Anthropic、オープンソース向け無料脆弱性スキャナーを公開

Anthropicは2026年10月8日、無料サービス「OSS Scanner」を発表した。プロジェクトの保守担当者は登録すると、再現コードや解説、修正案を含むAI生成のセキュリティレポートを受け取れる。レポートは人による確認を経ずに直接送られ、修正を検証して適用するかどうかは保守担当者が判断する。

サービスの仕組み

スキャンにはClaude Mythosを含むAnthropicの最も高性能なモデルが使われる。保守担当者がプロジェクトをビルドするDockerfileを含むGitHubのプルリクエストを提出すると、スキャナーはオフラインで動作し、検出結果をメールで送る。各レポートでは二分探索を使ってバグの原因となった変更の特定を試み、修正候補も提示する。保守担当者は脅威モデルを記したファイルを追加し、深刻度の評価やレポートの形式を指定できる。

初期の成果とコミュニティの反応

最初の6カ月間にモデルが候補として挙げた脆弱性は29,000件を超え、そのうち約6,000件が人の手で確認された。早期導入者には、すでに未検証のレポートが数十件届いている。たとえばPostgreSQLの保守担当者であるNoah Misch氏は、迅速に届くレポートに「ほぼそのまま」使える修正が含まれていたと述べた。wolfSSLのTodd Ouska氏によると、74件のレポートのうち2件を除いて有効性が確認され、5件がCVEに登録された。curlのDaniel Stenberg氏は、スキャナーがuse-after-freeのバグを発見したとし、このバグはcurl 8.23.0で修正された（CVE-2026-92392）。