Anthropicは10月8日、ソフトウェアやシステムの防御側を支援する長期的な取り組み「Anthropic Cyber Mission」を発表した。最初の対象は重要インフラとオープンソースソフトウェア（OSS）の2分野で、重要インフラ向けに「Critical Infrastructure Defense Program（CIDP）」、OSS向けに無償の脆弱性スキャン「OSS Scanner」を新たに始める。2日前の10月6日に3階層へ再編したCyber Verification Program（CVP）と合わせ、防御側への最新モデルの提供を広げる一連の発表になる。
CIDPは、電力網、水道、交通網を動かす制御系（OT）や政府システムを守るセキュリティ事業者に、最新のClaudeモデル、現地に入るエンジニア、脅威リサーチを提供する。創設パートナーはAccenture、Booz Allen、CrowdStrike、Deloitte、Dragos、日立、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationの11社。まず少数の事業者で効果的なやり方を見極め、その後パートナーと対象分野を広げる。重要インフラ向けのセキュリティ製品・サービスを手がける企業は、claude.comのフォームから参加の意向を登録できる。Anthropicは6月に米国の州・地方政府などに向けたサイバー防御プログラムを始めており、すでに米国の州の半数超と一部の大規模な公共インフラ事業者に、コードのスキャンと修正、インシデント対応、レッドチーミングの支援を提供している。
OSS Scannerは、登録したプロジェクトをAnthropicの最上位モデルが定期的にスキャンするオプトイン型のサービスで、費用はかからない。レポートには、バグが悪用される流れを示す概念実証（PoC）、説明、可能な場合は修正案が付く。ただしレポートはモデルが生成し、人のレビューを経ずに送られるため、深刻度の判定違いなどの誤りが混じり得る。Anthropicが見込む真陽性率は90%超。指摘への対応が追いつくプロジェクト向けとしており、それ以外のプロジェクトには従来どおり人が検証したうえでの協調的な脆弱性開示を続ける。
Glasswingで12万9,000件を見つけても修正が追いつかなかった
今回の発表の背景にはProject Glasswingの経験がある。CVP再編の際に公表された数字では、Glasswing参加組織は4月から7月までに少なくとも12万9,000件の検証済み脆弱性を見つけた。それでもAnthropicは今回、サイバーリスクは十分に下がっていないと認め、発見から修正まで数カ月かかることが多かったと書いている。OTでは、稼働中の機械に安全に適用できるまで修正が数十年待たされる場合もある。CIDPが現地に入るエンジニアまで含めたのも、OSS Scannerが修正案を添え、今後の計画にトリアージとパッチ適用の自動化を入れたのも、発見ではなく修正の段階に手を入れるためだ。
報告の受け手となるメンテナーの負担対策として、Python Software Foundation、Linux Foundation経由のAlpha-OmegaとOpenSSF、Apache Software Foundationに資金を拠出した。脆弱性報告の調整役を担うAkritesとGold Eagleも支援する。8月に立ち上げた基金「Defender Advantage Fund（0xDAF）」が、パイロット事業とOSS Scannerの無償提供を支える。メンテナーは、Claude Maxを無償で使える「Claude for Open Source」と、防御作業向けに制限を緩めたCVPにも申請できる。
手本にしたOSS-Fuzzとはスキャンの中身が違う
AnthropicがOSS Scannerの着想元に挙げたGoogleのOSS-Fuzzは、2016年から続くOSS向けの継続的ファジング基盤で、入力を大量に変えてクラッシュを探す方式をとる。OSS Scannerは、モデルがコードを読んで脆弱性を探し、悪用の手順と修正案まで添えて返す点が異なる。人のレビューを挟まない分、1割弱の誤報を許容する設計で、報告を処理できる体制があるかどうかをプロジェクト側が判断して参加する仕組みにした。
見通しについてAnthropicは、2年以内にAIは出荷前のバグ検出や安全なコードの記述を通じて防御側に有利に働くと予測する一方、当面は悪用のコストが下がるのに検証と修正は遅いままなので、防御側が不利になり得るとしている。成功の定義は、攻撃を受けても重要インフラが動き続け、侵入口が減り、復旧が速くなること。他のAI開発企業やセキュリティ企業、各国政府も同様の取り組みを始めると見込み、協力したいとしている。
