Anthropic、OSS向け無料脆弱性スキャンを開始

Anthropicは、オープンソースソフトウェア（OSS）プロジェクトを対象とした無料のセキュリティスキャンサービス「OSS Scanner」を開始した。このサービスはオプトイン形式、つまり希望するプロジェクトの管理者が自ら申し込む仕組みで提供される。登録した管理者のもとには、定期的にセキュリティレポートが届く。

レポートの生成には、Anthropicが開発する自社モデルの中でも最高水準のもの（Claude Mythosを含む）が使われる。ただし、レポートは人間のスタッフによるチェックを経ずに送付される点が特徴的だ。管理者自身がその内容を検証し、提案された修正のうちどれを採用するかを判断する形になる。

オープンソースとは、ソースコード（プログラムの設計図）を誰でも閲覧・利用・改変できる形で公開するソフトウェアのことだ。現代のデジタルインフラの多くはOSSをベースに構築されており、銀行や医療、行政のシステムにも広く使われている。一方でその普及ゆえに、脆弱性（セキュリティ上の欠陥）が見つかった場合の影響範囲も広くなりやすいという側面がある。

OSSのセキュリティ管理は、従来から課題の多い分野だ。多くのプロジェクトはボランティアや少人数のチームによって維持されており、専任のセキュリティ担当者を置く余裕がないケースも少なくない。このような環境では、脆弱性の発見が遅れたり、修正が後回しになったりするリスクが高まる。

今回のOSS Scannerは、そうした構造的な問題に対してAIを活用する試みと見ることができる。無料で提供される点は、リソースの限られたプロジェクトにとって特に意義が大きい。一方で、AIが出力したレポートの精度や誤検知（本来は問題のない箇所を脆弱性と誤って指摘すること）への対応は、最終的に管理者に委ねられる設計となっている。

AIを使ったセキュリティスキャンは技術的には有望な手法として知られるが、その出力をそのまま信頼するのではなく、管理者がきちんと確認する仕組みにした点は、安全性への一定の配慮とも読める。オプトイン方式を採用していることも、参加の主導権をプロジェクト側に残す設計といえる。

AnthropicはAI安全性の研究を中心に置く企業として知られており、今回の取り組みはその姿勢と一致したものと位置づけられる。AIモデルそのものの安全性を研究するだけでなく、AIをツールとして社会のセキュリティ課題に活用する動きが広がりつつある中で、今後この種のサービスがどこまで実用的な効果をあげるか、OSS開発コミュニティの反応が注目されるところだ。