Anthropicの「Cyber Mission」はなぜ11社と手を組んだのか。電力・水道を守るCIDPと無料脆弱性スキャナーの中身を確かめる

まず初めに

「無料でバグを探してくれるAI」と聞くと天使のような話に聞こえるが、その報告書は人間のチェックを経ずに直接メンテナの元へ届く、といういかにもAI企業らしい一文がさらっと混ざっている。ただし、OSS Scannerの真陽性率90%超は見込みであり、「10件に1件が誤報だった」という実測ではない。重要インフラ向けのCIDPに、その数字や無人送付の仕組みをそのまま当てはめることもできない。無料の報告書でも、確認の仕事まで無料で片付くわけではない。※個人の感想です

何が起きているのか

Anthropicは2026年10月8日、公式ニュースページで、防御側のサイバーセキュリティを支援する長期的な取り組み「Cyber Mission」を発表しました。発表では「誰もが依存しているシステムを守るための長期的な取り組み」と位置づけられており、当面は2つの柱で構成されるとしています。

1つめの柱は、重要インフラ向けの「Critical Infrastructure Defense Program(CIDP)」です。対象は、電力網・水道システム・交通網・政府システムを支える制御技術(OT、Operational Technology)で、Anthropicはこのプログラムで、運用者が既に信頼している事業者を支援するとしています。創設パートナーとして、Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationの11社が参加を表明しました。発表によると、各パートナーには、最先端のClaudeモデル・現場エンジニア・Anthropicの脅威リサーチが提供され、すでに一部のパートナーがClaudeを使って脆弱性の修正に取り組んでいるとしています。まずは少数の事業者からなる小規模なグループで始め、有効な手法を見極めるとしています。

2つめの柱は、オープンソースソフトウェア向けの無料脆弱性スキャナー「OSS Scanner」です。Googleの「OSS-Fuzz」(オープンソースソフトウェアを自動的に検査する既存の仕組み)を参考にしたとされ、対象条件を満たして参加したプロジェクトに対して、Anthropicの最も高性能なモデルが定期的なスキャンを無料で行います。インフラや利用者の安全に重大な影響を持つプロジェクトかどうかなどを、個別に判断するとしています。報告を継続して確認・対応できるプロジェクト向けで、登録だけで無料利用が保証されるものではありません。報告書には、実際に問題を再現する手順(PoC、概念実証)、説明、可能であれば修正案が含まれるとしています。発表では、この報告は「モデルが生成し、人間のレビューを経ずに送付される」ため速く届く一方、深刻度の判定を誤るなど、不正確な内容が混ざる可能性があるとも明記されています。Anthropicは真陽性率(報告のうち実際に問題がある割合)が90%を超えることを見込んでおり、今後さらに精度を上げていく方針としています。これは期待する精度で、誤報率の実測結果ではありません。不正確な報告や深刻度の誤判定はあり得るため、受け手が検証する必要があります。この精度見込みと送付前の人間レビュー省略はOSS Scannerの説明であり、CIDPの性能や報告工程を示すものではありません。人手で検証済みの報告を必要とするプロジェクトには、従来通りAnthropicの協調的脆弱性開示(問題を公表前に開発者へ伝え、修正後に公開する仕組み)の対象として扱うとしています。

この取り組みを支える資金として、8月に開始した「Defender Advantage Fund(0xDAF)」が挙げられており、OSS Scannerを無料で提供し続けるための原資になっているとしています。また、Python Software Foundation、Alpha-Omega、OpenSSF(Linux Foundation経由)、Apache Software Foundationへの資金提供も行っているとしています。

Anthropicは、6月に州・地方・部族・準州政府向けのサイバー防御プログラムを既に開始しており、米国の「半数を超える州」にフロンティアClaudeモデルと技術支援を提供してきたとしています。今回のCyber Missionは、こうした既存の取り組み全体を束ねる新しい枠組みという位置づけです。

なぜ重要なのか

今回の発表が注目される理由は、対象が電力網・水道・交通網といった、生活に直結する重要インフラの「制御システム」である点です。これらのシステムは一般的なIT機器と異なり、長期間稼働し続けることが前提で、脆弱性が見つかっても即座に更新・停止できない制約があります。そのため、サイバー攻撃を受けた場合の影響が、企業の情報漏洩以上に深刻な結果(停電・断水・交通の停止など)につながる可能性があります。11社という大手セキュリティ企業・コンサルティング企業の参加は、AIを使った防御的なセキュリティ対応が、実証段階から実運用の検討段階に進んでいることを示しています。

