Claude Security、全Enterprise顧客に公開ベータ。脆弱性を自動検出

結論

Anthropicは、コードの脆弱性を診断する「Claude Security」を、Enterprise顧客全体に向けた公開ベータとして提供している。限定プレビューから対象を広げた形だ。中核はClaude Opus 4.7で、既知の攻撃パターンを照合するだけの従来型と違い、データがどこを通るかを追い、ファイルやモジュールをまたいだ部品の相互作用まで読む。検出結果には深刻度、想定される影響、再現手順、推奨される修正がそれぞれ付く。セキュリティ人材が足りない現場でも、弱点の発見から修正案づくりまでを一本化できる可能性がある。

何が変わったのか

Claude Securityは新規のツールではない。Anthropicは2月に「Claude Code Security」として、まずEnterpriseとTeamの顧客に限って出した。その後の約2か月は、数百の組織を対象にした限定プレビューだった。今回はそこから公開ベータへ移り、Enterprise顧客が広く試せる段階になった。

従来の静的解析は、既知のシグネチャやパターンに当てはまるかを調べる方式が中心だった。Claude Securityは、ソースコードを読み、データの流れを追跡し、部品が複数のファイルをまたいでどう影響し合うかを調べる。セキュリティ研究者が手作業で追うような見方を、モデルが代わりに行う。出力は単なる指摘の一覧ではなく、確信度の評価、深刻度、想定影響、再現手順、推奨修正がそろう。担当者は「何が危ないか」だけでなく「どこをどう直すか」まで一度に受け取れる。

公開ベータには連携先も並ぶ。技術側ではCrowdStrike、Palo Alto Networks、SentinelOne、Trend.ai、WizがOpus 4.7を自社のセキュリティ基盤に取り込むとされる。サービス側ではAccenture、BCG、Deloitte、Infosys、PwCが、顧客企業のセキュリティ体制強化にClaudeを使うと説明している。連携の範囲や提供時期は変わりうるため、最新は公式で確認してほしい。Anthropicは認証やアクセス制御でも企業向けの整備を進めており、管理者がMCP接続を一括認可する仕組みやAPIキー不要の認証を相次いで出している。

現場の実務にどう効くか

効くのは、自社で開発を抱えるが専任のセキュリティ人材が薄い情シスや開発チームだ。脆弱性診断は外部の専門ベンダーに頼ると費用も時間もかかる。Claude Securityのように、検出から修正案までを一連で出せるツールがあれば、社内の開発者だけでも一次対応を回しやすくなる。再現手順が付くため、指摘が本当に危険かを開発側が確かめやすい点も実務では大きい。

導入を検討するなら、まず適用範囲を絞って試すのがよい。重要度の高い1つのリポジトリで走らせ、検出された指摘の確信度と再現性を人が確認する。AIの出力をそのまま本番へ反映せず、修正は人がレビューしてから取り込む運用にする。生成AIを業務に入れる前提の整理は生成AIとセキュリティの基本、契約や預けるデータの確認は法人向けAIのデータ取り扱い、誰がどのツールを使えるかの線引きは生成AIのアクセス権限管理が判断の土台になる。診断ツールを入れること自体が目的化しないよう、検出後に誰がいつ直すかという運用まで決めてから始めたい。

FAQ

Q. 従来の脆弱性診断ツールと何が違いますか。 既知パターンの照合中心ではなく、ソースを読みデータの流れや部品の相互作用を追って弱点を探します。結果に確信度・深刻度・再現手順・修正案が付くため、対応の優先順位を付けやすいのが特徴です。

Q. 検出された指摘はそのまま直して大丈夫ですか。 AIの出力は誤りを含む場合があります。再現手順で本当に危険かを確かめ、修正は人がレビューしてから反映する運用が前提です。

出典

• Anthropic’s Claude Security beta（The New Stack）
• Anthropic Claude Security available to all Enterprise customers（Techzine Global）
• Anthropic Brings AI-Powered Security Scanning to Enterprise Teams（DevOps.com）