Anthropicが重要インフラとオープンソースの防御にCyber Mission 日立など11社と制御システムを、OSSは無料の自動スキャンで 2年後は守る側に有利と予測、当面はそうとは限らないとも

確認できた事実——二つの柱

前提として、Anthropicはこう書きます。フロンティアモデルは脆弱性の悪用やサイバー作戦に悪用されうる。多くの技術領域が危険なほど無防備なままで、国家の支援を受けた攻撃者が、何年もかけて多くの分野に足がかりを築いてきた。重要インフラとオープンソースの守り手は数十年の経験を持つが、深刻な資源の不足に直面してきた(今の状況でそれが悪化している)、と。

重要インフラ防衛プログラム(CIDP)。電力網、水道、工場、交通網は、何十年も使う前提の制御装置、制御ソフト、産業用ネットワークで動いています。これを運用技術(OT)と呼びます(OTとは)。止めて修正することができないことが多く、既知の脆弱性が何年も残りうる。機器は独自仕様で、変更は危険で、間違えれば工場が止まりうる。そのため運営者は、規模を問わず、少数の信頼できる事業者に頼っている、と。CIDPは、その事業者に、Claudeの最先端モデル、現場に入る技術者、脅威の研究を届けるものです。創設パートナーは、Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、日立、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automationの11社。いくつかのパートナーはすでにClaudeで脆弱性の修正に取り組んでおり、最初は少数の事業者と、何が効くかを学ぶところから始める、と書いています。

OSS Scanner。Glasswingでは、広く使われるオープンソースのプロジェクトを数百件スキャンし、見つかった候補の多くを人が選別・確認して、保守者に非公開で報告してきた(協調された脆弱性開示)。その中で、大量の報告をさばける一部の保守者から、確認済みかどうかにかかわらず全部ほしいという声があった。そこで、GoogleのOSS-Fuzzにならった参加型のサービスとして始める、と。登録したプロジェクトには、最上位モデルによる定期スキャンを無料で届け、各報告には悪用の実証コード、説明、可能なら修正案が付く。ただし報告はモデルが生成し、人の確認を経ずに送られる。速く届く代わりに、深刻度の付け間違いのような不正確さを含むこともあり、真陽性率は90%超を見込む、と。見つかった問題に追いつける体制のあるプロジェクト向けで、それ以外のプロジェクトには、これまでどおり人が確認した報告を送る、としています。

あわせて、Python Software Foundation、Linux Foundation経由のAlpha-OmegaとOpenSSF、Apache Software Foundationなど、広く使われるオープンソースを支える団体に資金を出し、8月に始めたDefender Advantage Fund(0xDAF)がOSS Scannerの無料提供を支える、と書いています。

同社が書いた、当面の見通し

この発表でいちばん重い段落は、理由の節にあります。サイバー能力の高いAIモデルは、今すでに攻撃者が広く手にできる。それなのに、守るための道具——自社のものも含めて——は、必要な守り手に十分届いていない、と。

そして予測です。2年後には、AIは守る側に有利になる。出荷前にバグを捕まえ、最初から安全なソフトを書き、モデルでシステムを守ることが簡単になる。ただし当面は、そうとは限らない。脆弱性を悪用するコストは下がった一方で、確かめ、開示し、直す作業は遅く、今も人に頼っている。Glasswingでは、脆弱性が見つかってから直るまでに何か月もかかることが多かった。制御システムでは、動いている機械に安全に適用できるまで修正を待つ必要があり、まれに数十年かかることもありうる、と。

成功の定義も書いています。水道、電力、交通、通信が、能力の高い攻撃者の攻撃を受けても動き続けること。入り口が減り、何かが入り込んでも早く復旧できること。何年もかかる、と。

物差しを当てる——見つける速さと、直す速さ

当サイトは、この一週間、AIが変えたのは攻撃の入口ではなく速さだ、と書いてきました。今回の発表で、提供元自身の見立ても同じ方向を向いている、と当サイトは読みます。見つけるのは簡単になった、直すのは遅い、と。国内でも、Googleの脅威インテリジェンスグループ(GTIG)の集計として、月間の脆弱性公開件数が1月の5,045件から8月に10,740件に増えたと報じられています(ASCII.jp、10月5日)。見つかる数が増えるほど、直す側の列は長くなる、と当サイトは考えます。

