AI最新情報読了 7 分

Anthropicの無料脆弱性診断「OSS Scanner」、11日でcurlなど77件検出

Shiritomo編集部 @shiritomoAI_jp 2026年10月21日更新

オープンソースのプロジェクトに、無料でAIがセキュリティ診断をしてくれる。
そんなサービスをAnthropicが始めました。
しかも始めてすぐの11日間で、緊急度の高い欠陥を77件、重要度の高い欠陥を803件見つけて開発者に報告しています。
対象には多くのソフトウェアが裏側で使っている通信ライブラリ「curl」も含まれていました。
自分でプロジェクトを公開している開発者はもちろん、普段使っているアプリやサービスの裏側の安全性にも関わる話です。

先に結論をまとめると：
– Anthropicは10月8日、オプトイン制のオープンソース向け無料脆弱性スキャン「OSS Scanner」を発表しました
– 開始から11日間で緊急77件・重要803件の脆弱性候補を発見し、各プロジェクトの開発者に報告しています
– 通信ライブラリ「curl」では、この仕組みで見つかったHTTP/2関連の重大な欠陥が10月14日公開のバージョンで修正されました

AnthropicがX上で明かした最初の成果

Anthropicは10月8日、自社の公式アカウントでOSS Scannerの開始を発表しました。

To secure open-source software, we’re launching OSS Scanner.

We’ll use our frontier models to periodically scan opted-in open-source projects for vulnerabilities, at no cost. Our reports will provide a proof-of-concept, explanation, and suggested fix.https://t.co/UFFrLUd25U
— Anthropic (@AnthropicAI) 2026年10月8日

Claudeをはじめとする自社のAIモデルを使い、登録済みのオープンソースプロジェクトのコードを定期的にスキャンする仕組みです。
見つかった問題は、再現手順・原因の説明・修正パッチの提案がセットになった報告書としてメンテナーに届けられます。
開発チームの公式アカウント「ClaudeDevs」も10月20日未明に経過報告を投稿し、サービスの狙いを改めて説明しています。

We launched OSS Scanner, which gives critical open source projects free, periodic vulnerability scans from our strongest models.

Each finding includes a proof-of-concept, and a patch where possible.https://t.co/aonfpNG3WO
— ClaudeDevs (@ClaudeDevs) 2026年10月19日

この投稿では、報告書には再現用のコードと可能であれば修正パッチまで添えられることが紹介されています。
ただ、どれだけの成果が出ているのかは、この時点ではまだ数字として示されていませんでした。

調べて分かったこと

実際にどれだけの不具合が見つかったのか

ClaudeDevsは同じ10月20日未明、具体的な成果の数字を投稿しています。

The first scans have already reported 77 critical and 803 high model-rated findings to maintainers, and we're still scanning more projects.@thepunit shared an update, including a curl fix and what we've learned in the first weekhttps://t.co/e1WOmRKkqf
— ClaudeDevs (@ClaudeDevs) 2026年10月19日

開始からの11日間で、緊急度の高い欠陥77件・重要度の高い欠陥803件がメンテナーに報告されたとのことです。
Anthropic自身の発表によれば、これはゼロからの成果ではありません。
社内の「フロンティア・レッドチーム」が過去半年間にClaudeモデルを使って検証した際には、オープンソース全体で2万9,000件以上の脆弱性候補が洗い出されていました。
そのうち重大度の高い97件を人間が検証した結果では、85件（88%）が正式な脆弱性報告の基準を満たし、11件は既知の不具合と重複、無効だったのは1件のみだったといいます。
この下地があったからこそ、サービス開始直後から成果が出た形です。

curlで見つかった欠陥はどれくらい深刻だったのか

対象プロジェクトの一つが、多くのソフトウェアが裏側で利用する通信ライブラリ「curl」です。
見つかったのはHTTP/2通信に関する「use-after-free」（解放済みのメモリ領域を誤って使ってしまう）という種類のメモリ安全性の欠陥で、curlの開発者であるダニエル・ステンバーグ氏は、過去数年で報告された中でも最も深刻なcurlの脆弱性の一つだったと評価しています。
この欠陥はCVE-2026-92392として登録され、10月14日にリリースされたcurl 8.23.0で修正されました。
日頃「curl」という名前を意識する機会は少なくても、Webブラウザやアプリの通信処理の裏側で広く使われているライブラリだけに、影響範囲は小さくありません。

自分のプロジェクトも診断してもらうにはどうすればいいのか

OSS Scannerはすべてのプロジェクトを無差別にスキャンするわけではなく、オプトイン（事前登録）制です。
中核メンテナーが、OSS ScannerのGitHubリポジトリに対象リポジトリの情報と連絡先メールアドレスを記載したYAML設定ファイルを添えてプルリクエストを送ることで登録できます。
報告書はAnthropicのモデルがすべて自動生成し、Anthropic側の人間によるチェックを経ずにメンテナーへ直接届く点も特徴です。
人の手を介さない分、スキャンの頻度を上げやすくなっている一方、まれに誤検知が混じる可能性もある点はAnthropic自身も注意を促しています。

Shiritomo AI編集部の考察：脆弱性報告の「速さ」がもたらす責任

今回の仕組みで注目したいのは、見つけた不具合をすぐ直すところまで一式で提供している点です。
従来のセキュリティ診断では「問題を見つける」までが専門家の仕事で、修正は別のエンジニアが時間をかけて対応するケースが多くありました。
OSS Scannerは再現コードと修正案までセットで届けることで、メンテナー側の負担を「直す作業」ではなく「提案を確認する作業」に変えています。
これはオープンソースの保守体制が手薄なプロジェクトほど効果が大きい一方、人間の査読を経ない自動生成の報告書が大量に届くことになるため、提案を鵜呑みにせず検証する体制が各プロジェクト側にも求められそうです。
AIによる脆弱性発見が一般化すれば、次に問われるのは「誰がその修正を検証し、取り込むか」という受け手側の体制になっていくのではないでしょうか。

まとめ

Anthropicが10月8日に始めたOSS Scannerは、始動から11日間で緊急77件・重要803件の脆弱性を発見し、curlの重大な欠陥修正にもつながりました。
対象はオプトイン登録制で、報告書には修正パッチの提案まで含まれています。
無料で使えるAIセキュリティ診断として、オープンソースの保守体制に今後どう定着していくか注目されます。