Anthropicは2026年10月8日、サイバー防御を担う組織にツール、研究成果、資源を提供する長期的な取り組み「Anthropic Cyber Mission」を発表しました。当初は重要インフラとオープンソースソフトウェアの保護に注力します。重要インフラを支援する事業者へのClaude提供に加え、参加を希望するオープンソースのプロジェクト向けに、無料の検査サービスを開始しました。
重要インフラの防御を、少数の事業者と検証
重要インフラ向けの「Critical Infrastructure Defense Program」では、防御を支援する事業者に先端Claudeモデルを提供します。現地のエンジニア支援と脅威研究も提供します。
対象として挙げたのは、電力網、水道、交通網のOTと政府システムです。OTは、設備の監視や制御に使う技術を指します。設立パートナーにはHitachi、Accenture、Dragos、CrowdStrike、Palo Alto Networksなどが参加します。Anthropicによると、一部のパートナーは既にClaudeを使って脆弱性の修正に取り組んでいます。
当初は少数の事業者と協力し、有効で実用的な対策を検証する段階です。重要インフラ向けのセキュリティ製品・サービス企業から、関心登録を受け付けます。広く全企業が同じ支援を受けられるという発表ではありません。
日本での提供は発表には書かれていません。日本の対象地域、提供時期、日本語対応、日本での料金も記載がありません。Hitachiが参加していることと、日本の各企業が利用できることは分けて確認する必要があります。
無料のOSS Scannerは、人の確認なしで結果を送付
オープンソースソフトウェア(OSS)向けには、無料サービス「OSS Scanner」を開始しました。参加を希望したプロジェクトに、最上位モデルによる定期的な検査を行います。検出結果に対応する能力があるプロジェクトを想定しています。
レポートには、脆弱性の悪用を示す実証コードと説明を含めます。修正案がある場合は、それも掲載します。ただし、レポートはモデルが生成し、人による確認なしで送付されます。Anthropicは、深刻度の誤判定などが含まれる可能性を明示しています。
Anthropicは、検出が実際の脆弱性に当たる割合を示す真陽性率を90％超と見込んでいます。これは同社の見込みであり、届いた結果をそのまま修正の優先順位に使うのではなく、担当者が内容を確かめる運用が必要です。
人による確認が必要なプロジェクトには、確認済みの脆弱性情報を引き続き共有します。また、希望するOSSプロジェクト向けに、検出結果の選別と修正の自動化を目指します。自動化は今後の目標として扱うべき内容です。
影響する会社・しない会社
- 影響する: 重要インフラ向けのセキュリティ製品・サービスを提供する会社です。関心登録の対象であり、支援内容と参加条件を確認する意味があります。ただし、当初の協力先は少数です。
- 影響する: OSSプロジェクトを運営し、検出結果の確認や修正に対応できる会社です。OSS Scannerへの参加を検討する際は、レポートの受領後に誰が対応するかが判断材料になります。
- 影響しない: OSSを利用しているだけの会社を、OSS Scannerの参加対象とする記載はありません。社内で使うOSSが自動的に検査されるとは受け取れません。
- 影響しない: Claudeの契約プランだけを条件に、今回の支援が自動適用されるとの記載はありません。通常のClaude利用者について、今回の発表を理由に設定変更が必要とは示されていません。
情シスが今日やること
- 今日、担当範囲を分類します。 セキュリティ責任者や開発責任者に、自社が重要インフラ向けサービスを提供しているか、OSSプロジェクトを運営しているかを確認します。OSSの利用だけなのか、開発・保守も担うのかを分けて記録します。
- 関心登録や参加を検討する前に、条件を確認します。 重要インフラ向け事業者は、公式発表のCritical Infrastructure Defense Programに関する関心登録の案内を確認します。日本での提供と自社の参加可否は未確認事項として残します。今回の資料には、既存のClaude管理画面で行う設定操作は書かれていません。
- OSS Scannerへの参加判断前に、確認担当を決めます。 OSSの保守担当とセキュリティ担当に、人の確認なしでレポートが届くことを共有します。深刻度、実証コード、修正案を誰が検証するかを決め、人の確認が必要なら確認済み情報の共有についても確かめます。
- 予算や導入の承認前に、発表済みと未確認を分けて報告します。 経営層や調達担当には、OSS Scannerは無料である一方、日本での利用条件は発表にないと伝えます。重要インフラ向け支援は少数の事業者との検証段階、修正の自動化は目標であることも明記します。