もう一つの重要な点は、OSS Scannerが「人間レビューなしで報告書を送る」という設計を明確に採用したことです。報告前の人間による確認を省くことで速く届ける一方、受け手が内容を検証する工程は残ります。Anthropicは、報告への対応能力があるプロジェクト向けのサービスと位置づけ、それ以外には人手で検証済みの協調的脆弱性開示を続けると説明しています。真陽性率90%超という見込みを、確認を省いてよいという保証として読むことはできません。

私たちへの影響

一般の消費者が、CIDPやOSS Scannerを直接利用する場面はありません。ただ、電力・水道・交通といった社会基盤を支えるシステムの防御力が強化されることは、間接的に私たちの生活の安定につながります。普段使っている電力会社や水道事業者、通っている交通機関が、将来的にこうした取り組みに参加する可能性もあります。

オープンソースソフトウェアの開発・保守に携わっている方にとっては、重要なプロジェクトとして条件を満たし、報告を確認・対応できる場合、OSS Scannerへ参加を申請する選択肢が増えたことになります。オプトイン(希望する場合のみ参加する仕組み)ですが、対象になるかは個別に判断されます。一方で、報告書は人間の検証を経ていないため、受け取った側が内容を自分で確認・判断する作業が必要になる点は意識しておく必要があります。

初心者が知っておくべきこと

「ファジングふぁじんぐ」とは、ソフトウェアにランダムな、または想定外のデータを大量に入力し、異常終了や想定外の動作を引き起こす箇所を見つけ出す、脆弱性調査の手法の一つです。OSS Scannerが参考にしたとされるGoogleの「OSS-Fuzz」は、この手法を自動化し、オープンソースプロジェクトに無料で提供する既存の仕組みで、長年オープンソースの安全性向上に使われてきました。

「制御技術(OT、Operational Technology)」とは、工場の生産設備や、電力・水道・交通などの社会基盤を実際に動かす機器やシステムを制御する技術のことです。オフィスで使うパソコンやサーバーを対象とする一般的な「IT」とは区別され、停止すると社会生活に直接影響する点が特徴です。

Q. 自分が使っているソフトウェアの開発元がOSS Scannerに登録しているか知るには? A. 出典で確認できた範囲では、OSS Scannerは対象条件を満たすプロジェクトの中心的なメンテナが、公式資料で案内されたGitHubリポジトリへプロジェクト用のテンプレートに沿ってPRを出す「オプトイン」方式です。対象になるかは個別に判断され、申請だけで利用が保証されるわけではありません。利用しているソフトウェアが対応しているかどうかは、各プロジェクトの公式な発表やリリースノートを確認するのが確実です。

IT Postの見方――「無料」の二文字には、たいてい理由がある

IT Postは、重要インフラの防御力強化や、資金力の乏しいオープンソースプロジェクトへの無料の脆弱性スキャン提供という方向性自体は、素直に歓迎したい取り組みだと考える。特に、Python Software FoundationやApache Software Foundationのような非営利団体への資金提供を伴っている点は評価できる。

ただ、IT Postでは、CIDPの重要インフラ支援と、OSS Scannerの送付前レビューを省いた報告は、別の仕組みとして読む必要があると考える。真陽性率90%超という見込みから、一定割合の誤報が実際に出たとは言えない。それでも、対応能力のあるメンテナ向けという条件が付く以上、「AIが言うなら」と報告を鵜呑みにしてよい話ではない。無料でもらえるものには、たいてい「自分で検証する」という名の対価が付いてくる――そのことを忘れずにいたい。※個人の感想です

今後どうなりそうか

Anthropicは、CIDPについてはまず少数の事業者からなる小規模なグループで運用し、有効な手法を見極めてから対象を広げる方針を示しています。OSS Scannerについても、対象プロジェクトを増やしながら、トリアージ(優先度判定)や修正提案の自動化、より安全な設計・開発手法の普及に取り組むとしています。IT Postでは、CIDPの参加事業者の拡大や、OSS Scannerの実績が明らかになり次第、改めて取り上げます。