Anthropic、AIによるコード脆弱性検出ツール「Claude Code Security」を発表

Anthropicは2月24日、AIを活用したコード脆弱性検出ツール「Claude Code Security」を発表した。Claude Code on the webに組み込まれた新機能として、限定リサーチプレビューの形でEnterprise/Teamプランの顧客に提供される。オープンソースソフトウェア（OSS）のメンテナには優先アクセスが付与される。

従来の静的解析を超えるアプローチ

従来のコードセキュリティツールは、ルールベースの静的解析や既知の脆弱性パターンとの照合に依存していた。Claude Code Securityはこれらの手法とは根本的に異なり、人間のセキュリティ研究者がコードを読むようにソースコードを推論する。

具体的には、コンポーネント間の相互作用を理解し、アプリケーション全体のデータフローをトレースすることで、単一ファイルの解析では発見できない脆弱性を検出する。複雑なビジネスロジックに起因する脆弱性への対応も可能とされている。

マルチステージ検証で偽陽性を排除

同ツールの特徴として、マルチステージ検証プロセスが挙げられる。検出した脆弱性候補に対して、AI自身がその発見を証明または反証するプロセスを実行し、偽陽性をフィルタリングする。セキュリティツールにおいて偽陽性の多さは実用上の大きな課題であり、この検証プロセスはその問題への直接的な対策となる。

検出された脆弱性には重要度レーティングが付与され、専用のダッシュボードで確認できる。パッチの提案も自動生成されるが、最終的な適用判断は人間が行う設計となっている。

500以上の脆弱性を本番コードベースで検出

Anthropicによると、Claude Code SecurityはClaude Opus 4.6を基盤として使用しており、本番環境で運用されているOSSコードベースに対するテストで500以上の脆弱性を発見した。その中には、数十年間にわたり未検出だったバグも含まれるという。

同社はこのセキュリティ分野への取り組みの背景として、Frontier Red TeamによるCTF（Capture The Flag）競技への参加実績や、パシフィック北西国立研究所（PNNL）との重要インフラ防衛に関する共同研究を挙げている。

AIセキュリティツール市場の動向

AIを活用したコードセキュリティは、GitHub CopilotやSnykなど複数のベンダーが注力する分野となっている。Anthropicが独自のセキュリティ機能をClaude Codeに統合したことで、開発者向けAIツールの競争はコード生成だけでなく、セキュリティ領域にも拡大した形となる。

Enterprise/Teamプランの顧客は、Claude Code on the webからリサーチプレビューへのアクセスを申請できる。

公式発表: https://www.anthropic.com/news/claude-code-security