AnthropicのOSS Scannerとは。無料で脆弱性を探すAIと、人が確認する役割

Anthropicが、オープンソースの開発者に向けて「OSS Scanner」を発表しました。AIでコードの脆弱性を探し、その結果を開発者へ届ける無料サービスです。コードを書く用途に加え、長く使われるソフトウェアを守る側でもAIを役立てる取り組みです。

届くのはAIによる検査報告です。Anthropicの人間が確認・分類した報告ではなく、受け取った開発者による確認が必要です。

希望するプロジェクトを定期的に検査

サービスは参加を希望する開発者が申し込み、対象に選ばれたオープンソースのプロジェクトを定期的に調べます。AnthropicはClaude Mythosを含む高性能なモデルを使うと説明しています。申し込んだすべてのプロジェクトが必ず利用できるという案内ではありません。

見つけた問題の報告を早く受け取りたい開発者に、AIの出力を直接届ける方式です。人が確認した脆弱性を関係者へ伝える従来の取り組みとは、別に用意されています。

2万9,000件は「候補」。修正済みの件数ではない

Anthropicは、この6カ月に2万9,000件を超える脆弱性の候補を見つけた一方、人が確認や優先順位付けを行ったのは約6,000件だと説明しました。この差は、AIが探す速さに、人による精査が追い付かない状況を示しています。

数字は同社のこれまでの活動全体についての説明です。新サービスが既に2万9,000件の欠陥を修正したという実績ではありません。

早く知れる利点と、確かめる作業

人の確認を待たずに情報が届けば、開発者が問題に取り組める時期を早められます。その一方で、本当に再現するのか、どの条件で影響するのか、何から直すべきかを調べる作業は残ります。

報告を受け取っただけで、修正や安全の保証まで済むわけではありません。AIを防御に使う価値は、候補を見つける力と、開発者が確かめて改善につなげる力を組み合わせるところにあります。