Anthropic、ClaudeでOSS25案件を解析し約500件のセキュリティ問題を検出

Anthropicは2026年10月22日、AIモデルのClaudeを用いてC、C++、Java、PHP、Pythonで書かれた主要オープンソースプロジェクト25件を解析し、約500件のセキュリティ問題を検出したとする調査結果を公開した。対象となったコードは合計500万行を超える。米メディアのtechradar.comが伝えた。

解析では、セキュリティに関係する設定オプションが3,842件含まれる1万7,000件以上の設定項目をClaudeが洗い出した。認証済みユーザー向けに設計された11案件すべてに、本来到達できないはずのコードに到達できる箇所があった。デフォルト設定における認証前の攻撃面は93件、認証前にコードが実行される箇所は37件、認証前の制御を損なう設定の組み合わせは61件見つかったという。

また、意図した動作の説明が文書化されていない設定の組み合わせが162件確認された。設定上の欠陥の一つは20年以上にわたって検出されていなかった。

事例として取り上げられたOpenSSHでは、デーモンがサーバー設定で許可されているかを確認する前に、実験的な耐量子署名アルゴリズムのコード約4,500行に到達できる状態だった。Anthropicの指摘を受け、OpenSSHはバージョン10.6で修正を公開し、未認証のクライアントから到達できないコードが約20%になった。

Anthropicはこれらの手法を再利用可能なClaudeスキルとしてまとめ、無料のオプトイン型OSSセキュリティスキャンサービスOSS-Scannerに組み込む方針を示した。同スキルは動的なプログラムトレースで検出結果を検証し、提案する変更を既存の動作と照合する。動作に影響し得る変更は人間の確認に委ねる。