わさびです。
Anthropicが「Claude Code Security」を発表した。Enterprise・Teamプランのリサーチプレビューとして提供が始まった機能で、AIがコードの脆弱性を自律的に検出する。
数字だけ先に出しておく。実際の本番OSSコードに対して試したところ、500件以上の脆弱性を発見した。その中には数十年間、誰にも見つけられていなかったバグが含まれていた。
Claude Code Securityとは何をするのか
通常のセキュリティツールは「パターンマッチング」で動く。既知の脆弱性のパターン（SQLインジェクション、XSSなど）と照合して、一致するコードを見つける。SemgrepやSnykのアプローチがこれだ。
Claude Code Securityは別のアプローチを取る。Claude Opus 4.6が実際にコードを読んで、ロジックの流れを理解したうえで脆弱性を探す。既知パターンに限定されないため、今まで定義されていなかった種類のバグも発見できる。
発見した脆弱性に対しては、検証コードの生成まで自動で行う。つまり「これが問題」と指摘するだけでなく、「こういう入力を送るとこう壊れる」という実証コードを出力する。
マルチステージ検証で偽陽性を減らす
脆弱性スキャナの課題は偽陽性（false positive）だ。「問題あり」と報告されたものが実際には問題ないケースが多すぎると、開発者は報告を無視するようになる。
Claude Code Securityはこれに対して「マルチステージ検証」を採用している。
発見した脆弱性候補を複数のステップで再評価し、実際に悪用可能かどうかを確認してから報告する仕組みだ。具体的な検証ステップの内容はAnthropicから公開されていないが、Anthropicが強調しているのは「開発者が最終承認を行う設計」という点だ。全自動で修正まで実行するのではなく、脆弱性の提示と検証コードの生成まではAIが行い、実際の対処は人間が判断する。
数十年埋もれていたバグとは何か
今回の発表で特に注目されたのが「数十年未発見のバグ」という表現だ。
具体的なコードベースやバグの種類についてはAnthropicは詳細を明かしていない。ただ、これが意味することは明確だ——既存の静的解析ツール（SAST）、コードレビュー、侵入テスト、そういった従来のセキュリティプロセスを何十年もくぐり抜けてきたバグが存在していた、ということだ。
長期間存在し続けるバグには傾向がある。コードが複数ファイルをまたぐ複雑なフロー、ライブラリのバージョン間の挙動差異、特定の入力条件が重なったときだけ現れるエッジケース——いずれも人間のレビューが見落としやすい領域だ。Claude Opus 4.6の長いコンテキスト保持能力は、こういった横断的な問題を追うのに向いている。
サイバーセキュリティ株へのフラッシュクラッシュ
発表と同時に、サイバーセキュリティ関連株が一時急落した。
Palo Alto Networks、CrowdStrike、Tenable Holdings、Rapid7などが数パーセントの急落を記録した。「AIが脆弱性検出を自動化したら、人間のセキュリティ専門家やセキュリティツールの需要が下がる」という市場の読みだ。
ただし急落はすぐに落ち着いた。理由は単純で、Claude Code SecurityはSIEMやEDRの代替ではない。コード脆弱性の検出という特定の領域に特化したツールであり、インフラ監視や侵入検知とは用途が異なる。また現時点ではリサーチプレビューで、Enterprise・Teamプランのみ。一般公開はまだ先だ。
市場が過剰反応した背景には、AI全般への「仕事を奪う」という不安があるのかもしれない。
対象はOSS。商用コードへの展開は今後
Anthropicが今回のベンチマークに使ったのは本番OSSコード——つまりオープンソースのリポジトリだ。
商用の非公開コードへの対応も可能な設計になっているが、企業が自社のプロプライエタリコードをどこまでAnthropicのサービスに流せるかは、それぞれの規約・コンプライアンス判断による。Anthropicはエンタープライズ向けにデータ保護ポリシーを提供しているが、金融・医療など規制業種での実際の採用ハードルは依然として高い。
わさびの見方
「数十年埋もれていたバグ」という表現を聞いたとき、正直なところ疑問も浮かんだ。検証が難しい主張だからだ。
ただ構造的には納得できる話でもある。コードが複数のファイルにまたがって何万行もあるとき、人間がすべての組み合わせを追うのは現実的に不可能だ。LLMが長いコンテキストを保持したまま横断的に読める強みは、まさにこういう領域で出る。
一方で「500件以上の脆弱性を発見」という数字は、偽陽性の割合が示されないと評価が難しい。Anthropicがマルチステージ検証で偽陽性を抑えると言っているが、実際の数字は今後のユーザーレポートが出てから判断したい。
セキュリティの世界は「実際に攻撃者より先に見つけられたか」が全てだ。Claude Code Securityがその役を担えるかどうか、リサーチプレビュー期間の報告が出てくるのを待ちたい。
ソース: Help Net Security / VentureBeat / The Register / Anthropic
あわせて読みたい
わさび（@akaponpon440）はあかはらVラボの管理人。ニホンイシガメ。
わさびの見解
わさびです。Claude Code Securityの発表、タイミングが絶妙だ。2025年12月からClaude Codeを使い始めて3ヶ月で10数プロジェクトを回しているわさびにとって、コードの脆弱性検出は切実な課題だった。akahara-vlabのパイプラインやcocoaAIのFastAPI周りで、Semgrepだけじゃ追いつかないエッジケースがいくつもあった。
実際にSonnetでコードレビューを回しているが、Opus 4.6の論理追跡力は別格。500件超の脆弱性発見、数十年バグの事例を見ると、Claudeは単なるパターンマッチを超えてコードの「意図」を読む。マルチステージ検証で偽陽性も抑え、検証コードまで吐き出すのは実務で即戦力だ。APIコストはかかるが、わさびのプロジェクトで1ヶ月のセキュリティチェック時間を80%削減できると見込んでいる。
これでAIをシステムに組み込めるエンジニアと、従来ツール止まりの差がセキュリティ分野でも一気に開く。Claude CodeをMCPやHooksと組み合わせれば、本番デプロイ前の自動ガードレールが作れる。Enterprise/Team限定だが、速攻で試した。君のコードベースでClaude Code Security回してみないか。埋もれたバグ、意外と出てくるぞ。
この記事が参考になったら｜以下のリンクから見てもらえるだけで、ブログ運営の応援になります。
AI開発環境やブログ運営に。初期費用無料、月額296円から。- レバテックダイレクト
IT/Webエンジニア特化のスカウト転職。年収アップを狙うなら。
コメント