Anthropic Cyber Missionとは何ですか?

Anthropicが2026-10-08(米国時間)に発表した、サイバー防御への長期の取り組みです。重要インフラを守るセキュリティ会社への支援(日立製作所を含む11社が創設パートナー)、オープンソースの無料の脆弱性スキャン「OSS Scanner」、防御目的のセキュリティ担当者がClaudeのサイバー能力を使える「Cyber Verification Program」の拡大からなります。

日本の会社も使えますか?

提供地域の制限は発表に書かれていません(2026-10-09確認)。ただし対象は、重要インフラ向けのセキュリティ会社、オープンソースの保守担当者、防御の仕事をするセキュリティチームです。一般の会社が申し込んで使うサービスではありません。自社のコードの点検には、Claude Enterprise向けのClaude Security(公開ベータ)があります。

OSS Scannerは無料ですか?

無料です。ただし対象は、インフラと利用者の安全に重大な影響を持つオープンソースで、保守担当者が登録し、個別に審査されます。報告はAIが作り、人の確認を通らないため、誤りが含まれることがあるとAnthropicは説明しています。

外注しているシステムについて、開発会社に何を聞けばよいですか?

使っているオープンソースの一覧があるか、保守契約に脆弱性の修正版の確認と適用が入っているか、重大な脆弱性のときに何日以内に適用するか、の3つです。AIで脆弱性が見つかる速さが上がると、修正版の数も増えます。適用を誰が判断するかを先に決めておくと、慌てずに済みます。

Anthropic Cyber Missionとは｜AIで脆弱性が大量に見つかる時代に、発注側の会社が保守契約で確かめること(2026年10月)

Anthropicは2026-10-08(米国時間)に、サイバー防御への長期の取り組みとして「Anthropic Cyber Mission」を発表しました。中身は、重要インフラの防御を担う会社への支援、オープンソースの無料の脆弱性スキャン、セキュリティ担当者がClaudeの防御向けの能力を使える枠の拡大の3つです。どれも一般の会社が申し込んですぐ使うサービスではありません。それでも、AIが脆弱性(ソフトウェアの弱点)を見つける速さに、直す側が追いついていないという発表の前提は、システムを外注している会社にも関係します。この記事では、2026-10-09時点の公式情報をもとに、何が発表されたかと、発注側がいま確かめておくことを整理します。

結論から

発表は3つの取り組みの束です。重要インフラ防御プログラム(日立製作所を含む11社が創設パートナー)、オープンソースの無料スキャン「OSS Scanner」、防御目的のセキュリティ担当者がClaudeのサイバー能力を使える「Cyber Verification Program」の拡大です。日本の一般の会社が申し込んで使う製品ではありません(2026-10時点)
前提にあるのは、AIで脆弱性を見つける費用が下がる一方、確かめて直す作業が追いつかないという問題です。Anthropicは、脆弱性が見つかってから直るまでに数か月かかる例を多く見たとしています。オープンソースの修正の連絡はこれから増えます
発注側がいま確かめることは、外注したシステムが使っているオープンソースの一覧があるか、保守契約に脆弱性の修正と更新の適用が入っているか、誰がいつ適用するかの3点です。自社のコードをAIで点検したい場合、Claude EnterpriseにはClaude Security(公開ベータ)があります

自社の場合はどうなるかを先に知りたい方へ。初回1時間の無料ヒアリングで、御社の状況に当てはめてお答えします →

何が発表されたのか

Anthropicは、攻撃者がサイバーの能力の高いAIモデルをすでに使える状況にあり、脆弱性を悪用する費用も下がっているとしています。そのうえで、脆弱性を見つけることはかつてなく簡単になったが、確かめて、優先順位を付けて、直す作業は難しいままだと説明しています。Cyber Missionはこの差を埋めるための取り組みで、まず重要インフラとオープンソースの2つから始めるとしています。

取り組み	中身(2026-10-08の発表)	対象
重要インフラ防御プログラム(CIDP)	電力・水道・交通などの制御システム(OT)を守るセキュリティ会社に、最新のClaudeモデル、現地に入るエンジニア、Anthropicの脅威調査を提供する。少数の参加企業から始める	重要インフラ向けのセキュリティ会社・コンサルティング会社・機器メーカー。創設パートナーはAccenture、Booz Allen、CrowdStrike、Deloitte、Dragos、日立製作所、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationの11社
OSS Scanner	登録したオープンソースのプロジェクトを、Anthropicの最も能力の高いモデルで定期的に無料でスキャンし、再現手順・説明・修正案を付けて報告する。報告はAIが作り、人は確認しない。正しい指摘の割合は9割超を見込む	インフラと利用者の安全に重大な影響を持つオープンソースの中心的な保守担当者(個別に審査)
Cyber Verification Program(CVP)の拡大	防御の仕事のために、Claudeのサイバー関連の能力を使えるようにする枠。今回、Project Glasswingを統合して対象を広げた	規模を問わずセキュリティチームが申し込める(重要インフラの運用者、オープンソースの保守担当者を含む)
その他	Python Software Foundation、OpenSSF、Apache Software Foundationなどへの資金提供。オープンソースの保守担当者向けにClaude Maxを無償提供する制度	オープンソースの保守担当者

数字で見る「見つかる速さ」と「直す遅さ」

OSS Scannerの発表によると、Anthropicは6か月のスキャンで2万9,000件を超える脆弱性の候補を見つけ、うち約6,000件を人が確認しました。48のプロジェクトの重大度が高い97件を調べたところ、85件(88%)が公表の手続きに乗せる水準だったとしています。一方で、Project Glasswing(先行した取り組み)では、脆弱性が見つかってから直るまでに数か月かかることが多かったとAnthropicは書いています。制御システムでは、止めて直せないため修正が何年も待たされることがあるとしています。

