Anthropic OSS Scannerは無料だが、トリアージはメンテナーに引き継がれる

Anthropicは10月8日、対象となるオープンソースプロジェクトに対し、定期的なAIセキュリティスキャンを無償で提供するOSS Scannerを開始した。このサービスは人手によるレビューを経ずに検出結果を直接メンテナーへ送信するため、明確なトレードオフが生じる。脆弱性の発見は高速化される一方、検証と修正は引き続き人間の手に委ねられる。

Anthropic OSS Scannerは、あらゆるリポジトリを対象とする公開スキャナーではなく、オプトイン方式のサービスだ。コアメンテナーが申請し、Anthropicがプロジェクトごとに評価する。承認されたプロジェクトには、モデルが生成できる場合、エクスプロイトの再現コード、技術的な説明、推奨修正案を含むレポートが提供される。

この取り組みは、Anthropicが自社のセキュリティレビュアーが処理できる量を大幅に上回る潜在的脆弱性を発見した後に始まった。また、Googleが長年運用してきたOSS-Fuzzプログラムや、OpenAIによるエージェント型コードセキュリティへの参入に続く動きでもある。競争はもはやバグを見つけることだけに限られない。より難しい争点は、メンテナーを圧倒することなく、モデルの出力を信頼できる実運用可能な修正へと変えられるかどうかだ。

Anthropic OSS Scannerが実際に変えること

Anthropicは、未レビューのモデル検出結果を、明示的に受け取りを希望したオープンソースメンテナーのワークフローへ移そうとしている。

Anthropicのオプトインスキャナーによると、登録プロジェクトには利用可能な最も強力なモデルによる定期スキャンが提供される。Anthropicは、レポート生成に使われるモデルの一つとしてClaude Mythosを具体的に挙げている。

各レポートには、疑わしい欠陥を再現するコードまたは手順である、自己完結型の再現手段が含まれる場合がある。レポートには、説明、バグが発生した時期に関する履歴ベースの推定、候補パッチも含まれ得る。

この一式が重要なのは、単なる警告では価値を生む前に作業を発生させるためだ。メンテナーは関連コードを特定し、挙動を再現し、深刻度を判断し、安全な修正を設計しなければならない。信頼できる再現手段と実用的なパッチがあれば、これらの手順のいくつかを短縮できる。

Anthropicによると、同社は初期版を数十のオープンソースプロジェクトでテストした。テストでは数百件のレポートが生成され、その中には研究者が認証不要のリモートコード実行チェーンへ組み合わせた脆弱性も含まれていた。このようなチェーンにより、攻撃者は影響を受けるシステムへ最初にログインすることなくコードを実行できる。

同社はまた、48プロジェクトにまたがる、重大または高深刻度と評価された97件の検出結果を対象とする検証サンプルを公開した。独立したペネトレーションテスターは、そのうち85件がAnthropicの協調的開示基準を満たすと判断した。

残る12件について、Anthropicは11件が既知の問題や他のスキャン結果と重複した実在のバグだったと述べた。1件は無効と判断された。これらの数値は、選別された高深刻度サンプルを示すものであり、将来のすべてのレポートの精度を示すものではない。

Anthropicは別途、実運用サービスでは90％を超える真陽性率を見込んでいるとしている。この予測はあくまで同社の見積もりだ。プロジェクト、プログラミング言語、深刻度レベルをまたぐ独立して確立された精度指標として扱うべきではない。

登録対象の境界も同様に重要だ。OSS Scannerは、インフラストラクチャまたはユーザーセキュリティに重大な影響を与えるプロジェクトを対象としている。AnthropicはGoogleのOSS-Fuzzが適用するものに似た基準を用い、その後にケースごとのレビューを行うとしている。

つまり、このサービスは普遍的ではなく選択的だ。人気のある趣味のリポジトリが自動的に対象となるわけではない一方、他のシステムが依存しているために、目立たないライブラリが対象となる場合もある。

