AIのニュースは、この秋だけでも「どのモデルがいちばん賢いか」「どこがいちばん安いか」「どのAIに何を預けるか」で賑わってきました。そこへ今週、少し毛色の違う発表が加わりました。テーマは、“守り”です。

AIを開発するAnthropic（アンソロピック／対話AI「Claude」の会社）が、サイバー攻撃から“守る側”を支援する長期的な取り組み「Anthropic Cyber Mission」を発表しました。目玉のひとつは、オープンソースのソフトウェアを“無料”で脆弱性スキャンし、弱点だけでなく“直し方”まで出してくれる仕組み。攻撃に使われることが心配されてきたAIが、今度は守る側に無料で回り始めたわけです。

ただし、手放しで喜べる話でもありません。この無料スキャナには、「AIの報告を、人が確認せずに出す」という割り切った設計が入っています。昨日お伝えした「“外に送るAI”の止め方」と同じく、ここでも便利さと“人の確認をどこに残すか”がセットで問われます。中小企業の目線で、順に見ていきましょう。

何が発表されたのか

Anthropicが2026年10月8日に発表した「Cyber Mission」は、守り手（セキュリティ担当者や運営者）をツール・研究・資金で支える取り組みです。中身は大きく2つに分かれます。

① OSS Scanner ──「無料」で弱点を見つけ、直し方まで出す

ひとつ目が OSS Scanner。私たちが日々使うアプリやサービスの土台には、オープンソースソフトウェア（OSS＝誰でも使える無料の部品）が大量に組み込まれています。このOSSを、Anthropicの最も高性能なAIが、無料で、定期的に点検してくれる、というのがこのサービスです。

ポイントは3つあります。

  • 無料：費用はかかりません。
  • 希望したプロジェクトだけ（オプトイン）：運営者が「点検してほしい」と申し込んだプロジェクトが対象で、勝手に全部を調べて回るわけではありません。
  • “直し方”まで出す：報告には、見つけた弱点の説明に加え、それが本当に突けることを示す実証（PoC）と、修正案（直すためのパッチ）まで付きます。「危ないですよ」で終わらず、「ここをこう直してください」まで示すのが特徴です。

② 重要インフラ防御プログラム（CIDP）──電気・水道・交通を守る

ふたつ目が Critical Infrastructure Defense Program（CIDP／重要インフラ防御プログラム）。こちらは私たちの生活を支える電力網・水道・交通網、政府システムといった“社会インフラ”の守りが対象です。高性能なClaudeモデルに加え、現地に入るエンジニアと脅威の研究をセットで提供します。創設メンバーには、大手コンサルやセキュリティ企業、産業機器の会社など11社（Accenture、Deloitte、PwC、CrowdStrike、Palo Alto Networks、Hitachi、Rockwell Automation など）が名を連ねました。

これは中小企業が直接使うプログラムではありません。ただ、「社会のインフラを守る側にAIが本格投入され始めた」という大きな流れを示す発表です。

③ ただし「人のレビューなし」という割り切り

見逃せないのが、OSS Scannerの報告がAIが自動で作り、人の確認を経ずにそのまま送られる（人のレビューなし）設計だという点です。Anthropicは「報告の9割超は“当たり”になる見込み」としていますが、裏を返せば、一定の割合で“空振り（誤検知）”も混じりうるということです。

また、報道では「見つけた弱点を一般公開しない方針」や、「報告は大量に出ているが、実際に修正まで至った割合はまだ低い」といった指摘も出ています（これらは報告時点の数字や、論者による評価を含みます）。“AIがたくさん見つけること”と、“ちゃんと直ること”は別――この距離感が、無料スキャナの現実的な論点になっています。

なぜ、これが“中小企業の話”なのか

「大企業やインフラの話でしょう」と思うかもしれません。ですが、ここには中小企業にとって見逃せない変化が2つあります。

ひとつは、AIの役回りが「攻める道具」から「守る道具」へ広がってきたこと。これまでは「AIが攻撃に悪用される」心配ばかりが語られてきました。今回のように、AIが無料で弱点を見つけ、直し方まで出す流れが太くなれば、あなたの会社が使っているアプリやサービスの“土台”も、知らないうちに安全性が底上げされていきます。人手も予算も限られる中小企業にとって、これは静かな追い風です。

もうひとつは、「AIの診断を、そのまま信じてよいか」という論点が、そのまま自分たちの話になること。OSS Scannerに限らず、これから中小企業が触れる「AIによる自動チェック」の多くは、スピード優先で“人の確認を省く”方向に進みます。便利ですが、9割当たるツールは、1割外すのです。

中小企業の持ち帰り3つ

① AIは“守る道具”にもなる、と知っておく

まず前提をアップデートしましょう。AIは、文章を書いたり業務を自動化したりするだけでなく、セキュリティを“守る側”でも働き始めています。無料で弱点を見つけ、直し方まで出すサービスが現れたということは、「セキュリティ対策＝高額な専門サービスを買うしかない」という時代が、少しずつ変わっていくということ。まずは「守りにもAIが使える」という選択肢を、頭の片隅に入れておくだけで十分です。

② 自動診断も、最後は人が確かめる

便利な自動チェックほど、出てきた結果を鵜呑みにしない。これが鉄則です。今回のスキャナも「9割超は当たる見込み」。逆に言えば残りは空振りかもしれないので、指摘を実際に直す前に、人が“本当に問題か”を一度確かめる。昨日の「“外に出す”前に人が止める」と、まったく同じ考え方です。AIに見つけさせる・下書きさせるのは大歓迎。でも、“適用する”“公開する”“外に送る”という最後の一手だけは、人が握る。この線引きが、便利さを安全に使うコツです。

③ セキュリティは“うちには関係ない”をやめる

「サイバー攻撃は大企業の話」という感覚は、もう危うくなっています。守る側のAIが無料・自動で広がる流れは、中小企業こそ恩恵を受けられる変化です。だからこそ、「うちのホームページやシステムは、どこが弱いのか」を一度点検する一歩を踏み出してみてください。大がかりな投資は要りません。使っているサービスの更新を溜めない／古い部品を放置しないといった基本だけでも、守りは大きく変わります。

まとめ：これからの基準に「守り方」が加わる

AIを選ぶ・使う基準には、この秋だけでも「賢さ」「安さ」「情報の渡し方」「止め方」が積み重なってきました。今回の発表は、そこへもう一枚、「守り方（AIをどう“守る側”に活かすか）」を加えるものです。

むずかしく構える必要はありません。AIは守る側でも働き始めた。けれど、その診断も最後は人が確かめる。そして、セキュリティはもう“うちには関係ない”では済まない――この3つを押さえておくだけで、無料で広がり始めた“守りのAI”を、中小企業も落ち着いて味方につけられます。賢く・安くなったAIを、安心して日常に組み込むための、現実的な備えです。

参考

本記事は、複数の公開情報をもとに作成しています。Cyber Missionの資金額や「開示件数・修正件数」などの数値は報道・発表時点のもので、今後変動しうるものや、本記事執筆時点で一部未確認の項目を含みます。OSS Scannerは希望したプロジェクトのみを対象とするオプトイン型で、真陽性率「9割超」はAnthropicの見込み値です。CIDP（重要インフラ防御プログラム）は中小企業が直接申し込む枠組みではありません。

あわせて読みたい