※本記事は一次情報をもとにAI支援によって構成・作成し、事実関係の照合を行っています。
概要と影響範囲（事実）
Anthropicは、オープンソースリポジトリのセキュリティ脆弱性をスキャンするサービス『OSS Scanner』を提供しています。本サービスは、Project Glasswingでの脆弱性発見の経験に基づいたオプトイン形式のサービスです。参加したプロジェクトは、Anthropicの最強モデルによる徹底的かつ定期的なセキュリティスキャンを無料で受けることができます。
通常、Anthropicはオープンソースソフトウェアの脆弱性を定期的にスキャンし、協調的脆弱性開示（CVD）プロセスの一環として人間のレビューを経てからレポートを送信しています。2026年10月までに6,000件以上のレポートをレビューしており、偽陽性に悩まされることなくコードの安全性を高める支援をしています。しかし、手動レビューのステップに時間がかかるという課題がありました。
そのため『OSS Scanner』では、オプトインの高速トラック（ファストトラック）が用意されています。登録したプロジェクトは、人間のレビューを経ていない状態のスキャンレポートを、最強モデルから直接受け取ることが可能です。参加を希望する場合は、指示に従ってPRを送信することでプロジェクトを追加できます。
%%{init: {'theme': 'base', 'themeVariables': {'fontFamily': 'Hiragino Kaku Gothic ProN, Yu Gothic, Meiryo, sans-serif', 'fontSize': '14px', 'primaryColor': '#ffffff', 'primaryBorderColor': '#8a6a50', 'primaryTextColor': '#3e2a1b', 'lineColor': '#8a6a50'}, 'flowchart': {'useMaxWidth': false, 'htmlLabels': true}}}%%
flowchart TD
A["OSS Scannerへのプロジェクト登録"] --> B["最強モデルによる定期スキャン実施"]
B --> C{レポート受け取り方法の選択}
C -->|通常プロセス| D["人間のレビューを経たCVDレポート"]
C -->|高速トラック| E["人間未レビューの直接レポート"]
D --> F["脆弱性の修正・対応"]
E --> F["脆弱性の修正・対応"]
対象製品・バージョン
『OSS Scanner』の対象となるのは、OSS-Fuzzと同様の基準に基づく確立されたオープンソースプロジェクトです。主な条件は以下の通りです。
- インフラストラクチャやユーザーセキュリティに重大な影響を与えるプロジェクト
- リモート攻撃への露出（信頼されていない入力を処理するライブラリなど）
- 依存しているユーザーや他のプロジェクトの数
- プロジェクトの年齢、更新頻度、OpenSSFクリティカルティースコア
- 一般的に受け入れられているオープンソースライセンスの使用、スター・フォーク数、利用統計
なお、新しく作られたばかりのプロジェクトや、独自性が明確ではないフォークプロジェクトは通常対象外となります。すでに検証済みの高・重大な脆弱性レポートに対応できる体制を持つプロジェクトを対象としています。
注意点・今後の展望
『OSS Scanner』は、モデルの性能向上に伴いサービスの改善を継続する方針です。筆者は、AIモデルを活用した自動スキャンが迅速な脆弱性発見に寄与する一方で、人間によるレビューを経ない高速トラックでは偽陽性やトリアージの負担がプロジェクト側に発生する可能性があると考えます。そのため、公式が指摘しているように、すでに高・重大な脆弱性レポートを処理できるリソースを持つプロジェクトでの活用が前提となると見られます。
コメント