Anthropic Cyber Mission

Anthropic は、重要なインフラとオープンソースソフトウェア (OSS) の防御者に、システムを保護するためのツール、研究、リソースを提供する長期的な取り組みである Anthropic Cyber Mission を開始しました。この取り組みは、防御者が直面するリソース不足に対処するとともに、国家支援を受けた敵対者が脆弱性を悪用するためにAIをますます活用している状況に対抗することを目的としています。

クリティカルインフラセキュリティプログラム (CIDP)

Anthropic は、電力網、水道システム、交通網を駆動するオペレーショナルテクノロジー (OT) — コントローラー、制御ソフトウェア、産業ネットワーク — を保護するための クリティカルインフラセキュリティプログラム (CIDP) を導入します。OT システムはしばしばパッチ適用のためにオフラインにできないため、独自の脆弱性を持つことが多く、プロプライエタリな機器に依存していることも特徴です。

CIDP は、先進的な Claude モデル、現場のエンジニア、脅威研究を、信頼できるセキュリティプロバイダーのグループに提供します。創設パートナーには以下の企業が含まれます：

  • コンサルティングおよびテクノロジー企業： Accenture、Booz Allen、Deloitte、PwC。
  • セキュリティ企業： CrowdStrike、Dragos、Insane Cyber、Nozomi Networks、Palo Alto Networks。
  • 産業メーカー： Hitachi、Rockwell Automation。

これらのパートナーは Claude を使って、重要なサービスの中断を引き起こす可能性のある工業環境内の脆弱性を特定・修復します。このプログラムは、6月に開始された州・地方・先住民・準州政府向けのサイバー防御プログラムの延長であり、すでに米国全州の半数以上に支援を提供しています。

オープンソースソフトウェアの強化

現代のソフトウェアが依存する共有コードを強化するために、Anthropic は OSS Scanner を開始します。これは、先進的なモデルを使用して、オープンソースプロジェクトを定期的に無料でセキュリティスキャンするオプトインサービスです。

OSS Scanner の機能

  • 自動レポート生成： プロジェクトは、悪用の概念実証、バグの説明、推奨される修正方法を含むモデル生成レポートを受け取ります。
  • パフォーマンス： Anthropic は真陽性率が90%以上になると予想していますが、レポートは人間によるレビューなしに送信されるため、深刻度の評価に誤りが含まれる可能性があります。
  • 対象となるプロジェクト： このサービスは、スケールでフィンディングをトリアージできる能力を持つプロジェクトを対象としています。そのような能力がないプロジェクトは、Anthropic の調整された脆弱性開示 (CVD) プロセスを通じて、人間が検証した開示を引き続き受け取ります。

長期的な OSS の目標

Anthropic は、手動でのトリアージから自動化されたパッチ適用への移行を加速し、単なるパッチ適用を超えた新しいセキュアなアーキテクチャやコーディング手法の研究を進めることを目指しています。このエコシステムを支援するために、Anthropic は Python Software Foundation、Apache Software Foundation、Linux Foundation（Alpha-Omega および OpenSSF を通じて）、および脆弱性調整担当者である Akrites と Gold Eagle に資金提供を行っています。

戦略的文脈と「防御者の優位性」

Anthropic の取り組みは、AI が脆弱性の悪用コストを低下させた一方で、検証および修正プロセスは依然として遅く、人間依存であるという事実に由来しています。Project Glasswing からの教訓では、脆弱性の発見から解決までに数か月がかかることがよくありました。

Anthropic は、2年以内に AI が防御に有利に働くと予測しており、ソフトウェアのリリース前にバグを発見しやすくなり、根本的にセキュアなソフトウェアを書くことが可能になると見込んでいます。その間、サイバー・ミッションは、マシンスピードでの攻撃と人間スピードでの防御のギャップを埋めることを目指しています。

アクセスと参加方法

Anthropic は、セキュリティ専門家が自らのツールに参加するための複数の道を提供しています：

  • クリティカルインフラプロバイダー： セキュリティベンダーおよび機器メーカーは CIDP に登録できます。
  • OSSメンテナ： コアメンテナは OSS Scanner に登録できます。
  • セキュリティチーム： オペレータおよびメンテナは、Cyber Verification Program に応募し、Claude のサイバー能力への拡張アクセスと、ブロッキング分類器の低減を受けることができます。

Sources