Anthropic、オープンソースプロジェクト向けに無料のAIセキュリティスキャンを開始

Anthropicは、オープンソースプロジェクトのセキュリティ脆弱性の発見を支援する新サービス「OSS Scanner」を始めた。参加を選んだプロジェクトは、同社の最上位モデルによる徹底的かつ定期的なセキュリティスキャンを無料で受けられる。報告には、Claude Mythosを含む同社の最も強力なモデルが生成した脆弱性情報が含まれる。より早く、より頻繁にスキャンできる点が売りだ。 ただし、ここで見逃せないのは、このスキャナの出力には人間によるレビューやトリアージが入らないことだ。Anthropic自身も、報告が不正確だったり無効だったりする可能性があると認めている。AIの鬼の視点で言えば、これは「早く見つける」と「正しく見つける」を天秤にかけた仕様である。AIが大量に出す脆弱性報告を、保守担当者が一件ずつ確かめなければならない。記事によれば、5月にはLinuxのほぼ全ディストリビューションに影響した「Copy Fail」バグのように、AIツールが重大な欠陥を見つけた例もある。一方で、Linus Torvalds氏やGoogleまでもが、AI生成のバグ報告の急増に苦しんでいると伝えられている。見つける力は増えたが、確かめる力は増えていない。その非対称こそが、この話の本当の問題だ。 中小企業の実務に置き換えるなら、自社で使っているオープンソースソフトに脆弱性の通知が来たとき、そのまま鵜呑みにして作業を始めないことだ。通知の内容を提供元の公式情報と照合し、自社の使い方に影響するかどうかを担当者が一度確認する。報告が速く届く時代には、速さに合わせて慌てて動くのではなく、確認の手順を先に決めておくことが身を守ることになる。