Anthropic（アンスロピック）、Claude（クロード）でコードの攻撃面を減らす研究を公開25のOSSで493件を報告、OpenSSHでは認証前に届く約4,500行が届かなくなった

Anthropic（アンスロピック）は2026年10月20日（現地日付）、Claude（クロード）を使ってソフトウェアの「攻撃面」を自動で分析し、減らす研究を公式サイトで公開した。攻撃面とは、外から到達できるコードの範囲のこと。同社によると、25のオープンソースプロジェクトにClaudeを走らせて493件の問題を見つけ、OpenSSHでは認証前に届いてしまう約4,500行の実験的コードに関する修正がバージョン10.6に入った。

3行まとめ

1. Anthropicの Frontier Red Team が、Claudeで攻撃面を分析・縮小する研究を公開。25のOSS（500万行超）で493件の問題を見つけたと説明
2. 設定の組み合わせでは162件が警告もドキュメントもなく受け入れられ、うち94件は黙ってセキュリティ制御を無効にしていた（同社集計）
3. OpenSSHでは、認証前に届く約4,500行（ML-DSA-44）に関する修正が10.6に入ったと同社。手法は再利用できるClaudeのスキルにまとめ、OSS-Scannerへの統合を進めている

本記事の内容は、日本時間10月21日6時台に公式ページで確認したものです。

「攻撃面を減らす」とは、何をすることか

Anthropicの記事（Frontier Red Team名義）は、脆弱性を1件ずつ見つけて直すやり方は規模が大きくなると追いつかない、という問題意識から始まる。同社は「重大な脆弱性を1件直しても、残りの脆弱性については何もわからない」と書く。これに対し、到達できるコードを減らせば、まだ見つかっていない脆弱性の深刻度もまとめて下げられる、というのが同社の主張だ。

同社が挙げる動かし方は、コードを適切な関門の奥へ移すことだ。例として、認証前から認証後へ、ゼロクリックからワンクリックへ、既定でオンから明示的なオプトインへ、プロトコルの最初のメッセージから状態遷移のより深い位置へ、が挙がっている。

今回の研究で使った調べ方は3つ。

どのくらいのコードで、何を見つけたのか

Anthropicによると、対象はC、C++、Java、PHP、Pythonなどで書かれた25のオープンソースプロジェクト（合計500万行超）。Claudeは設定項目を17,000超一覧化し、そのうち3,842件がセキュリティに関係する制御や機能の設定だったという。プロジェクトは、誰からのリクエストでも受ける「公開型」10、認証済みユーザーだけを想定する「認証型」11、運用者自身の閉じた環境向けの「非公開型」4に分けて集計された。

Claudeが見つけた問題は合計493件。同社が挙げる特徴は次の通り。

同社は認証型の結果について、これらは単独ではすぐに悪用できるものではないが、必要以上に大きな攻撃面を作る、と書いている。また、認証型で意図せず到達できたコードは、どのプロジェクトでもコード全体の行数に対して大きな割合ではなかった、とも述べている。

設定したはずの制御が黙って効かなかった3つの例

記事が具体例として挙げたものから3つ。

• ホスト名のルールが効かない: 管理者がIPアドレスでなくホスト名やワイルドカードでアクセス拒否ルールを書くと、逆引きDNSの設定がオフ（多くのプロジェクトで既定）のときサーバーはIPアドレスしか持たず、ホスト名のパターンは一致しない。拒否ルールが働かず、リストは「通す」側に倒れる。同社によると、無関係な4つのプロジェクトで独立に見つかった。ドキュメントがホスト名ルールにDNS検索が必要と書くプロジェクトはあるが、この書き方の拒否リストが通す側に倒れると明記したものはなかったという
• 証明書の要求が消える: 接続する全クライアントに証明書での本人証明を求める設定と、その確認を必要になるまで遅らせる設定を併用すると、確認が丸ごと無効になった。信頼されたクライアントだけを受ける設定のはずが、誰の接続でも受けてしまう。同社はこの組み合わせが21年間ソフトウェアに存在していたと書く
• 設定名の書き方で効かない: 既定で認証がオフのプロジェクトで、TLSクライアント証明書を要求する設定が多くのネットワーク入口では働くのに、設定の名前空間が異なる経路で読み込む一部の入口では黙って無視された。証明書なしでTLSハンドシェイクが完了し、セッションを開けた。ログにも何も出ない。短い書き方（多くの例が使う形）が無視される入口があり、長い書き方なら全入口で働くという

OpenSSHでは何が変わったのか

Anthropicは、コード全体の行数に対する割合で見て最も攻撃面を減らせたのがOpenSSHだったと書く。

同社の説明によると、Claudeは10.4のsshdの入力経路をたどり、耐量子署名ML-DSA-44のための約4,500行の新しい実験的コードが、認証前のクライアントから既定の設定で到達できることを見つけた。ML-DSAは既定では有効ではない。それでも管理者が明示的に除外しても、デーモンはクライアントが送る鍵の種類をそのまま解析し（証明書なら埋め込まれたCAの署名も検証し）、そのあとで許可された種類かを確認していた。約4,500行は、既定のsshdの認証前コードの約16%にあたるという。

