この記事のポイント
- AnthropicのCyber Missionは重要インフラと公開ソフトウェアの防御を支援。取り組みごとに参加対象が異なります。
- OSS Scannerは登録プロジェクトを無料で定期検査。人の確認を経ない報告を受け手で検証する仕組みです。
- 指摘が実際の脆弱性である割合は9割超と提供元が予測。すべての脆弱性を見つける割合とは異なります。
Anthropicの2026年10月8日の公式発表をもとに、防御支援の二つの取り組みを紹介します。利用許可のプログラムと、モデル等を提供する支援を区別して整理します。
重要インフラを守る企業へ、モデルと技術者を提供
Cyber Missionの一本目は「Critical Infrastructure Defense Program(CIDP)」です。電力網・上下水道・交通網などの運用技術(OT、ひとことで言うと工場やインフラを制御する機器・システム)や政府システムを守る企業を対象にしています。
Accenture・Deloitte・PwC・日立・CrowdStrike・Palo Alto Networks・Dragos・Nozomi Networksなど11社の既存パートナーと連携し、先端のClaudeモデル・現地のエンジニア支援・攻撃の手口などの調査情報を提供します。Anthropicによると、一部パートナーはすでにClaudeを使って脆弱性修正に取り組んでいるとのことです。最初のステップとして少数のセキュリティ提供企業から始め、重要インフラ向けにセキュリティ製品・サービスを提供する企業は意思表明フォームから登録できます。
OSSの脆弱性を無料で定期スキャン「OSS Scanner」
二本目は「OSS Scanner」です。事前登録した、ソースコードを公開するソフトウェア（OSS）の開発プロジェクトに対し、Anthropicの最も高性能なモデルが定期的なスキャンを無料で行います。レポートには、脆弱性を実証するコード（PoC）、説明、可能であれば修正案が含まれます。
レポートは人による確認を経ずにモデルが生成して送られるため、重大度の判定などに不正確な点が残る可能性があります。Anthropicは、報告する指摘のうち実際に脆弱性である割合（真陽性率）を9割超と見込むとしています。（実測の保証値や、全脆弱性に対する検出率ではありません。）対象は指摘に対応できる体制を持つプロジェクトで、Defender Advantage Fund(0xDAF)がこの無料運用を支援します。
既存の「Cyber Verification Program」との役割分担
Anthropicは2026年10月6日、防御目的のセキュリティ業務で利用できる高度な機能や制限緩和を、審査済みの専門家に提供するCyber Verification Programの拡大を発表しました。こちらは企業が審査を受けて脆弱性診断や侵入テストにClaudeを使うための「許可の枠組み」です。対してCyber Missionは、Anthropic自身がエンジニアやモデルなどを提供する「支援プログラム」という位置づけで、両者は補完関係にあります。重要インフラのOT分野ではAIによる脆弱性の自動検証を進める動きも出ており、防御側のAI活用は複数のアプローチが並走している段階です。
まとめ:参加対象と、指摘を検証できる体制を確認
重要インフラ向けにセキュリティ製品やサービスを提供する企業には、CIDPへの参加意思を登録する窓口が用意されています。インフラの運用企業すべてが直接参加できるという案内ではないため、自社の役割と参加対象を分けて捉えるとよいでしょう。OSSの保守を担う方にとっては、無料の定期スキャンを受けた後、指摘の確認や修正に対応できる体制があるかが判断材料になります。人による確認を経ないレポートの速さと、受け取った側で検証する負担を併せて考える必要があります。※2026年10月8日の発表に基づきます。
OSSの脆弱性報告の実務では、Google、OSSの製品脆弱性報告を一時停止 自動投稿の急増でで指摘されているAI生成レポート増加という課題も参考になります。無料で受け取れる量だけでなく、自社が内容を検証し、修正まで進められる範囲で参加を考えるとよいでしょう。
