CVD)の基準を満たし、11件は本物だが重複、誤検知は1件のみ でした。
注意:人によるレビューなし
OSS Scanner の報告は 完全にモデルが生成 し、人によるトリアージはありません。高速・高頻度のスキャンが可能になる一方、誤りや深刻度の過大評価がありうると Anthropic 自身が注意しています。各報告には再現コード、説明、バグ混入時期の特定(可能な場合)、修正パッチ案が含まれます。
人が検証する従来の CVD プロセスも継続するとしています。
メンテナーの声
PostgreSQL、OpenSSL、wolfSSL(74件中無効は2件、5件が CVE に)、HotCRP、curl のコメントが掲載されています。curl の Daniel Stenberg 氏は「ここ数年で最悪級の curl 脆弱性の一つ」を見つけたと述べています。
参加方法(GitHub リポジトリ)
github.com/anthropics/oss-scanner(Apache-2.0)に、テンプレート(project.yaml、必要ならビルド用 Dockerfile)に沿って プルリクエスト を出して登録します。登録できるのは コアメンテナー のみで、OSS-Fuzz と同様にインフラやユーザーの安全への重大な影響を基準に個別判断されます。
同日:重要インフラ防御プログラム
SecurityWeek によると、Anthropic は同日、Accenture、CrowdStrike、Dragos、日立、Palo Alto Networks、Rockwell など産業制御(OT)セキュリティの11社と重要インフラ防御プログラムも発表しました。
企業にとっての意味
- 人気ライブラリのパッチがより早く、より多く 出ます。依存関係の更新を自動化(Dependabot、Renovate)し、セキュリティ勧告を追いましょう。
- 攻撃者も同じ道具を持つ。 Anthropic が言うように、今やエクスプロイトは数分で作れます。
- 重要な OSS を保守しているなら 参加を検討する価値がありますが、未検証報告のトリアージ時間を確保してください。
出典
- Anthropic(2026年10月8日):https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
- OSS Scanner:https://red.anthropic.com/oss-scanner/
- リポジトリ:https://github.com/anthropics/oss-scanner
- SecurityWeek:https://www.securityweek.com/anthropic-fast-tracks-ai-bug-reports-to-oss-maintainers-taps-11-firms-for-ot-security/
依存関係とパッチ管理を見直しませんか?KGA IT は無料相談を受け付けています:kga-it.com