# Anthropic、オープンソース向け無料脆弱性スキャナーを公開

> 新サービス「OSS Scanner」では、プロジェクトの保守担当者が利用を申し込むと、重要なプロジェクトの脆弱性レポートや修正案をAIから受け取れる。

Oossa · 2026-10-23 · https://oossa.com/ja/anthropic-launches-free-oss-scanner-for-open-source-security

Anthropicは2026年10月8日、無料サービス「OSS Scanner」を発表した。プロジェクトの保守担当者は登録すると、再現コードや解説、修正案を含むAI生成のセキュリティレポートを受け取れる。レポートは人による確認を経ずに直接送られ、修正を検証して適用するかどうかは保守担当者が判断する。

## サービスの仕組み

スキャンにはClaude Mythosを含むAnthropicの最も高性能なモデルが使われる。保守担当者がプロジェクトをビルドするDockerfileを含むGitHubのプルリクエストを提出すると、スキャナーはオフラインで動作し、検出結果をメールで送る。各レポートでは二分探索を使ってバグの原因となった変更の特定を試み、修正候補も提示する。保守担当者は脅威モデルを記したファイルを追加し、深刻度の評価やレポートの形式を指定できる。

## 初期の成果とコミュニティの反応

最初の6カ月間にモデルが候補として挙げた脆弱性は29,000件を超え、そのうち約6,000件が人の手で確認された。早期導入者には、すでに未検証のレポートが数十件届いている。たとえばPostgreSQLの保守担当者であるNoah Misch氏は、迅速に届くレポートに「ほぼそのまま」使える修正が含まれていたと述べた。wolfSSLのTodd Ouska氏によると、74件のレポートのうち2件を除いて有効性が確認され、5件がCVEに登録された。curlのDaniel Stenberg氏は、スキャナーがuse-after-freeのバグを発見したとし、このバグはcurl 8.23.0で修正された（CVE-2026-92392）。

## 事実

- Anthropicは2026年10月8日にOSS Scannerを発表した。
- 最初の6カ月間に、モデルは29,000件を超える脆弱性候補を特定した。
- そのうち約6,000件は人の手で選別・確認された。
- wolfSSLには74件のレポートが届き、2件を除いて有効と確認され、5件がCVEに登録された。
- curlのCVE-2026-92392は、スキャナーの報告を受けてバージョン8.23.0で修正された。

## なぜ重要か

インターネットを支える多くのオープンソースプロジェクトが、セキュリティ上のバグを早期に見つけるための無料の自動化手段を利用できるようになり、脆弱な状態が続く時間を短縮できる。開発者にとっては手作業でのコードレビューを減らし、修正を迅速化できる一方、導入前にAI生成の修正を検証する必要は残る。

## 出典と参考資料

1. [Anthropic Adds Opt-In Security Scanning for Critical Open-Source Projects](https://www.infoq.com/news/2026/10/anthropic-oss-security-scanner/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=AI%2C+ML+%26+Data+Engineering) – InfoQ, 2026-10-23

最終更新: 2026-10-23