一次情報で読む、いまのAI
← すべてのニュース
2026.10.20 TUE06:47 JSTAnthropic

AnthropicがOSS脆弱性スキャンを無料提供

条件付き重要OSSのメンテナー対象・PR申請制

AIが重要オープンソースの安全上の欠陥を定期的に自動検査し、開発者に修正案を無料で届ける仕組みです。

目線

重要OSSのメンテナーは、Dockerfileを準備してPRを出すことで、定期的な脆弱性検出とパッチ作成の自動支援を無償で受けられる。

対象

セキュリティ上重要なオープンソースのコアメンテナー

使える場面

  • Dockerfileと設定ファイルを用意してスキャン対象として申請する
  • エージェントが生成した脆弱性報告と修正パッチ案を検証する

試すなら

GitHubのanthropics/oss-scannerリポジトリで申請用テンプレートを確認する

確認点

人手レビューを挟まない即時通知枠のため、誤検知が含まれる可能性がある

背景

Anthropicはこれまで人手レビューを経由した協調的脆弱性開示を行ってきたが、共有の遅延を防ぐためエージェント出力を直接届ける仕組みを新設した。

何が変わったか

  • OSS-Fuzz類似の基準（インフラへの影響度、依存プロジェクト数、OpenSSFスコア等）を満たす重要OSSを無償スキャン
  • GitHubリポジトリへのPR提出とDockerfile定義によりプロジェクトを登録
  • ビルド後の監査エージェントはインターネット接続を遮断したサンドボックス内で実行
  • 人手未検証の自動レポートには一律の90日開示期限を適用しない方針を採用

使える場面・影響

重要なOSS基盤の開発者は、AIによるバグ検証・根本原因分析・修正パッチ提案を定期的に受け取れる体制を構築できる。

試す前に確認

  • 費用は無料
  • 立ち上げ直後の新規プロジェクトや単なるフォークは原則対象外
  • コアメンテナー本人のアカウントであることをAnthropic側が手動確認

一次ソース