OSSの弱点をAIが無料点検。直すヒントも届く

Anthropicが10月8日、重要なオープンソースの安全点検を無料で支援する「OSS Scanner」を発表しました。確かめるための再現手順と、可能な場合には修正案も届きます。ただし、参加には申請と審査があり、届いた報告を人が検証する必要があります。

30秒のまとめ動画。くわしい内容と図解は、下の「Xで記事を読む」から。

30 sec

30秒でわかる、この速報

いつ: 2026年10月8日。公式発表ページの日付で、日本時間への換算はしていません
だれが: Claudeを開発するAnthropic
なにを: 重要なOSSを、同社の強力なAIモデルで定期的に検査するサービス
どこで使える: 対象プロジェクトの主要な保守担当者が、公式GitHubから申請
いくら: 採用されたプロジェクトへの検査と報告は無料。修正を確認する人の作業は必要
なにが変わる: 弱点の説明、再現手順、可能な場合は修正案を、保守担当者へ直接届ける

Points

おさえるところ

公式発表の日付は2026年10月8日。日本時間への換算はしていない。OSSはオープンソースソフトウェアの略で、ソースコードが公開され、ライセンスの条件に沿って利用や変更ができるソフト
ClaudeDevsの投稿には「Each finding includes a proof-of-concept, and a patch where possible.」とある。見つかった問題には、確かめるための実証例と、可能な場合には修正案が付く。全件に完成済みの修正版が付き、自動で公開まで進むとは書かれていない
無料なのは、審査で認められた重要なプロジェクトへの検査と報告。一般利用者向けの無料セキュリティアプリではない。通常のClaudeの有料プランに入れば審査を省ける、とも案内されていない
報告はAIが作り、人による事前の内容レビューを経ずに届く。従来の、人が検証した脆弱性を知らせる取り組みに加えて、未レビューの報告を早く受け取りたいプロジェクト向けのルートが増えた
公式発表の初期版の検証では、48プロジェクトの、危険度がcriticalまたはhighとされた97件を専門家が調べた。85件が同社の開示プロセスの基準を満たし、11件は既知の問題などとの重複、1件は無効だった。選ばれた高危険度の報告の結果で、すべてのOSSでの成績を示す数字ではない
申請するのは、プロジェクトの主要な保守担当者、またはその権限を与えられた人。新しく作ったばかりのものや、元のプロジェクトとの差が小さいフォークは、通常は対象にならない
参加の流れは3STEP。対象条件と申請する権限を確認する、検査できる環境と連絡先を準備する、公式GitHubへ設定を追加するPRを出す。環境を組み立てる段階にはネット接続があり、その後の監査はインターネットなしで進む
「無料」は検査と報告の範囲。報告を読む時間、再現する時間、修正を確認する時間はかかる。修正案が付いていても、問題が解消するか、必要な機能が保たれるかを、担当者が確かめてから採用する
「すべての報告が受領から90日後に公開される」という理解は誤り。未検証の自動報告に、一律の90日間の公開期限を課すという案内ではない
利用規約にはConsumer Termsも組み込まれ、その最低年齢は18歳、または所在地で必要な同意年齢がそれより高い場合はその年齢。申請は、対象プロジェクトを維持する権限のある大人の担当者が行う想定