防御側に立つClaude：電力網からオープンソースまで、AnthropicのCyber Mission

Anthropicの公式発表は、率直な認識から始まる。高度なサイバー能力を持つAIモデルは、すでに攻撃者が広く利用できる状態にある、というものだ。そこで同社は2026年10月8日、Cyber Missionを発表した。同じ技術資源を、デジタルシステムを守る側の手に渡すための長期的な取り組みである。対象は二つの分野に絞られている。水道・電力・交通網を動かす制御系技術(OT)と、ウェブサービスの多くを支えるオープンソースソフトウェアだ。

物理インフラの分野では、Critical Infrastructure Defense Program(CIDP)が、最初のコホートとなる技術ベンダーにフロンティア級のClaudeモデルと現場でのエンジニアリング支援を提供する。創設パートナーにはCrowdStrike、Deloitte、Palo Alto Networksを含む業界の11社が名を連ねる。Anthropicの紹介ページでは、Palo Alto Networksのシニアバイスプレジデント、サム・ルービン氏が、攻撃者はすでにAIを使って脆弱性を機械の速度で発見・悪用していると強調した。ただし現時点で、Anthropicの資料は、初期段階の後にどのような商用条件になるのか、最初のコホート以外にいつ提供が広がるのかを明らかにしていない。その間、業界の他の企業はフォームから関心を登録できる。

もう一つの柱がOSS Scannerだ。GoogleのOSS-Fuzzに着想を得た、無料のオプトイン型サービスである。オープンソースのコードを定期的にスキャンし、モデルが直接生成したレポートをメンテナーに送る。レポートには攻撃の概念実証、説明、そして可能な場合は修正案が含まれる。Anthropicは、これらのレポートが事前の人間によるレビューなしに送られること、深刻度の誤評価などの不正確さを含みうることを明言している。一方で社内では、真陽性率が90%を超えると予測している。このサービスは結果を扱える体制のあるプロジェクト向けで、生のレポートを精査する余裕のないプロジェクトは、従来の協調的開示の手続きを通じて人が検証した報告を引き続き受け取る。参加するメンテナーにどれだけの負担がかかるのかはまだ分からない。Googleがバグ報奨金プログラムで自動生成の報告を停止したことをめぐる最近の議論を思い起こさせる点だ。

これらを資金面・運営面で支えるのが、Cyber Verification Programの拡大と、Defender Advantage Fundである。前者はProject Glasswingを統合し、セキュリティ専門家がモデルの高度なサイバー能力をより利用しやすくすると約束している。後者は8月に、OSS Scannerの無料提供を支える目的も兼ねて設立された基金で、Anthropicは金額を公表していないが、すでにPython Software Foundation、Apache Software Foundation、そしてLinux Foundationを通じてAlpha-OmegaとOpenSSFを支援している。

AIが弱点の発見を速めると約束しても、本当の課題は検証作業のまま残る可能性が高い。事前チェックなしにバグレポートの生成を自動化すれば、分析の負担は受け取る側に移る。時間が最も乏しい資源であるフリーソフトウェアの世界では、このツールの真価は、あの予測が持ちこたえるかどうかで測られることになる。真陽性率90%超という数字は、今のところ誰も独立に検証していない。— Olya