Anthropic、Claude Code Securityのリサーチプレビューを発表

TL;DR

Claude Codeに組み込まれたAI搭載の脆弱性スキャナーであるClaude Code Securityは、現在、限定的なリサーチプレビューとして提供されており、従来のルールベースのツールでは見逃される複雑なセキュリティ問題を自動的に検出し、修正することを可能にします。

Claude Code Securityとは

Claude Code Securityは、Claude Codeのウェブインターフェースに統合された新しい機能です。コードベースの静的解析を行い、セキュリティ上の欠陥を特定し、人間によるレビューのための的を絞ったパッチ提案を生成します。このサービスは現在、EnterpriseおよびTeamのお客様に提供されており、オープンソースのメンテナーには迅速な無料アクセスが提供されます。

従来の静的解析との違い

従来の静的解析ツールは、ルールベースのパターンマッチングに依存しており、露出した認証情報や古い暗号化技術などの明らかな問題を見つけ出します。対照的に、Claude Code Securityは、人間のセキュリティ研究者のようにコードを読み、推論します：

  • コンポーネント間の相互作用とデータフローを理解する。
  • ビジネスロジックのエラーやアクセス制御の不備など、ルールベースのスキャナーが通常見逃してしまう複雑な問題を検出する。
  • Claudeが各検出結果を再検証し、それが正しいか否かを証明または否定することで、多段階の検証を行う。これにより、誤検知を減らす。
  • 修正の優先順位を付けるために、重要度と信頼度の評価を割り当てる。

すべての検出結果は専用のダッシュボードに表示され、アナリストは提案されたパッチをレビューし、修正を承認することができます。コードが自動的に変更されることはありません。開発者が最終的な決定権を保持します。

技術的基盤と最近の実績

Claude Code Securityは、Claudeのサイバーセキュリティ能力に関する1年以上の研究に基づいています。これには以下が含まれます：

  • Capture-the-Flagイベントへの参加。
  • AI支援による重要インフラ防衛に関するPacific Northwest National Laboratoryとの共同研究。
  • Claude Opus 4.6（2026年初頭にリリース）を使用して、本番環境のオープンソースプロジェクトにおいて、500件以上のこれまで未知の脆弱性を発見。その多くは、専門家によるレビューにもかかわらず、長年存在し続けていました。

Anthropicは、影響を受けるメンテナーとの間で責任ある開示を調整しており、コミュニティの関与を拡大する計画です。

デプロイメント・ワークフロー

  1. Code Ingestion – ClaudeはClaude Codeインターフェースを介してリポジトリをスキャンします。
  2. Automated Reasoning – モデルはコードのセマンティクス、データフロー、およびコンポーネント間の相互作用を分析します。
  3. Verification Loop – Claudeは各検出結果を検証しようと試み、誤検知の可能性が高いものをフィルタリングします。
  4. Severity & Confidence Scoring – 検出結果には、トリアージをガイドするための定量的な評価が割り当てられます。
  5. Dashboard Review – セキュリティチームは検出結果を検査し、提案されたパッチを閲覧し、修正を承認または拒否します。

セキュリティ・ランドスケープへの影響

Anthropicは、AIは諸刃の剣であることを強調しています。防御側にとって力を与える機能が、攻撃者によって武器化される可能性もあります。Claude Code Securityを防御側に先にリリースすることで、Anthropicは、ソフトウェアエコシステムのセキュリティの基準を底上げし、AIを活用したエクスプロイトのリスクを軽減することを目指しています。

この発表は、大規模なAI駆動型コードセキュリティへの移行を示唆しており、Claudeのようなモデルが、世界のコードベースの大部分を継続的にスキャンすることを間近に控えていることを示唆しています。

はじめに

興味のある組織は、リサーチプレビュープログラムを通じて早期アクセスを申請できます。オープンソースのメンテナーは、迅速かつ無料のアクセスをリクエストすることが推奨されます。

関連するAnthropicの発表

Sources

関連