Anthropicは2026年10月8日、電力・水道・交通などの重要インフラと、オープンソースソフトウェアを守る「Anthropic Cyber Mission」を発表しました。高性能なClaudeに加え、技術者や研究成果を防御側に提供し、弱点の発見から修正までを支援する取り組みです。

同時に、重要インフラ向けの支援プログラムと、対象のオープンソースを無料で定期検査する「OSS Scanner」を開始しました。

弱点を見つけても、修正が追いつかない

今回の背景には、AIによってソフトウェアの弱点を見つけやすくなる一方、確認や修正には人手と時間がかかるという問題があります。

Anthropicによると、過去6か月の調査で見つかった脆弱性、つまり攻撃に悪用される可能性のある弱点の候補は2万9,000件以上です。しかし、人が確認し、対応の優先順位を判断できたのは約6,000件でした。候補すべてが、本物の脆弱性と確認されたわけではありません。

攻撃側もAIを使えるため、発見能力だけを高めても安全性は十分に改善しません。今回の構想は、発見した問題を防御側が受け取り、実際に直すまでの負担を減らすことを目指しています。

電力や水道を、現場の専門家と守る

重要インフラ向けには「Critical Infrastructure Defense Program」を立ち上げました。設備を守る企業に、先端のClaudeモデル、現地で支援する技術者、脅威に関する研究を提供します。

参加企業は日立、Accenture、CrowdStrike、Dragos、Palo Alto Networks、Rockwell Automationなど11社です。セキュリティ企業だけでなく、設備メーカーや導入支援企業も参加します。

発電所や工場には、機械を動かす制御システム「OT」があります。こうした設備は簡単に停止できず、修正にも動作や安全性の確認が必要です。そこで、設備を理解する専門家とAIを組み合わせ、現場で実行できる対策を探ります。

もう一つの柱が「OSS Scanner」です。参加したオープンソースプロジェクトを、Claude Mythosを含むAnthropicの高性能モデルが定期的に検査します。

報告には、問題の説明に加え、弱点を再現するためのコードや手順、用意できる場合は修正案が含まれます。開発者が問題を確認し、修正に取りかかりやすくする仕組みです。

特徴は、AIが作った報告を人の事前確認なしで届けることです。報告を早く受け取れる一方、誤検知や危険度の過大評価が含まれる可能性があり、受け取る側での検証が必要になります。

Anthropicは初期版の検証として、48プロジェクトにわたる重大・高リスクな報告97件を、専門のセキュリティ検証者に確認してもらいました。

その結果、85件、約88％が同社の正式な脆弱性報告の基準を満たしました。残る12件のうち11件は実在する問題でしたが既知の問題などと重複しており、1件が誤検知でした。

これは、選ばれた報告の妥当性を調べた結果です。「ソフトウェアにある弱点の88％を発見できる」という意味ではなく、あらゆるプロジェクトで同じ精度になることを保証する数字でもありません。

OSS Scannerは無料ですが、すべての公開コードが自動的に対象になるわけではありません。インフラや利用者の安全に大きく関わるプロジェクトを中心に、個別に参加を判断します。

申し込みは、プロジェクトの主要な管理者が、Anthropicの公式GitHubリポジトリに登録用の変更提案を送る形です。検査対象、連絡先、ソフトウェアを構築するための環境などを指定し、管理者本人であることの確認を受けます。

参加後は検査結果がメールで届き、その後も定期的な検査が行われます。頻度は参加プロジェクト数や利用規模などによって変わり、報告の受け取りを停止することもできます。

重要インフラ向けプログラムでは、すでに複数の参加企業がClaudeを使った修正作業に取り組んでいます。OSS Scannerも発表時点で参加申し込みを受け付けています。

今後は参加企業や対象分野を増やし、オープンソースの報告整理や修正の自動化、安全性を高める設計手法の研究にも取り組む予定です。AIの報告を大量に受け取る体制がないプロジェクトには、従来どおり人が確認した脆弱性報告を届ける方針です。