要点
Anthropicは、Claude Mythosモデルを活用してオープンソースソフトウェアのセキュリティ脆弱性を検査するサービス「OSS Scanner」を導入しました。開始から11日間で、AIは緊急レベルの脆弱性を77件、重要レベルを803件特定しました。このサービスは、メンテナーが提出したプロジェクトを隔離されたサンドボックス環境で分析し、再現コードと潜在的なパッチを無料で提供します。
このツールは人間のレビューなしで機能するため、迅速かつ頻繁なスキャンが可能です。Anthropicは、このアプローチが誤検知やプロジェクトの脅威モデルの誤解を招く可能性があることを認めています。初期テストでは報告書の88%が公開基準を満たしていましたが、一部のメンテナーからは、AIが過度に高い深刻度評価を割り当てる傾向があるとの報告も寄せられています。
注目すべき発見として、スキャナーによって特定されたcurlライブラリのCVE-2026-92392（use-after-free脆弱性）があります。curlの開発を主導するDaniel Stenberg氏は、これを近年プロジェクトが直面した中で最も深刻な問題の一つと評しました。理論上はリモートコード実行が可能ですが、curlの開発者は条件が厳しく、クラッシュが最も可能性の高い結果であると指摘しています。
OSS Scannerは現在、選定されたプロジェクトで利用可能であり、約650件の申請のうち114件が承認されています。従来の協調的な開示とは異なり、これらの報告書は一般公開されず、標準的な90日間の期限も適用されません。Anthropicは、このサービスがメンテナーによるセキュリティ欠陥の修正を、攻撃者の悪用よりも迅速に行えるよう支援することを意図しています。