コアメンテナーはAnthropicの公開リポジトリへのプルリクエストを通じて登録する。この要件により同意が明確になり、プロジェクトチームは定期的に届く検出結果を扱えるかを評価できる。

Anthropicは、その能力を欠くプロジェクトに対しては人手でレビューした開示プロセスを維持する計画だ。これにより二つの経路が生まれる。準備が整ったチームはより速い未加工の出力を受け取り、制約のあるチームには専門家レビューを経た、より遅い検出結果が引き続き提供される。

この区別により、「無料スキャン」が無差別な配信を意味することを防いでいる。また、実際に提供されている製品も明らかになる。Anthropicはセキュリティレビューのワークフローをなくすのではない。能力のあるプロジェクトに、そのワークフローの入口への早期アクセスを提供しているのだ。

AIによる脆弱性発見は人間のレビュー能力を上回った

このスキャナーが存在するのは、Anthropicが候補脆弱性を、専門家が検証、開示、修正できる速度よりも速く生成できるためだ。

Anthropicによると、同社のモデルは6カ月間のスキャンで29,000件を超える候補脆弱性を発見した。サービス発表時点で、人間のレビュアーが手作業で評価したのは約6,000件だった。

同社によれば、メンテナーはすでに約5,000件のレポートを一括で要請していた。Anthropicの完全なレビュープロセスを待つこと自体がセキュリティリスクになるため、これらのチームは未検証の検出結果を受け入れた。

この数字は、拡大する生産能力の不均衡を示している。モデルは多数のコードパスを並行して調べられるが、信頼に足るレポートはすべて人間のシステムに入る。誰かが欠陥を再現し、重複を排除し、実環境での露出を評価し、開示を調整し、修正をマージし、アップデートを配布しなければならない。

Anthropicの以前のGlasswingの結果は、同じ不均衡をより大規模に示した。同社はMythos Previewを用いて1,000を超えるオープンソースプロジェクトをスキャンしたと報告している。

モデルは、合計23,019件の検出結果のうち6,202件を高または重大な深刻度と分類した。独立したセキュリティ企業またはAnthropicのレビュアーは、高深刻度グループのうち1,752件を評価した。

レビュー済みの検出結果のうち1,587件は有効であり、その評価サンプル内で90.6％の真陽性率となった。ただし、高または重大という評価が確認されたまま残ったのは1,094件にとどまった。

この違いは極めて重要だ。モデルは実在するソフトウェア欠陥を見つけられても、そのセキュリティ上の影響を過大評価する場合がある。深刻度は、デプロイ環境、到達可能なコードパス、認証要件、既存の緩和策、悪用時の結果に左右される。

Anthropicは、一部のメンテナーが評価が過大だと感じたことを認めた。また、スキャナーがプロジェクトの脅威モデル、つまり攻撃者、資産、信頼境界に関する前提を誤解していたと述べた人もいた。

優先順位を誤った有効なバグであっても、貴重な時間を浪費し得る。メンテナーは、より深刻ではない脆弱性が露出したままの間に、起こりにくい問題の修正を急ぐかもしれない。また、モデル生成の緊急事態を調査するために、通常の信頼性向上作業を遅らせる可能性もある。

Project Glasswingは別の示唆的な指標も報告した。Anthropicによると、確認された高または重大な脆弱性の修正には平均で約2週間を要した。

この遅れは主に探索の問題ではなかった。挙動の検証、修正の設計、互換性テスト、リリースの調整、依存ユーザーへの通知に必要な時間を反映していた。OSS Scannerが加速するのは、その連鎖の一部に限られる。

オープンソースソフトウェアでは、不可欠なライブラリが少人数のチームに依存することが多いため、こうした制約が増幅される。あるプロジェクトが数千の商用製品に組み込まれていても、イシュートリアージやリリースをボランティアに頼っている場合がある。

