AnthropicはオープンソースソフトウェアのセキュリティRisk診断サービス「OSS Scanner」を2026年10月8日に開始しました。参加を希望するプロジェクトだけが対象で、同社の最上位モデルによる脆弱性スキャンを無償で定期的に受けられます。Claude Mythosを含むモデルが使われ、報告は人間によるレビューを経ずにモデルが直接生成します。同社はClaudeを使って脆弱性を探したProject Glasswingでの経験を踏まえたサービスだと説明しています。
背景にあるのは、人手による検証の限界です。Anthropicは過去6カ月間に重要なソフトウェアを調べ、2万9000件を超える脆弱性の候補を見つけました。ただ、手作業で確認・仕分けできたのは約6000件にとどまります。同社は検証済みの報告を従来の協調的脆弱性開示（CVD）プロセスで送り続けますが、確認に時間がかかります。そこで、報告が出た時点で受け取れる任意の「ファストトラック」を設けました。メンテナーから未検証の報告もすべて欲しいと求められ、これまでに5000件近くを直接送ったとも述べています。
OSS Scannerは、GoogleのOSS-Fuzzに触発されたといいます。同社の商用製品Claude Securityが企業の防御を支援するのに対し、OSS Scannerはオープンソースプロジェクトに費用負担なしで監査を提供します。各報告には再現コード、脆弱性の説明、可能な場合は混入時期の特定、修正パッチ案が含まれます。ただし人間の確認を経ないため、誤りや無効な報告が含まれる可能性があります。
同社は数週間かけ、数十のオープンソースプロジェクトで検証しました。最初の報告は数百件のバグに及び、複数の脆弱性は認証なしのリモートコード実行につなげられたとしています。PostgreSQLのNoah Misch氏は修正案をほぼそのまま使えたと述べ、wolfSSLのTodd Ouska氏は受け取った74件のうち2件を除いて有効で、5件がCVEになったと語りました。curlのDaniel Stenberg氏も、過去数年で最悪級の脆弱性の一つが見つかったとしています。
初期版の検証では、CVDの審査を担う専門のペネトレーションテスターが、48プロジェクトの重大・高深刻度の97件を確認しました。85件（88%）がCVDの基準を満たし、残る12件のうち11件は実在するものの既知の問題などと重複し、無効は1件でした。一方、深刻度が過大に評価される例や、プロジェクトの脅威モデルが誤解される例もあったといいます。
対象は、OSS-Fuzzに近い基準で、インフラやユーザーの安全に重大な影響を持つ確立したプロジェクトです。コアメンテナーが専用のGitHubリポジトリにプルリクエストを送り、設定ファイルを追加して申し込みます。申請は人間が審査します。未検証の指摘には90日間の開示猶予を設けませんが、後に人手で検証した場合はCVDの方針に沿って通知から90日後に公開することがあります。同社はClaude for OSSによるClaude Max 20xの無償提供や、Cyber Verification Programも用意しています。
出典：OSS Scanner