Anthropic、Cyber Missionを開始 重要インフラ防衛プログラムとOSS Scannerを発表

CIDPは、電力網、水道、交通網などを支える制御技術（OT）の防御を担う事業者に、フロンティアClaudeモデル、現地に入るエンジニア、脅威リサーチを提供する枠組みである。創設パートナーはAccenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationの11社で、一部はすでにClaudeを使って脆弱性の修正や顧客支援を進めている。まずは少数の事業者と組み、どの方法が有効で実用的かを学ぶ段階とされる。重要インフラ向けのセキュリティ製品やサービスを手がける企業は、関心登録ができる。

OSS Scannerは、GoogleのOSS-Fuzzに着想を得たオプトイン方式のサービスである。参加プロジェクトには、最も高性能なモデルによる定期スキャンが無償で提供される。各レポートには悪用方法の概念実証、説明、可能な場合は修正案が含まれる。レポートはモデルが生成し、人手によるレビューなしで送られるため、深刻度の誤りなどが含まれる場合がある。Anthropicは真陽性率90%超を見込み、精度と修正品質の改善に取り組むとしている。十分に対応できる体制のプロジェクト向けで、それ以外にはCVDポリシーに基づく人手検証済みの開示を続ける。

背景には、Project Glasswingでの経験がある。パートナーが多くの脆弱性を見つけた一方、検証、優先順位付け、修正は依然として難しく、発見から修正まで数カ月かかる例も多かったという。OTでは稼働中の機械に安全に適用できるまで修正を待つ必要があり、ごく一部では数十年かかる場合もあると説明している。Glasswingは今週、拡充されたCyber Verification Programに統合された。6月には州・地方・部族・準州政府向けのサイバー防衛プログラムを開始し、米国の州の半数超などにモデルと技術支援を提供してきた。

今後数カ月で、CIDPをより多くのパートナーと分野に広げ、うまくいかなかった点も含めて知見を共有するとしている。オープンソース分野では、メンテナーへの発見の提供の迅速化、トリアージとパッチ適用の自動化、より安全な設計やコーディング手法の研究を進める。8月に始めたDefender Advantage Fund（0xDAF）がOSS Scannerの無償提供を支えており、Python Software Foundation、Alpha-Omega、OpenSSF、Apache Software Foundationなどにも資金提供している。重要なOSSのコアメンテナーはOSS Scannerに登録でき、セキュリティチームはCyber Verification Programに申請できる。