Anthropic、AIで発見したOSSの脆弱性を保守担当者へ迅速通知―日立など11社と重要インフラ防御も推進

米Anthropicは2026年10月8日、新たなサイバーセキュリティ支援構想「Anthropic Cyber Mission」を発表しました。オープンソースソフトウェア（OSS）向けにAIが発見した脆弱性の報告を迅速化する「OSS Scanner」と、電力・水道・製造・交通などの制御システムを守る「Critical Infrastructure Defense Program（CIDP）」を開始します。

OSS Scannerでは、参加を希望するプロジェクトに対し、AIが生成した脆弱性レポートをAnthropic側で人手による事前審査を行わずに提供します。CIDPには日立製作所を含む11社が創設パートナーとして参加。脆弱性の発見だけでなく、検証や修正が滞りやすい現場へAIを活用する取り組みです。

Anthropic Cyber Missionのサマリー

• 公表日：2026年10月8日（米国時間）。日立製作所は10月9日に参画を発表
• 新施策①：OSS保守担当者向けの無償脆弱性スキャン「OSS Scanner」
• 新施策②：産業・社会インフラ向け防御プログラム「CIDP」
• OSS Scannerは参加希望制。AIが作成したレポートを人手の事前確認なしで提供
• レポートには脆弱性の説明、再現方法、可能な場合は修正案を記載
• Anthropicは過去6か月間に2万9,000件超の脆弱性候補を検出し、約6,000件を人手で調査したと説明
• OSS Scannerの初期評価では、48プロジェクトの高・重大度の候補97件中85件が既存の脆弱性開示基準を満たした
• CIDPの創設パートナーは11社。日立、Dragos、Nozomi Networks、Rockwell Automationなどが参加
• 現場設備を停止しづらいOT分野で、脆弱性の検出・修復と運用への適用方法を検討する

2万9,000件超の脆弱性候補を発見、課題は検証と修正の遅れ

Anthropicは2026年4月から、AIモデル「Claude Mythos」を用いて主要ソフトウェアの脆弱性を調べる「Project Glasswing」を進めてきました。セキュリティ対策Labでも、Project Glasswingの初回報告と脆弱性の検出状況を報じています。

10月8日付のAnthropicの技術発表によると、同社は過去6か月間に2万9,000件を超える脆弱性候補を発見したものの、人手でレビュー・トリアージできたのは約6,000件にとどまりました。

一方、OSSの保守担当者からは、未検証の結果でも修正案と一緒に早く受け取りたいという要望が出ていました。Anthropicはこれまでに、そうした依頼に応じて約5,000件のレポートを直接送付したとしています。

同社は、脆弱性を発見する速度が向上しても、その内容の検証、対応優先度の決定、修正の作成・適用が追いつかなければ、実際のリスク低減にはつながらないと説明しています。Glasswingでは脆弱性の発見から修正まで数か月かかった例もあり、今回の構想では発見後の工程に重点を移しました。

OSS Scannerは未審査のAIレポートを保守担当者へ提供

OSS Scannerは、参加を希望するOSSプロジェクトに対し、Anthropicの高性能モデルによる定期的なセキュリティ検査を無償で提供するサービスです。Googleの「OSS-Fuzz」に着想を得ていますが、言語モデルを使用してコードを調べる点が特徴です。

提供するレポートには、脆弱性の内容と再現に必要な情報、可能であれば問題の混入箇所の調査結果、修正候補が含まれます。生成された報告をAnthropicが事前に人手で選別する工程を省くため、保守担当者へ届くまでの時間を短縮できます。

その代わり、誤検知や深刻度評価の誤りが含まれる可能性があります。最終的な再現確認、修正の妥当性評価、パッチの取り込みは受領側の保守体制で行う前提です。大量の報告を処理できないプロジェクトについては、従来どおり人手で確認した脆弱性を協調的な開示手順（CVD）で通知するとしています。

