Anthropic、サイバー防御の新たな取り組み「Cyber Mission」 OSS向け無料脆弱性スキャンや重要インフラ防御プログラムも

Anthropicは10月8日（現地時間）、社会が依存するシステムを守るための長期的な取り組み「Anthropic Cyber Mission」を発表した。最初の対象は重要インフラとオープンソースソフトウェア（OSS）の2分野で、同日に重要インフラ向けの「Critical Infrastructure Defense Program」（CIDP）とOSS向けの脆弱性スキャンサービス「OSS Scanner」が始まった。CIDPは電力網や水道、交通網の制御機器を守るセキュリティ事業者に、Claudeのフロンティアモデル、現地に派遣するエンジニア、脅威リサーチを提供する仕組みだ。創設パートナーにはAccenture、CrowdStrike、日立製作所などを含む11社が名を連ねる。

面白いのは、AIを提供する会社が防御の現場に人を派遣するところだ。ツールを売って終わりにせず、現場に入り込む。自社のモデルが攻撃にも防御にも使われうることを正面から引き受けた姿勢にも見える。引っかかるのはOSS Scannerの報告だ。モデルの出力を人間の確認を経ずにそのまま送るため、速く届く。一方で、深刻度の判定などに誤りが含まれる可能性も明記されている。Project Glasswingの一環として過去6カ月にスキャンした結果、2万9000件超の脆弱性候補が見つかったものの、人手で確認できたのは約6000件にとどまったという。量が人の確認能力を大きく上回る状況を、AIが自ら生み出しているわけだ。初期版では深刻度がCritical・Highの97件中、誤検知は1件だったとされるが、「速いけど、鵜呑みにするな」が正しい読み方になる。

中小企業にとって効くのは二点だ。自社がOSSを組み込んだ製品や社内システムを使っているなら、ベンダーや開発元が脆弱性への対応情報を出しているかを確認すること。そして、AIが出す脆弱性報告を受け取ったら、そのまま信じるのではなく、担当者が再現性と影響範囲を確かめる工程を必ず挟むこと。速さは武器になるが、判断の代わりにはならない。