Anthropic、Claude Securityに継続スキャン追加

Anthropicは、大企業向けプラン「Claude Enterprise」の契約組織を対象に、コードベースのセキュリティ診断サービス「Claude Security」の最新アップデートをパブリックベータとして公開した。コードベースの変更を自動検知して継続的に脆弱性をスキャンする機能と、パッチ適用状況を追跡して脆弱性が再発した際に自動で再オープンする修正追跡機能を新たに実装している。

継続スキャンと脆弱性再発検知の仕組み

Claude Securityは、最上位モデル Claude Mythos（高度な推論とサイバーセキュリティ検証能力を備えたモデル） を含むモデルファミリーを活用してコードの脆弱性を特定し、修正パッチを提案するサービスである。従来の定期実行型から、リポジトリの変更に追従する継続的な監視アーキテクチャへと進化を遂げた。

• ​リスクに応じた継続的スキャン​: GitHub App連携またはGitLab等のアクセストークン経由でリポジトリを接続し、初回ベースラインスキャンを実施する。以降はコード変更のリスクや複雑性に応じて自動スキャンを行い、常に最新状態の脆弱性を把握する。複数リポジトリを跨ぐ横断検知にも対応する。
• ​自動修正追跡と再発時の再オープン​: 「Claude Code」や外部プロセスでパッチがマージされると、未解決だった検出事項が自動的に「修正完了」として処理される。もし後のコード変更で脆弱性が再発した場合は、自動的に該当のイシューが再オープンされる。
• ​コンテキスト駆動の脅威モデリング​: プロジェクトのコードから脅威モデルを自動構築し、既存の対策を踏まえた上で本当に悪用可能な脆弱性を優先度付けする。

独自価値要素：従来型静的解析との比較とMCP連携の統合

従来の静的コード解析（SAST）ツールは、機械的な重要度（CVSS）スコアのみで大量の誤検知を出し、トリアージ作業が開発現場の負担となる課題があった。Claude Securityのアプローチは、コードの実際の実行経路と脅威モデルを照合する点に優位性を持つ。コンプライアンス自動化ツールを提供するVantaのセキュリティディレクターであるNathan Hunstad氏は、「他ツールが見逃していた複数のロジック欠陥を検出し、自社のリスクポリシーに合わせた優先度付けが機能した」と評価している。

さらに、ワークフロー統合の面でも以下の拡張が行われた。

連携機能	提供内容と活用メリット
新API・Webhooks	外部の課題管理基盤への検出事項通知やステータス同期
MCP（AIモデルと外部ツールやデータを接続するオープン規格）コネクタ	Claude.aiやClaude Code内から直接脆弱性を確認・修正・解決
ロールベースアクセス制御（RBAC）	プロジェクト作成権限と診断結果の閲覧権限を分離して制御

開発現場への影響とエンタープライズセキュリティの展望

セキュリティ検査がCI/CDパイプラインの単なるチェックゲートではなく、MCPを通じてコーディング環境（Claude Code等）とシームレスに結びついたことで、脆弱性の検出から修正コミットまでのリードタイムが大幅に短縮される。現在はEnterpriseプラン限定のベータ提供にとどまるが、AIを活用した継続的セキュリティ保証（Continuous Security Assurance）の標準的な開発基盤としての普及が見込まれる。

引用元：Help Net Security