したがって、セキュリティレポートは通常の保守、ユーザーサポート、ドキュメント、互換性対応と競合する。検出結果を増やすことはセキュリティ向上につながり得るが、それは受け取るプロジェクトがレポートをパッチへ変えるのに十分な注意力を持つ場合に限られる。

Anthropicは、対応できるチームにこの高速経路のサービスを明示的に限定している。この制限は管理上の注記ではない。高速化された発見が自動化されたバックログ生成装置になることを防ぐ設計上の選択だ。

このローンチは、重要インフラも対象とするAnthropicの広範なCyber Missionの一環だ。同社は、高性能なモデルが、防御プロセスが同等に拡張される前に攻撃者の手に渡りつつあると主張している。

この主張は、不完全なレポートがあってもAnthropicが速度を重視する理由を説明する。レビューキューで待機する脆弱性は、攻撃者が独自に見つけられる状態のままだ。迅速な開示は、準備が整ったメンテナーにその窓を閉じるための時間をより多く与える。

しかし、速度は責任も移転する。未加工のレポートがAnthropicのシステムを離れても、同社の内部レビューのボトルネックが消えるわけではない。それは、より速いチャネルを選ぶメンテナーへ移る。

Anthropic OSS Scannerは網羅性だけでなくコンテキストで競う

重要な比較はAIと従来のスキャナーの対比ではない。確立されたテストとレビューメソッドに、モデルベースの推論を組み合わせることだ。

Anthropicによると、OSS Scannerは2016年に運用を開始したGoogleのOSS-Fuzzに着想を得たものだ。OSS-Fuzzは、さまざまな入力や不正な形式の入力をソフトウェアに与えてクラッシュや予期しない挙動を引き起こす、継続的ファジングという手法を用いる。

Googleは継続的ファジングを、大規模かつ反復的な実行を通じてプログラミングエラーを発見する方法として説明している。これは広く利用されるオープンソースプロジェクトにとって、確立されたインフラとなっている。

ファジングは、システムが失敗を自動認識できる場合に優れている。クラッシュ、メモリ違反、アサーション失敗は具体的な証拠となる。エンジニアはその後、問題を引き起こす入力を最小化し、欠陥のあるコードを追跡できる。

言語モデル型のスキャナーは異なる経路を取る。ソースファイルを横断して推論し、信頼境界を推定し、権限ロジックを調べ、攻撃シーケンスを提案できる。このより広いコンテキストにより、直ちにクラッシュを引き起こさない欠陥を見つけられる場合がある。

Anthropicは、会議管理システムであるHotCRPを例に挙げた。そのメンテナーは、レポートがプロジェクトの複雑な権限モデルを理解していることを示していたと述べた。この種のロジックは、ランダムな入力だけでテストするのが難しい。

OpenSSL CorporationのAnton Arapovも、最近のレポートを約18カ月前に受け取った低品質なAI投稿と対比した。Anthropicの未加工の出力は、人間からのレポートに匹敵する、あるいはそれを上回る場合もあったと彼は述べた。

wolfSSLについて、Anthropicは配信した74件の検出結果のうち72件が有効だったと報告した。そのうち5件はCommon Vulnerabilities and Exposuresのレコードとなり、公に追跡されるセキュリティ上の欠陥に標準化された識別子を提供している。

これらの証言は、メンテナーが未加工のモデル出力を受け入れる理由を示している。動作するエクスプロイトを備えたレポートは迅速に検証できる。ほぼそのまま使えるパッチも、確認から修正までの時間を短縮できる。

ただし、それらはオープンソースエコシステム全体で同等の性能を立証するものではない。PostgreSQL、OpenSSL、wolfSSL、HotCRPはいずれも、経験豊富なメンテナーを擁する成熟したプロジェクトだ。各チームには、テストや機微なセキュリティレポートを扱うプロセスがある。

競争領域も急速に動いている。OpenAIは、リポジトリを分析する前にプロジェクト固有の脅威モデルを構築するアプリケーションセキュリティエージェントとしてCodex Securityを導入した。

