Anthropic OSS Scannerは、対象となるオープンソースプロジェクトへ、定期的なAIセキュリティスキャンを無料で提供する参加申請型サービスです。
2026年10月8日に発表され、Anthropicのモデルを使ってコードの脆弱性を調べます。
参加プロジェクトには、脆弱性の説明、再現用コード、可能な場合は候補パッチを含むレポートが届きます。
人間による事前のレビューを待たずに報告する仕組みのため、保守担当者が内容を検証し、重大度や修正の要否を判断する必要があります。
誰でも任意のコードを貼り付けて即時診断するツールではありません。
インフラや利用者の安全に重要な影響を持つOSSなどを対象に、プロジェクトの適格性と申請者が正当な保守担当者であることを確認します。
申請は公式GitHubリポジトリへのプルリクエストで行います。
対象リポジトリ、連絡先、ビルド環境のDockerfileなどを準備する必要があり、コードを受け取って修正できる保守体制も求められます。
日本語UI・日本語レポートの提供は、確認した公式資料には明記されていません。
参加が認められたOSSを初回に調査し、その後も新たに加わった問題や、前回見逃した可能性のある脆弱性を探します。
追加スキャンの頻度は、処理待ちのプロジェクト数や利用規模などで変わり、毎日・毎週といった固定間隔は保証されていません。
対象の判断では、外部から攻撃される可能性、依存する利用者やプロジェクトの数、更新状況、採用ライセンス、セキュリティ上の重要性などが考慮されます。
新設したばかりのプロジェクトや、元のOSSとの差が小さいフォークは通常対象になりにくいと説明されています。
無料であることと、どのリポジトリでも利用できることは別です。
コアの保守担当者が、anthropics/oss-scannerの所定の場所へproject.yamlを追加するプルリクエストを送ります。
リポジトリのURLと主な連絡先を設定し、依存関係の導入とビルドを行うDockerfileも準備します。
Dockerfileのビルド時にはネットワークを利用しますが、その後のエージェントによる監査はインターネットへ接続せず実行される設計です。
申請前にはローカルでコンテナをビルドし、テストが通るかを確かめることが推奨されています。
申請窓口はGitHubですが、調査対象のGitリポジトリ自体をGitHubでホストする必要はありません。
設定の形式は公式テンプレートと検証用スクリプトで確認できます。
調査後は、検出した問題をまとめたレポートがメールで届きます。
脆弱性の説明と再現情報を読み、対象の版や自分たちの使い方で問題が成立するかを検証できます。
可能な場合は修正候補も提供されます。
調査の内部には、別のエージェントによる確認、根本原因の分析、パッチの提案が含まれます。
ただし、人間がすべてを検証してから届けるレポートではありません。
誤検知、既知の問題との重複、重大度の過大評価などを保守側で確認する必要があります。
候補パッチも、そのまま適用する前にテストとコードレビューを行って採用を判断します。
任意の脅威モデルファイルで、調べてほしいコード、攻撃者が入力できる情報、対象外の範囲などを伝えられます。
重大度の基準や、再現用コード・候補パッチに求める形式についても記載できます。
たとえば、外部入力を処理するライブラリと、開発者だけが使う補助スクリプトでは、想定する攻撃条件が異なります。
プロジェクトの前提を伝えることで、受け取る指摘を評価しやすくなります。
脅威モデルは必須ではありませんが、指定がなければ判断が必要な箇所をスキャナーが推測します。
利用範囲が変わった際に更新し、次回以降の調査へ反映できます。
申請は人間が確認し、コアの保守担当者からの依頼か、レポートの送付先が正当なセキュリティ連絡先かを検証します。
結果を送る前にも確認され、連絡先が変わった場合は登録情報の更新が必要です。
GPG公開鍵を設定するとメールを暗号化して受け取れます。
その場合は追加のCCを設定できず、主連絡先だけへの送信となります。
通常の共有と暗号化を同じ条件で併用できるわけではありません。
報告を止めたい場合は設定へdisabled: trueを追加するプルリクエストで一時停止でき、登録ディレクトリを削除して参加を終了する方法もあります。
停止後は通常の協調的脆弱性開示の仕組みに戻ります。
インフラや利用者の安全に関わるOSSを保守し、脆弱性レポートを検証する担当者と、パッチを評価する開発体制があるプロジェクトに向いています。
既存の重大な指摘に対応できていて、さらに調査の機会を増やしたい場合に検討できます。
小規模でも重要なOSSは申請の余地がありますが、規模や知名度だけで採否は決まりません。
保守担当者自身が重要性を説明し、ビルド可能な環境と正しい連絡先を用意することが必要です。
私有コードを持つ企業向けには、別製品のClaude Securityと区別して検討します。
OSSの保守では、機能開発や不具合対応に加え、コード全体を定期的に調査する人員を確保しにくいことがあります。
OSS Scannerは、外部からAIによる調査と再現情報、候補パッチを届け、保守担当者が検証と修正へ着手する材料を提供します。
人間の事前レビューを省く分、結果を早く受け取れる仕組みですが、受け手側の検証作業は増える可能性があります。
調査を無料で受けることだけでなく、届いた報告へ継続的に対応できるかを踏まえて導入を判断するサービスです。
ツールのウェブサイトにアクセスして使ってみよう！
.png){kind=logo}
レビューと評価