AIの活用により脆弱性の発見がこれまで以上に容易になったと説明される一方で、見つかった指摘を人間の開発者が検証し、優先度を判断して修正を終えるまでの負担は、依然として大きな課題です。

こうした状況に対して、Anthropicは2026年10月8日、防御側を支援する包括的な取り組みとしてAnthropic Cyber Missionの開始を発表しました。その中核施策の一つとして案内されたのが、オープンソースソフトウェア（OSS）向けの定期診断サービス「OSS Scanner」です。

人間のレビューを経ずに届く定期スキャンの設計

OSS Scannerは任意参加の無償サービスとして提供され、登録されたプロジェクトに対してAnthropicの高性能モデルによる定期的なセキュリティスキャンが実施されます。各報告には、脆弱性が悪用可能であることを示す実証コード（PoC）や説明、そして利用可能な場合には修正案が含まれます。修正案は常に添えられるわけではありません。

この仕組みで注目すべき点は、報告がモデルによって自動生成され、人間のレビューを経ずに直接プロジェクトへ送信される点です。人手を挟まないことで、保守担当者は脆弱性情報をより早く受け取れる利点があります。その反面、Anthropic自身も説明しているように、深刻度の誤判定といった不正確さが含まれる可能性があります。

そのため、OSS Scannerは「届いた指摘への対応を継続できる処理能力を備えたプロジェクト」を対象として設計されました。それ以外のプロジェクトに対しては、従来通り協調的な脆弱性開示方針（CVD）に基づき、人間が確認済みの情報を開示していく方針を維持します。検知の自動化を進めつつも、受け手側の対応体制に応じて情報提供のあり方を分ける現実的な配慮がなされています。

発見が容易になっても残る「検証と修正」の負担

Anthropicは先行する取り組みであるProject Glasswingの教訓として、脆弱性の発見が容易になった一方で、その検証や優先順位付け、実際の修正作業は引き続き困難であると述べています。

Glasswingの紹介資料では、OpenBSD、FFmpeg、Linux kernelといった重要ソフトウェアで発見された脆弱性を各保守担当者へ個別に報告し、修正パッチが適用された事例が示されています。また、他の多くの脆弱性については、詳細情報の暗号学的ハッシュを提示した上で、修正が整った段階で詳細を公開する方針が説明されていました。

AIが生成する未レビューの報告を扱う場合、この「修正が終わるまで詳細をどう安全に管理するか」という視点がより重要になります。誤判定を含む可能性のある指摘を鵜呑みにせず、かといって見過ごすこともできない状況で、現場の保守担当者が混乱せずに判断を下せる枠組みが求められます。

国内の保守業務へ置き換えた場合の課題管理案

この考え方は、公開OSSを保守している企業や、社外のコードベースを活用して業務システムを維持管理している国内の開発現場にも当てはまります。

たとえば、自社で保守する公開OSSに対してこうした定期報告を受け入れる場合を想定してみます。まず検討すべきなのは、届いた報告を未処理のまま放置しないための受領窓口と確認担当の割り当てです。AIが付与した深刻度と、自社の保守担当者が実際に確認した深刻度は必ずしも一致しません。そのため、AIの初期判定と人間の確認結果を明確に分けて記録できる台帳や課題管理の項目が必要になります。

また、実証コードが含まれる未修正の報告は機微な情報となるため、社内の誰が閲覧し、どこまで共有してよいかの権限管理も欠かせません。受領した報告の原文、調査を担当するエンジニア、対応方針、修正コードの検証結果、そして修正が完了したことの確認までを一つの課題管理フローで追跡できるように整えることで、届く報告の量に対して現場が無理なく確認・修正を担える範囲を把握し、運用の成立条件を評価しやすくなります。

保守プロセスの整理と社内ツールの連携

AIによる分析や診断を取り入れる取り組みは魅力的ですが、受け皿となる業務手順や追跡体制が曖昧なままでは、かえって現場の確認作業を圧迫してしまいます。まずは現在の脆弱性報告の受領ルートや確認担当、修正の判断者が誰になっているかを棚卸しし、小さく試せる範囲を明確にすることが着実な一歩といえます。

デノフでは、Webサイト・業務システムの設計・開発・運用保守のサービスを通じて、日々の業務に合わせた社内ツールの構築や、AIを活用する業務の選定・定着支援を行っています。外部ツールやAIからの通知を既存の管理フローへどう接続するか、確認状態や修正状況をスムーズに追跡する仕組みをどう整えるかなど、開発と運用の両面から整理を進めることが可能です。

AIからの出力を既存の保守体制に無理なく組み込みたいとお考えの際は、実装範囲や連携要件の具体化に向けて、デノフへの相談窓口よりお気軽にお問い合わせください。