OSS Scanner、無料で脆弱性を定期スキャン　検証は保守担当者の手で

Anthropicは2026年10月8日、オープンソース向けの脆弱性検出サービス「OSS Scanner」を発表しました。参加が認められたプロジェクトは、同社の最も高性能なモデルによる定期的なセキュリティスキャンを無料で受けられます。ただし、届くレポートに事前の人手レビューはなく、内容を検証して対応できる保守担当者に向けた任意参加のサービスです。

再現用の資料と、用意できる場合は修正案も

レポートには、問題を単独で再現するための資料と脆弱性の説明が含まれます。可能な場合は、問題が入り込んだ時点を特定する情報や修正案も付属します。

これらは、保守担当者が指摘を確かめるための材料です。修正案が必ず付くわけではなく、付いていても、その変更で問題を解消できるかを判断する必要があります。

発見が速くなっても、検証する人手は必要

Anthropicによると、過去6カ月で見つけた脆弱性の候補は2万9,000件超ですが、人がレビューし、対応の優先順位などを整理できたのは約6,000件でした。候補を見つける速度に、人手で確かめる作業が追いついていないことが背景にあります。

OSS Scannerは事前の人手による確認を省き、レポートをより早く届けます。その分、誤った指摘や深刻度の過大評価、プロジェクトの想定する脅威への誤解が含まれる可能性があります。

こうした報告への対応に人手を割けないプロジェクトに向けて、Anthropicは人が確認した脆弱性を伝える既存の協調的脆弱性開示（CVD）も継続します。

申請できるのは主要な保守担当者

申し込みは、プロジェクトの主要な保守担当者がOSS ScannerのGitHubリポジトリに、標準テンプレートに沿ったプルリクエストを提出して行います。

対象の考え方はGoogleのOSS-Fuzzに近く、基盤システムや利用者の安全に重大な影響を持つプロジェクトが条件となります。Anthropicが個別に判断するため、すべてのGitHubリポジトリが参加できるわけではありません。申請を考える場合は、対象条件に加えて、届く指摘の検証や優先順位付けに対応できるかも確認しておきたいところです。