Anthropic、AI「Claude」によるソフトウェア攻撃対象領域（アタックサーフェス）の削減研究を公開　OpenSSHの改善にも貢献

1. 結論：AI「Claude」がソフトウェアのアタックサーフェス削減に貢献

米Anthropicは10月20日（現地時間）、同社のAIモデル「Claude」を活用してソフトウェアの攻撃対象領域（アタックサーフェス）を分析し、縮小する研究の初期結果を公開しました。

本研究では、オープンソースソフトウェアの膨大なコードを分析し、合計493件の問題を発見。さらに、インフラの要である「OpenSSH」における潜在的なセキュリティリスクの特定と対策の反映にまで成果を広げています。

2. 発表の概要：アタックサーフェス縮小に向けたClaudeの解析手腕

アタックサーフェス（攻撃対象領域）とは、悪意ある第三者が攻撃を試みる可能性があるプログラムのすべての接点や機能、設定項目などを指します。ソフトウェアの機能が複雑化するにつれてアタックサーフェスは拡大し、手動での網羅的な確認が難しくなる課題がありました。

Anthropicの研究チームは、Claudeを活用して多言語で書かれた大規模プロジェクトを走査し、潜在的な脆弱性の起点となり得る設計上の課題や不必要な露出を自動的に検出・評価する実験を行いました。

3. 確認済みの具体情報：25プロジェクト・500万行超の解析成果

今回の研究における具体的な確認済み情報は以下の通りです。

解析対象と検出実績

研究チームは、C、C++、Java、PHP、Pythonなどで書かれたオープンソースプロジェクト25件（計500万行超）を対象にClaudeで分析を行いました。

設定項目の洗い出し：各プロジェクトから1万7000以上の設定項目を洗い出し、そのうち3842項目がセキュリティに関わるものでした。
検出された問題数：分析の結果、合計493件の問題を発見しました。

分析における3つの評価観点

Claudeを用いた分析では、主に以下の3つの観点からアタックサーフェスの検証が行われました。

初期設定のまま不要なコードに外部から届かないか：デフォルトの状態で、本来外部に露出する必要のない機能やコードへアクセス可能になっていないか。
組み合わせると問題を起こす設定がないか：単体では正常でも、特定の組み合わせによって意図しない挙動や不具合を招く設定が存在しないか。
認証などのチェックより前に複雑な処理が動いていないか：安全性が確認される前の段階で、処理負荷の高い処理や複雑なロジックが実行される構造になっていないか。

OpenSSHにおける検出と修正貢献の事例

具体的な成果の一例として、多くのシステムで使われる「OpenSSH」での発見が挙げられます。

OpenSSHのバージョン10.4では、耐量子計算機暗号の署名方式「ML-DSA-44」の実験的なコード約4500行に認証前のクライアントが到達できる状態になっていました。

AnthropicはOpenSSHの開発者に修正案とともに報告し、バージョン10.5や10.6で対策が反映されました。

4. なぜ重要か：セキュリティ検証におけるAI活用の新たな道筋

今回の取り組みが重要な理由は、AIを用いたセキュリティ対策が「既知の脆弱性の発見」にとどまらず、「攻撃され得る領域そのものを事前に絞り込む（アタックサーフェスの縮小）」という予防的アプローチで実績を示した点にあります。

数百万行に及ぶソースコードや膨大な設定項目を手作業で全件点検することは極めて困難ですが、AIを組み合わせることで、開発者が気づきにくい盲点や複雑な構造上のリスクを効率的に発見・是正できる可能性が示されました。

5. 利用者・開発者・企業への影響

本研究の結果は、ソフトウェア開発者やシステム管理者にとって次のような実用上の意味を持ちます。

オープンソースソフトウェアの安全性向上：OpenSSHのような基礎的インフラソフトが迅速に修正されたことで、それらを利用する多くのシステムやサービス全体のセキュリティレベル向上に貢献します。
開発・コードレビュープロセスの変化：AIを活用して不要なコード到達パスや不適切な設定構成を可視化する手法が確立されれば、今後のソフトウェア設計やレビュー作業の精度向上につながります。

6. 未確定点

今回の発表は研究の初期結果の公開であり、Anthropicが開発・提供するセキュリティ分析ツールの具体形や、企業・開発者向けの一般的な提供範囲・ツール化の予定などについての詳細情報は現時点で確認されていません。

7. まとめ

AnthropicのAI「Claude」を用いた分析研究は、500万行を超えるコードから493件の問題を見つけ出し、OpenSSHにおける認証前コード到達リスクの解消へ繋がりました。「不必要なコード露出の防止」「危険な設定組み合わせの回避」「認証前処理の最適化」という観点からの解析は、今後のセキュアなソフトウェア開発においてAIが大きな役割を果たし得ることを示しています。