Anthropic、オープンソース向け無料AIセキュリティスキャン「OSS Scanner」を開始。Claude Mythos等で脆弱性を自動検出

AIがオープンソースの脆弱性を無償でスキャンする新サービス

AIスタートアップのAnthropicは、オープンソースプロジェクトを対象とした無料のAIセキュリティスキャンサービス「OSS Scanner」の提供を開始しました。このサービスは、インフラやユーザーのセキュリティに重大な影響を与える重要なオープンソースソフトウェア（OSS）の脆弱性を、AIモデルを用いて自動的に検出・監査することを目的としています。

現代のデジタル社会において、オープンソースソフトウェアはあらゆるシステムの基盤となっています。しかし、そのセキュリティ対策は有志のメンテナーに依存していることが多く、脆弱性の発見や修正が遅れることが大きな課題となっていました。Anthropicが提供を開始した「OSS Scanner」は、最先端のAI技術を活用してこの課題にアプローチする試みです。

「OSS Scanner」の概要と対象プロジェクト

「OSS Scanner」は、すべてのオープンソースプロジェクトが無条件で利用できるわけではありません。本サービスは、インフラやユーザーのセキュリティに重大な影響を与えるオープンソースプロジェクトを対象としており、利用の可否は個別に判断されます。

利用を希望するプロジェクトの主要メンテナーは、GitHubのリポジトリに対して、所定のテンプレートに従ってプルリクエストを送信することで申請を行うことができます。申請が承認されると、プロジェクトのコードベースに対する定期的なセキュリティ監査が無料で実行される仕組みです。

「Claude Mythos」などの最先端AIモデルが監査を実行

OSS Scannerの最大の特徴は、その監査プロセスにあります。本サービスでは、Anthropicの「Claude Mythosを含む最も高性能なモデル」が使用され、コードの脆弱性をスキャンします。これにより、高度なパターン認識とコード理解に基づいたセキュリティ監査が可能になるとされています。

一方で、このサービスには運用上の重要な特徴があります。スキャンはすべてAIモデルによって行われ、人間によるレビューやトリアージ（優先順位付けや有効性の検証）は一切行われません。完全自動化されたプロセスによって監査が実行されます。

完全自動化に伴う注意点と開発者への影響

人間による介在がない完全自動化スキャンは、迅速な監査を可能にする一方で、利用にあたっては注意が必要です。人間によるレビューやトリアージが一切行われないため、AIモデルが出力した報告に誤りがあったり有効でなかったりする可能性があるため注意が必要です。

そのため、OSS Scannerを利用する開発者やメンテナーは、AIから提示された脆弱性レポートを鵜呑みにせず、自らその妥当性を検証する必要があります。しかし、これまで手動で行うには膨大な時間がかかっていたコードの脆弱性発見において、AIが「一次スクリーニング」の役割を果たすことは、リソースの限られたオープンソースプロジェクトにとって強力な支援となるでしょう。

まとめ：AIによるオープンソースエコシステムの保護に向けて

Anthropicの「OSS Scanner」は、最先端AIモデル「Claude Mythos」などを活用し、重要なオープンソースプロジェクトのセキュリティ向上を目指す先進的な取り組みです。人間によるレビューがないための誤検知のリスクは存在するものの、重要なインフラを支えるOSSの安全性を高めるための新たな選択肢として、今後の活用が期待されます。対象となるプロジェクトのメンテナーは、GitHubからの申請を検討してみてはいかがでしょうか。