数字はいずれもAnthropic自身の公表値です。誤った指摘や重大度の過大評価があることも、Anthropicは認めています。

仕様の出典: Anthropic「Introducing the Anthropic Cyber Mission」(2026-10-08) / Anthropic「Launching an opt-in vulnerability-finding service for open source」(2026-10-08)

発注側にとって何が変わるか

日本の一般の会社がCyber Missionのプログラムに直接参加することは、ほとんどありません。関係するのは、発表の前提のほうです。業務システムやWebサービスは、外注したものでも、多くのオープンソースの部品を組み合わせて作られています。その部品の脆弱性がAIで次々に見つかり、修正版が出る間隔が短くなると、修正版を自社のシステムに入れる作業が追いつかなくなるおそれがあります。

国内でも、2026年9月下旬から会員向けのWebサービスやアプリへの不正アクセスの公表が相次いでいます。侵入経路が公表されていない事案も多く、脆弱性が原因かは分かりません。ただ、「脆弱性が見つかっても、修正の適用が遅れる」状態は、外注したシステムで起きやすい形です。保守契約に修正の適用が含まれていない、誰が判断するか決まっていない、という状態が珍しくないからです。

もう1つの変化は、AIが作った脆弱性の報告が増えることです。OSS Scannerの報告は人の確認を通りません。オープンソースの開発者が受け取る報告が増え、修正版の数も増えると、利用する側は「どの修正を、どの順番で入れるか」を決める場面が増えます。

日本の会社で使えるか

発表のページに、提供地域の制限や日本についての記載はありません(2026-10-09確認)。日本企業では、日立製作所が重要インフラ防御プログラムの創設パートナーに入っています。料金は、OSS Scannerが無料であること以外、公表されていません。

自社のセキュリティチームが脆弱性診断などの防御の仕事にClaudeを使っている場合は、Cyber Verification Programへの申し込みを検討できます。申し込みはAnthropicのポータルから行い、審査があります。

自社で開発したコードをAIで点検したい場合は、別の製品の「Claude Security」があります。GitHubのリポジトリをつないでスキャンし、指摘ごとに修正案を出し、結果をSlackやJiraに送れます。2026-04-30にClaude Enterpriseの利用者向けに公開ベータになりました。そのときの発表では、TeamとMaxの利用者向けは「近日」とされていました。製品ページでは、Claude Securityアプリでのスキャンに「Claude Mythos 5.1」が使われると説明しています(2026-10-09確認)。

仕様の出典: Claude「Claude Security」製品ページ(2026-10-09確認) / Claude「Claude Security is now in public beta」(2026-04-30)

いまやること・待ってよいこと

いまやること

外注したシステムごとに、使っているオープンソースの一覧(ソフトウェアの部品表。SBOMとも呼ばれます)があるかを開発会社に確かめる。無ければ、作れるかと費用を聞く
保守契約に、脆弱性の修正版の確認と適用が入っているかを確かめる。入っているなら、重大な脆弱性のときに何日以内に適用するかを決めておく
修正を入れるかどうかを、誰が判断するかを決める。開発会社に任せるのか、自社の情シスが承認するのかを一文で書いておく
社外から入れる入口(VPN機器、管理画面、会員サイト)の一覧を作る。脆弱性の修正は、外から届く場所から優先する

待ってよいこと

Cyber Missionの各プログラムへの参加。重要インフラ向けの会社やオープンソースの保守担当者でなければ、対象外です
AIによるコードの点検ツールの全社導入。試すなら、開発会社の了解を取ったうえで1つのリポジトリから始め、誤った指摘をどう扱うかを先に決めてください

出典

Anthropic「Introducing the Anthropic Cyber Mission」(2026-10-08): https://www.anthropic.com/news/anthropic-cyber-mission
Anthropic「Launching an opt-in vulnerability-finding service for open source」(2026-10-08): https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
Claude「Claude Security」製品ページ(2026-10-09確認): https://claude.com/product/claude-security
Claude「Claude Security is now in public beta」(2026-04-30): https://claude.com/ja/blog/claude-security-public-beta

よくあるご質問

Anthropic Cyber Missionとは何ですか?: Anthropicが2026-10-08(米国時間)に発表した、サイバー防御への長期の取り組みです。重要インフラを守るセキュリティ会社への支援(日立製作所を含む11社が創設パートナー)、オープンソースの無料の脆弱性スキャン「OSS Scanner」、防御目的のセキュリティ担当者がClaudeのサイバー能力を使える「Cyber Verification Program」の拡大からなります。
日本の会社も使えますか?: 提供地域の制限は発表に書かれていません(2026-10-09確認)。ただし対象は、重要インフラ向けのセキュリティ会社、オープンソースの保守担当者、防御の仕事をするセキュリティチームです。一般の会社が申し込んで使うサービスではありません。自社のコードの点検には、Claude Enterprise向けのClaude Security(公開ベータ)があります。
OSS Scannerは無料ですか?: 無料です。ただし対象は、インフラと利用者の安全に重大な影響を持つオープンソースで、保守担当者が登録し、個別に審査されます。報告はAIが作り、人の確認を通らないため、誤りが含まれることがあるとAnthropicは説明しています。
外注しているシステムについて、開発会社に何を聞けばよいですか?: 使っているオープンソースの一覧があるか、保守契約に脆弱性の修正版の確認と適用が入っているか、重大な脆弱性のときに何日以内に適用するか、の3つです。AIで脆弱性が見つかる速さが上がると、修正版の数も増えます。適用を誰が判断するかを先に決めておくと、慌てずに済みます。