その後の流れは、公式ページの記載では次の通り。

1. 同社がOpenSSHの開発者に報告し、パッチも送った。10.5で、確認が解析より前に移った
2. Claudeは10.5の確認に2つの穴があると指摘した。1つ目は、確認がクライアントの申告するアルゴリズム名を見る一方、解析器は鍵のデータ内の型文字列で選ばれる点。ssh-ed25519と申告して確認を通り、ML-DSAの鍵を送れば解析された
3. 2つ目は証明書。証明書の鍵の種類は既定で有効で、攻撃者が用意した証明書があると、設定を確認する前に、埋め込まれたCA公開鍵を読み込んで署名検証を走らせていた。ユーザー鍵の経路は許可リストで守られていたが、CA署名の経路は守られていなかった
4. 同社は概念実証を作り、メンテナーと修正案を何度か調整した。その結果、鍵の種類と証明書のCA署名アルゴリズムを、読み込みや検証の前に許可リストと突き合わせる変更が解析器の中に入った
5. 同社によると、メンテナーは10.6でこれらの変更を出荷した

Anthropicはこの修正で、既定のビルドで認証前の未認証クライアントが到達できたコードの約5分の1が届かなくなったと説明している。そのほぼ全部が新しいML-DSAのコードだという。許可されたCAアルゴリズムで署名された証明書は、これまで通り解析・検証されるが、確認が解析より前になった。

再利用できるスキルと、試し方

Anthropicは3つの調べ方を、1つの再利用できるClaudeのスキルにまとめたと書く。OSS-Scannerへの統合を進めているという。スキルはコードベースに3回のパスをかけ、各パスは前のパスから短い文脈だけを受け取って空の状態から始まる。

• 1回目: 既定の設定で到達できるが、意図した機能から使われないコード
• 2回目: どの設定でも、認証などの確実な関門より前、またはプロトコルの状態遷移の入口より前に動くコード
• 3回目: 黙ってセキュリティ制御を切る、または弱める設定の組み合わせ

各パスでClaudeは入口の一覧を作り、動的なトレースで各所見を確認する。既定設定の所見では、関門を設計・実装し、プロジェクト自身のテストスイートとブラックボックスの回帰テストを基準と比べて、既定の挙動が変わらないことを確かめる。非既定の設定に影響する関門は、人が決めるために別にしておく。残り2つのパスでは、設定チェックの順序入れ替え、状態の順序を強制するガード、設定読み込み時にその組み合わせを拒否する、といった変更を提案するという。

関連して、同社は10月8日にオープンソース向けの脆弱性スキャナー「OSS Scanner」を発表している。同社の最も強いモデルによる定期的なスキャンを、対象に加わったプロジェクトに無料で提供するもので、出力は人の確認を経ない、完全にモデル生成のものだと説明している。参加を希望するコアメンテナーはGitHubリポジトリにPRを出す形で、判断は個別に行うという。今回の攻撃面縮小のスキルがこの枠組みでどう提供されるかは、今回確認した範囲では書かれていない。

筆者が公式ページを確認して気づいたこと

日本時間10月21日6時49分に公式ページを取得した時点では、公開日は2026年10月20日と表示されていた。取得できたのは本文の文字情報で、記事中の「検出件数を手法別に示した図」は、図のキャプション（25プロジェクトのうち公開型10、認証型11、非公開型4）までしか読めていない。図の中の数字は、本記事では使っていない。また、手法を自分のコードに試してはいないので、効果は同社の報告を紹介するにとどまる。

読むときに注意したい点

• 件数の意味: 493件は、Claudeが「見つけた問題」の件数として書かれている。開発元が受け入れた数や修正済みの数は、今回確認した公式ページには書かれていない。個々の問題の深刻度の一覧もない
• 名前が出たのはOpenSSHだけ: 25のプロジェクトのうち、記事で名前が出るのはOpenSSHだった。ホスト名ルールや証明書要求の例は、プロジェクト名なしで説明されている
• 自社の成果の報告: 数字はすべてAnthropicの集計で、第三者による検証は今回の公式ページには含まれていない。同社自身も、データは「一部を先行して見せるもの」と位置づけている
• 「既定では変わらない」の範囲: 同社は、既定設定の関門ではテストスイートで挙動が変わらないことを確かめるとする一方、非既定の設定に影響する関門は人の判断に回すと書く。つまり、導入側が判断する部分が残る
• 日本での提供: スキルの入手方法、料金、日本の利用者向けの扱いは、今回確認したページには書かれていない

参照した2本のAnthropic公式ページ

• Using Claude to reduce the attack surface of code（Anthropic公式、2026年10月20日公開）: https://www.anthropic.com/research/attack-surface-reduction （日本時間2026年10月21日6:49取得）
• An opt-in vulnerability-finding service for open-source software（Anthropic公式、2026年10月8日公開）: https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source （日本時間2026年10月21日6:49取得）

本記事は続報があり次第更新します。