何が起きたか
10月8日、AnthropicのFrontier Red TeamがOSS Scannerを発表した。これは、対象となるオープンソースプロジェクトに定期的かつ完全にモデル生成されたセキュリティ監査を無料で提供するオプトインサービスであり、Claude Mythosを含む最強モデル群によって生成される。初期バージョンの検証結果: 48プロジェクトにわたる97件の重大/高重要度の所見のうち85件(88%)がAnthropicのCVD基準を満たした。PostgreSQL、OpenSSL、wolfSSL、curl、HotCRPのメンテナへの早期開示には、再現コードと候補パッチを伴う連鎖型の未認証RCEエクスプロイトが含まれていたほか、74件のwolfSSLレポートから5件のCVEが発行された。
なぜ重要か
これにより、Frontier Red Teamのボトルネックとなっていた手動の脆弱性開示パイプラインが、エコシステム全体に及ぶ無料サービスへとスケールする。メンテナは、LLMが発見するのと同じ速さで生のモデルレポート(エクスプロイトとパッチ付き)を受け取れるようになる。これは、誰が最初にAI脆弱性発見を得るかという点において桁違いの変化であり、同じモデルを数分で悪用できる攻撃者に対峙するものだ。
適用範囲
対象となるオープンソースプロジェクトの中核メンテナは、直ちにオプトインすべきである。セキュリティリーダーとOSS財団は、重要な依存関係のどのプロジェクトが提出するかを追跡し、迅速化されたレポートフローに注目すべきである。