Anthropicが初期版を検証した際、48プロジェクトから選んだ高・重大度の脆弱性候補97件を専門家が調査した結果、85件（約88％）が従来の開示基準を満たしました。残り12件のうち11件は実在する問題でしたが、既知の問題などとの重複で、誤検知は1件だったとしています。これは選定した97件の検証結果であり、すべてのスキャン出力の正確率ではありません。

実際の試行参加者からも評価が寄せられています。wolfSSLの保守担当者は受け取った74件のうち72件を有効と評価し、そのうち5件にCVEが付与されたと報告。PostgreSQL、OpenSSL、curlなどの保守担当者も、修正に役立つ報告が含まれていたと説明しています。

日立など11社が参加、工場・電力・水道のOT防御へ展開

もう一つの施策であるCIDPは、電力、上下水道、工場、交通などを支えるOT（Operational Technology：制御・運用技術）の防御を対象とします。Anthropicは、高性能なClaude、現場に関わるエンジニア、脅威研究を組み合わせ、事業者が利用するセキュリティ製品やサービスを通じて脆弱性の検出と修復を支援する方針です。

創設パートナーとして公表された11社は次のとおりです。

OT環境では、脆弱性が判明しても機器の停止や検証が難しく、長期間更新できないことがあります。稼働中の設備への変更は、生産停止や安全面の問題につながるためです。CIDPはこうした環境の専門知識を持つ企業と連携し、AIで得た検出結果を、実際に適用できる対策につなげることを狙います。

Anthropicによると、既に一部のパートナーがClaudeを利用した脆弱性修正と顧客支援を進めています。参加企業や対象分野は今後拡大する予定です。

日立はHMAX Cyberと制御システム製品への知見活用を表明

日立製作所は10月9日、日本語の公式リリースでCIDPへの参画を発表しました。プログラムのワーキンググループに参加し、重要インフラのOT分野で培った知識を共有します。

日立は2026年5月にAnthropicとの戦略的提携を発表し、6月にProject Glasswingへ参画、7月にはClaude Mythosを用いた重要インフラ向けセキュリティ検証の加速を公表していました。9月には事業継続を支援するサービス「HMAX Cyber」を提供開始しています。

今回のCIDPでは、参加企業との検討結果をHMAX Cyberの高度化やOT製品のセキュリティ強化に活用する方針です。単にAIモデルを工場の制御装置へ導入するという発表ではなく、制御システムに詳しい事業者とAI開発企業が、防御手法と適用方法を共同で検討する枠組みです。

企業の情報システム・セキュリティ担当者が確認したい点

今回の発表は、AIによる脆弱性検出が増えたとき、対応側の作業量がどう変わるかを示しています。自社で利用するOSSや外部製品でも、修正情報を受け取ってから実際に対応を終えるまでの管理が必要です。

特に、OSSの利用箇所とバージョンの把握、開発元から届く脆弱性情報の再現性確認、外部公開状況や業務影響に基づく対応優先順位、修正後の適用確認をひと続きの運用として整理する必要があります。多数の脆弱性を継続的に扱う際の考え方は、脆弱性管理の手順・優先順位付けでも解説しています。

工場や社会インフラの運用担当者の場合、修正プログラムを公開直後に適用できない設備について、停止可能な時期、代替のアクセス制限や監視、保守ベンダーとの対応窓口をあらかじめ決めておくことが実務上の論点となります。

AnthropicはOSS Scannerを、報告を迅速に処理できる保守担当者向けの選択制サービスとして提供します。利用企業側も、AIが見つけた候補と修正が確定した脆弱性を区別し、検証済みの情報をもとに対策を進める運用が必要になります。

出典

• Introducing the Anthropic Cyber Mission – Anthropic（2026年10月8日）
• Launching an opt-in vulnerability-finding service for open-source software – Anthropic（2026年10月8日）
• 日立、Anthropicの重要インフラ向けサイバー防衛プログラム「Critical Infrastructure Defense Program」に参画 – 日立製作所（2026年10月9日）
• Expanding the Cyber Verification Program – Anthropic（2026年10月6日）