Anthropic、サイバー防御の新たな取り組み「Cyber Mission」 OSS向け無料脆弱性スキャンや重要インフラ防御プログラムも

　米Anthropicは10月8日（現地時間）、社会が依存するシステムを守るための長期的な取り組み「Anthropic Cyber Mission」を発表した。防御側にツールや研究成果、資金などを提供するもので、まず重要インフラとオープンソースソフトウェア（OSS）の2分野から始める。同日、重要インフラ向けの「Critical Infrastructure Defense Program」（CIDP）と、OSS向け脆弱性スキャンサービス「OSS Scanner」を発表した。

　CIDPは、電力網や水道、交通網などを支える制御機器や産業用ネットワーク、いわゆるOT（運用技術）の防御を担うセキュリティ事業者に対し、Claudeのフロンティアモデル、現地に派遣するエンジニア、同社の脅威リサーチを提供する取り組みだ。創設パートナーはAccenture、Booz Allen、CrowdStrike、Deloitte、Dragos、日立製作所、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationの11社。まず少数の事業者と取り組みを進め、今後数カ月でパートナーや対象分野を広げる計画だ。

　OSS Scannerは、参加を申し込んだOSSプロジェクトに対し、「Claude Mythos」を含む同社の最も高性能なモデルで定期的なセキュリティスキャンを無償で実施するサービス。Googleの「OSS-Fuzz」に着想を得たという。レポートには再現手順や脆弱性の説明のほか、可能であれば修正パッチ案も含まれる。人間による確認を経ずにモデルの出力をそのまま送るため迅速に届く一方、深刻度の判定などに誤りが含まれる可能性もあるとしている。同社は真陽性率90％超を見込む。初期版の検証では、深刻度が「Critical」「High」の脆弱性97件のうち誤検知は1件だったという。

　Anthropicによると、「Project Glasswing」の一環として、過去6カ月間にOSSをスキャンし2万9000件超の脆弱性候補を発見したが、人手で確認できたのは約6000件にとどまっていたという。一部のメンテナーから未検証分も含めて全て受け取りたいという要望があったことが、OSS Scanner提供の背景にある。対象はインフラやユーザーのセキュリティに大きな影響を持つプロジェクトで、コアメンテナーがGitHubのリポジトリにプルリクエストを送って申し込む。大量の報告に対応する体制がないプロジェクトには、従来通り人手で検証した上で報告する。