Anthropic、OSS向け無償AI脆弱性スキャン「OSS Scanner」を発表

何が発表されたのか

Anthropicが発表したのは、オープンソースプロジェクト向けの新しいセキュリティサービス「OSS Scanner」です。参加を希望する（opt-in）プロジェクトは、同社の最も高性能なモデルによる「徹底した定期的なセキュリティスキャン」を無償で受けられるとされています。狙いは、セキュリティ上の問題の可能性を、より早くプロジェクト関係者に知らせることにあります。

対象はあくまで利用を希望したプロジェクトであり、すべてのOSSが自動的にスキャンされるわけではありません。原文では、提供地域や対象リポジトリの規模、申し込み方法といった条件には触れられていません。

人間のレビューなしが前提

原文は、このスキャナーの出力が「完全にモデル生成」であり、人間によるレビューやトリアージ（重要度に応じた仕分け）を行わないと明記しています。そのぶん高速かつ高頻度のスキャンが可能になる一方で、報告が誤っている可能性や、そもそも無効である可能性があるとされています。

トレードオフを率直に示した形であり、利用する側はレポートをそのまま受け入れるのではなく、自分で検証する前提で扱う必要がありそうです。報告の生成には「Claude Mythosを含む」「最も高性能なモデル」が使われると説明されています。

AIによるバグ探しの広がり

OSS Scannerは、AIを使ったバグ探索ツールの最初の例ではありません。原文によれば、ここ数カ月でAIツールがオープンソースソフトウェアの重大なセキュリティ欠陥の発見に貢献しており、その一例として、5月にほぼすべてのLinuxディストリビューションに影響した「Copy Fail」バグが挙げられています。

一方で、AIが生成する大量のバグ報告への対応に、OSSプロジェクトが追いつけなくなっている状況も指摘されています。原文では、Linus TorvaldsやGoogleもその例として挙げられています。AIによる検出の増加は、受け取る側の処理能力という別の問題を同時に生んでいる構図です。

現時点で不明な点

検出精度や誤検知率、レポートの形式、通知先、対応期限などは原文では明らかにされていません。無償であることは示されていますが、利用条件や提供範囲の詳細も不明です。

また、モデル生成のレポートを受け取ったプロジェクトが、その検証にどれだけ工数を割くことになるのかも読み取れません。AI由来の報告の増加がメンテナの負担になっているという指摘がある以上、この点は導入を判断するうえでの材料になるとみられます。