OpenAIによると、そのベータシステムは30日間で120万件を超えるコミットをスキャンした。外部リポジトリ全体で、重大な検出結果792件と高深刻度の検出結果10,561件を報告した。

これらの数値はOpenAIの分類とテスト対象に基づくため、Anthropicの結果と直接比較することはできない。両社では、深刻度、検証、リポジトリ選定の定義が異なる可能性がある。

それでも、両製品は同じ戦略的転換を反映している。フロンティアモデルの提供企業は、脆弱性を特定する前に、システムがアプリケーションを理解できるようにすることをますます重視している。競争の焦点は、コンテキスト、検証、修正支援、ワークフロー統合に移っている。

Anthropicの差別化要因は、選定されたオープンソースメンテナー向けに、無料かつ継続的なファストトラックを提供することだ。Claude Securityは組織利用向けの汎用コードスキャン製品として位置づけられ、OSS Scannerは条件を満たす公開プロジェクトに最も強力なモデルを振り向ける。

このサービスは、ファザー、静的解析、依存関係スキャン、コードレビュー、ペネトレーションテストに取って代わるものではない。Anthropic自身も人による検証を推奨しており、レポートがプロジェクトの運用前提を誤解する可能性もある。

より現実的なセキュリティスタックは、これらの手法を組み合わせるものだ。従来のツールは、既知の欠陥パターンや実行時障害を継続的に検出できる。モデルは、より広範な推論を要する関係性を調査できる。最終的に、その仮説が現実と一致するかどうかを判断するのは人間のレビュー担当者だ。

こうした多層的なアプローチは、モデルリスクの抑制にもつながる。再現可能な証拠を欠く指摘は、その説明がもっともらしく聞こえるというだけで、検証済みのクラッシュより優先されるべきではない。

したがって、勝つスキャナーは最も多くの問題を出力するシステムではない。メンテナーの注意を節約する以上に消費することなく、重大な脆弱性の解消を確実に支援できるシステムだ。

無料レポートが最も困難な作業をメンテナーに移す

OSS Scannerはモデルへのアクセスコストをなくすが、その指摘に対応するための労力、責任、運用リスクまではなくさない。

すべてのレポートは、Anthropicによる人手でのレビューやトリアージを経ずに届く。メンテナーは、その挙動が再現可能か、提案されたエクスプロイトが現実的な脅威を反映しているか、推奨パッチがリグレッションを生まないかを判断しなければならない。

特に候補パッチには慎重な扱いが求められる。セキュリティ修正は、パーサー、認証経路、メモリ処理、互換性の挙動を変更することが多い。ローカルでは正しい変更でも、下流ソフトウェアを壊したり、別の脆弱性を生んだりする可能性がある。

プロジェクトには保護された脆弱性開示チャネルも必要だ。修正がユーザーに届く前にエクスプロイトを公開すれば、影響を受けるライブラリに依存するシステムが危険にさらされる可能性がある。メンテナーがリリースとアドバイザリを調整している間、レポートは機密に保たれなければならない。

Anthropicの既存の協調的脆弱性開示プロセスも、ここで引き続き重要となる。このプロセスでは、新たに発見された脆弱性は通常、修正猶予期間の後に開示され、ユーザーに更新の時間を与える。

ファストトラックが変えるのは初期検証を誰が行うかであり、責任ある開示の必要性ではない。参加するメンテナーは、モデルが生成したエクスプロイトと、より広範なソフトウェアエコシステムの間に立つ最初の人間によるフィルターとなる。

重複の問題もある。Anthropicによる97件の指摘の検証サンプルには、既知のバグや他の指摘と重複する実在の問題が11件含まれていた。重複レポートも、メンテナーがそれを認識するまで注意を消費する。

リポジトリにはすでに、ノイズの多いAI生成の投稿が届いている。CurlのメンテナーであるDaniel Stenbergは、信頼できるセキュリティ研究を模倣しながら、確かな証拠を示さない低品質なレポートが急増していると記録している。