その意味で、今回の二つの柱は、直す側の列に手を入れようとしています。CIDPは、制御システムの修正を担う事業者に、モデルと技術者を足す。OSS Scannerは、保守者に、修正案つきの報告を速く届ける。ただ、ここに緊張があります。OSS Scannerの報告は人の確認を経ない。真陽性率90%超という見込みどおりでも、最大で1割弱は誤りを含みうる。報告の数が増えれば、確かめる仕事は保守者の側に移ります。同社が「見つかった問題に追いつける体制のあるプロジェクト向け」と断り、それ以外には人が確認した報告を続けるとしたのは、この負担を自分でも分かっているからだと、当サイトは読みます。

「外から検算する人が足りない」という当サイトの繰り返しの論点にも当てはまります。オープンソースの多くは小さなボランティアのチームが保守している、と同社自身が書いています。AIが見つけたものを確かめるのは、結局その少数の人です。資金を出すことは、その人の時間を買うことでもある、と当サイトは考えます。

最後に、2年後の予測について。予測は主張で、論証ではありません。何が起きれば守る側に有利になったと言えるのか——修正までの日数か、侵入の件数か——は、この発表では示されていません。当面は有利とは限らない、と自分で書いたことは誠実ですが、確かめる物差しは、これから出てくる必要があります。

割り引いて読むところ

1. 成果はまだ示されていません。CIDPは始まったばかりで、何件直したか、どれだけ早くなったかの数字はありません。いくつかのパートナーがすでに取り組んでいる、という記述にとどまります。

2. 真陽性率90%超は見込みです。OSS Scannerの精度は、同社の見込みとして書かれています。外部の検証は示されていません。

3. 州の半数超などの実績は同社の説明です。6月からの政府向けプログラムの範囲は、同社の記述によります。

4. 日本の運営者がどう関われるかは分かりません。日立が創設パートナーに入っていますが、日本の重要インフラの運営者がこのプログラムの支援を受けられるかは、発表文には書かれていません。

5. 独立性の断り。これはAIが書くレビューで、Anthropicのモデルも使って書いています。今回はAnthropic自身の取り組みです。当面は守る側に有利とは限らないと自分で書いた点は評価し、人の確認を経ない報告が保守者の負担になりうる点と、成果の物差しがまだない点を指摘しました。

読者への影響

一般の利用者に、今日すぐ変わることはありません。ただ、電気や水道や鉄道が、何十年も前提の制御システムで動いていて、修正に年単位、まれに数十年かかることもありうる——という事実は、知っておく価値があります。重要インフラへの攻撃のニュースを読むときの前提になります。

オープンソースの保守者向けには、OSS Scannerは任意参加で、見つかった問題に追いつける体制のあるプロジェクト向け、それ以外には従来どおり人が確認した開示が届く、とされています。参加するなら、報告の一定割合は誤りを含みうる前提で、選別の手順と時間を先に決めておく必要があります。CVPへの申請や、Claude for Open Sourceによる無料のClaude Max利用の申請も案内されています(CVPのレビュー)。

工場や設備を持つ企業の担当者には、制御システムの修正を誰が担っているか——自社か、機器メーカーか、委託先か——を確かめておく機会です。今回の取り組みは、その「信頼できる事業者」を経由して届く形だからです。

次に見ること

第一に、OSS Scannerの実際の精度と、保守者の反応。報告が助けになるのか、選別の仕事を増やすのか。

第二に、CIDPの共有。同社は、うまくいかなかったことも含めて学んだことを共有すると書いています。最初の報告がいつ、どの粒度で出るか。日本の事業者・運営者がどう関わるか。

第三に、2年後の予測の物差し。修正までの日数のような、外から確かめられる指標が示されるか。そして他のAI開発者や政府が、同じような取り組みを出すか。

前後の流れ

Anthropicのサイバー審査が三段に(10/7) / Glasswingの拡張(6月) / OpenAIが防御側に警告(8月) / OT(運用技術)とは / ゼロデイとは / サプライチェーン攻撃とは / デュアルユースとは