Anthropicは2026年10月8日、「Anthropic Cyber Mission」と呼ぶ、基幹サービスが依存するシステムの安全確保を支援するツール、研究、リソースを長期的に提供する取り組みを開始した。この取り組みは、重要インフラの保護と、脆弱性を探すためのオープンソースソフトウェアの検査という2つの柱から始まる。
運用技術に特化したプログラム
今回の開始には、重要インフラ防御プログラム（Critical Infrastructure Defense Program - CIDP）が含まれる。同プログラムは、高度なClaudeモデルを現場のエンジニアや脅威インテリジェンスの研究と組み合わせ、電力網、水道システム、運輸ネットワークの背後で稼働する運用技術に加え、政府システムを保護する組織を支援する。
Anthropicによると、こうした環境では、数十年にわたって稼働するよう設計された制御装置、ソフトウェア、産業ネットワークに依存しており、セキュリティ修正プログラムをインストールするために停止できない場合が多い。そのため、既知の脆弱性が何年も未対処のまま残る可能性がある一方、安全でない変更によって産業施設が停止することもある。第1段階では、Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationなどのパートナーがプログラムに参加する。
一部のパートナーはすでにClaudeを脆弱性への対応に使用し、顧客が同じ作業を実施できるよう支援している。Anthropicはまず、最も実用的で効果的な手法を検証するため、限られたサービスプロバイダーと取り組みを開始し、その後、プログラムをさらに多くのパートナーや分野へ拡大する。
オープンソースプロジェクトの無料検査
同社はまた、OSS Scannerも開始した。これは、同社の最も強力なモデルを使用して、オープンソースプロジェクトを定期的に無料で検査する任意利用のサービスである。各レポートには、脆弱性を悪用する方法の概念実証、その説明、利用可能な場合には推奨される修正が含まれる。
レポートは自動生成され、管理者に送信される前に人間によるレビューを受けない。Anthropicは、真陽性率が90％を超えると見込んでいるが、脆弱性の深刻度を不正確に評価するなど、誤りが生じる可能性があると警告している。このサービスは、結果を選別して追跡できるプロジェクトを対象としている。人による精査を必要とするプロジェクトについては、同社が脆弱性の協調的開示ポリシーを通じて、人間が確認した情報開示を引き続き共有する。
実際には何が変わるのか
この取り組みは、広く利用されている数百のプロジェクトを検査し、管理者に報告した脆弱性を明らかにした「Glasswingプロジェクト」に続くものである。Anthropicは、脆弱性の発見は容易になったものの、その検証、優先順位付け、修正には依然として時間がかかり、問題の発見から対処まで数カ月かかる場合があると認めている。運用技術では、稼働中の設備に安全に適用できるようになるまで修正が遅れる可能性があり、まれなケースでは待ち時間が数十年に及ぶこともある。
したがって今回の開始は、インフラ運用者の専門知識やセキュリティ担当者によるレビューを人工知能で代替するものではない。OSS Scannerは結果に迅速に到達するための時間を短縮するが、検証の責任は管理者に委ねられる。一方、産業環境での修正プログラムの展開は、安全性と継続性の要件によって制約され続ける。また、Anthropicは、具体的な効果を実現するには、公共部門と民間部門の間で何年にもわたる学習と協力が必要になると見込んでいる。
拡大に向けた steps
Anthropicは、脆弱性の選別と修正の迅速化、より安全なソフトウェアアーキテクチャと開発手法の研究、さらに多くのソフトウェアプロジェクトとサプライチェーンの支援に向けて、ツールを拡大する予定である。また、Cyber Verification ProgramやClaude for Open Sourceなど、同社の他のプログラムでは、Claudeの防御能力へのより広範なアクセスや、一部の適格な管理者およびチーム向けの無料サブスクリプションも提供している。