Anthropic、防御側を支援する「Cyber Mission」を始動

何が発表されたか

• 2026年10月8日発表。防御側にツール・研究・リソースを提供する長期プログラム「Cyber Mission」を開始。まず重要インフラとオープンソースの2領域から着手。
• Critical Infrastructure Defense Program（CIDP）：信頼できるセキュリティ事業者にフロンティアClaudeモデル、常駐エンジニア、脅威リサーチを提供。電力・水道・交通・政府系のOT保護が対象。創設パートナーはAccenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automation。
• OSS Scanner：登録したOSSプロジェクトに、最上位モデルによる定期スキャンを無償提供。レポートにはPoC、説明、可能なら修正案が付く。人のレビューを経ずに送付されるため誤りを含む可能性があり、真陽性率は90%超を見込むとしている。
• Defender Advantage Fund（0xDAF）が原資。今週はProject Glasswingを拡張版Cyber Verification Programに統合したことも公表済み。
• 「AIは2年以内に防御側に有利になる」と見込みつつ、短期は攻撃側が有利（脆弱性の悪用コストは下がったが修正は手作業のまま）との認識を示している。

実務への影響

直接の使いどころは少ないが、依存ライブラリ側の動きとして効いてくる。WordPressプラグイン、Composer／npmパッケージ、Laravel系ライブラリなどがOSS Scannerに登録すれば、これまで見つかっていなかった脆弱性の報告と修正リリースが増える。保守契約を持つ案件では、更新頻度が上がる前提で工数を見ておくのが現実的。四半期ごとのまとめ更新で足りていたサイトが、月次の対応を必要とし始める可能性がある。

逆方向の読みも必要で、「誤りを含みうるレポートが人のレビューなしに送られる」運用は、OSSメンテナ側の負荷を押し上げる。自分がプラグインやテーマを公開している立場なら、issueの質が落ちる期間を想定しておきたい。

国内のWeb制作・EC受託で直接申し込む対象ではないが、クライアントのセキュリティ説明資料で「モデル提供元が防御側に投資している」という文脈は使える。前日に公表されたKurocoのプレスリリースでも、Cyber Verification Programへの申請が言及されている。