Anthropicは、こうした経緯への対応としてOSS Scannerを部分的に設計した。そのレポートには再現手順と説明が含まれ、アクセスも承認済みのプロジェクトに限定される。これらの選択により、匿名の自動投稿と比べてシグナルの質は改善するはずだ。

しかしAnthropicは依然として、メンテナーに非公開のスキャンパイプラインを信頼するよう求めている。同社は、サポート対象となるすべての言語、プロジェクト種別、重大度カテゴリを網羅する、完全で独立して再現可能な評価を公開していない。

このスキャナーは、コードをAnthropicのモデルとシステムに送信する。オープンソースコードは公開されているが、未リリースのブランチ、非公開のIssue議論、公開禁止期間中の修正には、依然として機密情報が含まれうる。メンテナーは関連ワークフローを接続する前に、明確な運用上の境界を設ける必要がある。

別のリスクは、エクスプロイトのデュアルユースに関するものだ。脆弱性を発見・再現できるモデルは、防御側にも攻撃側にも利用されうる。OSS Scannerは配布先を登録済みのコアメンテナーに限定しており、指摘への無差別なアクセスを減らしている。

より広範な能力を永遠に独占することはできない。Anthropicは、同程度の能力を持つモデルが広く利用可能になるとしている。競合他社はすでに、クラウドサービスやローカルのコマンドラインツールを通じて、コードセキュリティエージェントを利用可能にしている。

これは、発見と修正の競争を生む。攻撃者が、プロジェクトによる検証とパッチ展開の自動化より速く偵察を自動化すれば、指摘の増加が直ちにエコシステムの安全性向上につながるわけではない。

Anthropic自身のデータも、その隔たりを示している。Project Glasswingは数千件の潜在的脆弱性を特定していた一方、同社が最初の更新を公開した時点で、確認済みの修正に至ったものは一部にとどまっていた。

したがってメンテナーは、レポート量ではなく、完了した修正を測定すべきだ。有用な指標には、再現された指摘、受け入れられた重大度評価、マージ済みパッチ、リリースまでの時間、下流での採用、再オープンされたIssueが含まれる。

チームには明確な責任分担も必要だ。バックアップのレビュー担当者、開示調整、テスト、リリース管理の計画なしに、1人のメンテナーが大量の指摘を受け取るべきではない。

より大規模なプロジェクトでは、セキュリティレポートをインシデントや高リスクな変更と同じシステムに取り込める。エンジニアリングのナレッジベースは、レビュー担当者が変わっても脅威の前提、過去の判断、修正の証拠を維持できる。

小規模なプロジェクトは、より難しい選択に直面する。参加すれば、自力ではめったに資金を確保できない能力にアクセスできる。一方で、ボランティアが安全に処理できないキューを生む可能性もある。

プロジェクトに専任のセキュリティ対応能力がない場合、Anthropicの人によるレビューを経るルートの方が依然として適した選択肢だ。遅くても検証済みの開示の方が、すべての候補指摘に即時アクセスすることより価値をもたらす場合がある。

真の試験はパッチが追いつけるかどうかだ

Anthropic OSS Scannerの成否は、参加プロジェクトが危険なパッチを生んだりメンテナーを疲弊させたりせず、重大な脆弱性をより速く修正できるかにかかっている。

最初に注目すべきシグナルは、レポートから検証済み修正への転換率だ。AnthropicはProject Glasswingの下で、発見、レビュー、開示、パッチ適用された脆弱性の件数を公開している。同様の指標がOSS Scannerにも続くべきだ。

レポート件数の増加だけでは、モデルのスループットが増えたことしか示さない。検証済み指摘のうちリリースに至る割合が上昇すれば、このサービスが現実のセキュリティ成果を改善していることを示す。

重大度の変更は別途報告するに値する。Anthropicは、メンテナーがどの程度の頻度で指摘を格下げし、脅威の前提を退け、重複を特定し、提案パッチを大幅に書き直すかを開示すべきだ。

この情報により、同社が想定する真陽性率を検証できる。また、単に実在する欠陥を見つけるだけでなく、スキャナーが適切な作業を優先しているかも明らかになる。

2つ目のシグナルは、メンテナーの継続率だ。プロジェクトは無料であることからサービスに登録するかもしれないが、レポートの量や機密性が対応能力を超えれば離脱する可能性がある。

継続的な参加は、再現手順とパッチが、検証にかかる労力を上回って節約していることを示すだろう。離脱、配信の一時停止、スキャン頻度の低下要請は、ボトルネックが単に下流へ移ったことを示すだろう。

Anthropicは、スキャン頻度を各プロジェクトにどのように適応させるかも説明すべきだ。大規模なセキュリティチームとボランティア主導のライブラリでは、同じ速度でレポートを吸収できない。定期スキャンには、受信側の対応能力に結び付いた運用上の定義が必要だ。

3つ目のシグナルは競合他社の反応だ。GoogleはOSS-Fuzzの周辺でモデル推論を拡張でき、OpenAIはCodex Securityへのオープンソースアクセスを深められる。既存のセキュリティベンダーは、独自の脅威データとモデルベースのコード分析を組み合わせられる。

プロバイダーが、実行可能なパッチを伴う継続的でコンテキスト認識型のスキャンへ収束すれば、競争はAnthropicの主張を強める。OSS Scannerの差別化は弱まるだろうが、より多くのプロジェクトにわたる防御は改善する可能性がある。

ベンダーが広範な人間による検証を維持する証拠は、別の方向を示す。それは、印象的なベンチマークの向上にもかかわらず、生のフロンティアモデル出力が大半のメンテナーにとってなおリスクが高すぎることを示唆する。

Anthropicのより広い予測は、AIが最終的に防御側に有利に働くというものだ。同社は、モデルによってリリース前にバグを発見しやすくなり、最初からより安全なソフトウェアを構築できるようになると主張している。

今後数カ月は、より限定的な命題を試すことになる。選定されたオープンソースチームは、敵対者が同じ種類のモデルを悪用するよりも速く、未レビューのレポート量の増加を安全な修正へ転換できるのか。

開発者にとって、この答えは自分のリポジトリが対象条件を満たさなくても重要だ。現代のアプリケーションは、フレームワーク、暗号化ライブラリ、データベース、ビルドツール、パッケージ依存関係を通じてコードを継承している。上流で修正された欠陥は、多くの下流システムを保護できる。

エンタープライズのセキュリティチームは、依存先がプログラムに参加するか、パッチ済みリリースがデプロイ済み環境に届くかを追跡すべきだ。影響を受けるバージョンを実行し続けるアプリケーションは、脆弱性が発見されても保護されない。

オープンソースメンテナーは、応募前に対応能力を評価すべきだ。指摘を再現し、重大度評価に異議を唱え、パッチをレビューし、開示を調整し、テスト済みリリースを公開できる人員が必要になる。

Anthropic OSS Scannerは、高度な脆弱性発見への障壁を下げる。しかし、発見後に立ちはだかるすべての障壁を下げるわけではない。

だからこそ、このローンチは単なる無料の開発者ツール以上の意味を持つ。Anthropicは、フロンティアモデルが実際の保守システムの中で信頼できるセキュリティ貢献者になれるかを試している。

答えはベンチマークスコアや大量の指摘件数には現れない。悪用可能なリリースの減少、修正までの期間の短縮、信頼できる重大度判断、そしてプロジェクトを保守する時間をなお確保できるメンテナーという形で現れる。

もし明日、自分のプロジェクトにもっともらしいセキュリティレポートが数百件届いたら、チームはそれらを安全に検証し、解決できるだろうか。その運用上の問いこそが、AIスキャンへの早期アクセスが救いになるのか、それとも別の緊急キューになるのかを決めるべきだ。