← ブログ一覧
📖 約11分

Claude Security、企業限定の壁を検証

AnthropicがClaude SecurityをMythos 5対応にし3500万ドルのOSS支援基金も始動。複数の一次ソースを突き合わせ、プラグイン検索で見えた実際の壁まで検証した。

セキュリティAnthropicAI開発ツール

この記事の結論: Enterprise限定を謳うAI機能は、記事や公式ページの説明だけで期待値を決めず、自分たちの環境（プラグイン一覧・利用可能プラン表記）から実際に見えるかをまず確認するべき。今回、Claude Securityを自分たちの手で検証しようとして、それができなかったこと自体が学びになった。

リナ社長（高校生社長のやり手ギャル）× タクヤ（入社3年目）— 今回は、AnthropicのエンタープライズセキュリティツールとMythos 5、3500万ドル基金のニュースを、実際に触れる範囲まで検証した回。（登場人物について）

「タクヤ、Anthropicがまたデカいことやってるじゃん。脆弱性スキャナーに新しい上位モデル積んだ上に、OSSの脆弱性直す人たちに3500万ドルもバラまく基金まで作ったってさ。これ本気度エグくない?」

「僕も見ました。ただ気になるのは、そのClaude Securityって製品自体がEnterprise限定っぽいんですよね。ウチみたいな規模の会社から本当に手が届く話なのか、ちょっと自分で確認してみたんです」

何が発表されたか — Mythos 5搭載のClaude Securityと3500万ドル基金

2026年8月21日、Anthropicは脆弱性スキャナー「Claude Security」のスキャンエンジンを、新しい上位モデル「Mythos 5」に刷新したと発表した。複数の技術メディアがこれを報じている。

Claude SecurityはGitHubリポジトリと接続し、コード内のデータフローを追跡しながら脆弱性を検出し、修正パッチの提案まで行う設計の製品だ。もともとは2026年2月にホスト型の研究プレビューとしてEnterprise/Team向けに先行登場し、5月にpublic beta化、7月にはClaude Codeのマーケットプレイスプラグインとしても提供されるようになった、という順序で拡大してきたと報じられている。現在はClaude Enterprise顧客向けのpublic betaという位置づけのようだ。

今回投入されたMythos 5は、公開されているClaude 5ファミリー（Fable 5・Opus 5・Sonnet 5）とは別枠の、制限アクセス版の上位モデルとされる。安全分類器（safety classifiers）が少ない構成だと報じられており、脆弱性スキャンのような「攻撃コードやエクスプロイトのパターンを深く読み解く」用途に向けたチューニングと見られる。提供先はProject GlasswingやClaude Securityなど、一部のパートナーに限定されているようだ。

同時に発表された「Defender Advantage Fund」は、OSSメンテナが自分のプロジェクトの脆弱性を修正する作業を支援するため、Claudeクレジットの形で総額3500万ドルを提供する新基金だ。

今回の記事は、次の3本の一次ソースを突き合わせて書いている。

ソース確認できること
The New StackClaude SecurityのスキャンエンジンがMythos 5に刷新されたことを報じる技術メディア記事
MarktechPost同日発表を報じ、Claude Securityがpublic beta・Claude Enterprise顧客向けであることを確認できる
Claude公式製品ページAnthropic自身によるClaude Securityの製品概要

正直に書いておくと、これら3本の本文全文は今回のセッションから直接開けていない。ネットワークの都合で主要ドメインへの直接アクセスがブロックされており、検索エンジンのインデックス経由での確認にとどまっている。なので本記事では「〜と書かれている」という断定は避け、「複数の報道が一致して伝えている」というトーンで書いている。検出精度がどれだけ向上したかといった具体的な数値も、確認できていないので触れない。

「モデルの世代が上がってスキャン精度が上がった、みたいな話は分かりやすいんだけど、具体的に何%良くなったとかは書いてないんだ?」

「そこは今回の3ソースだと数字までは出てこなかったんですよ。だから『向上した』と断定はせず、モデルが刷新されたという事実と、Enterprise向けという提供範囲までしか言えないですね」

実際にどこまで自分たちで触れるか — プラグインカタログを検索してみた

「じゃあさ、うちのClaude Code環境からClaude Security使えるか、試してみようよ」

「はい、それが今回いちばんやりたかったことなんです。Claude Securityは今年7月にClaude Codeのマーケットプレイスプラグインとしても提供されるようになった経緯があるので、プラグインカタログで探せば見つかるんじゃないかと思って、実際に検索してみました」

タクヤはプラグインカタログを「security」「vulnerability scanner」「claude security」といったキーワードで検索した。結果は次の通りだった。

  • ヒットしたのはVanta、StackHawk HawkScan、StackHawk API、CockroachDB、Twilio Developer Kit、Miroなど計10件
  • いずれもセキュリティ・コンプライアンス系や開発支援系のサードパーティ製プラグインで、「Claude Security」という名前のプラグインはカタログに存在しなかった

「一覧に無かったんですよ。Claude Securityという名前のプラグインは、少なくともこのセッションの環境からは見つからない扱いでした」

「え、じゃあ触れないってこと? せっかく記事書くのに」

「そうなんです。実際にインストールして動かす、みたいな体験は今回できませんでした。Enterprise向けのスタンドアロン製品としてβ提供されているという報道と合わせて考えると、無料枠やPro相当の環境からは最初から見えない設計なんだろうなと」

これは今回の記事における唯一の「実際に手を動かした」検証結果でもある。Claude Security自体を動かして脆弱性を検出させる、という体験は今回できていない。できたのは「自分たちの環境から、その機能の入口自体が見えるかどうか」を確認するところまでだ。

「逆に言うと、見えないってこと自体が情報だよね。無料・Pro圏とEnterprise圏の境界線が、プラグインカタログというかたちで実際に引かれてるのを確認できたわけじゃん」

「そうですね。公式ページの説明を読むだけだと『Enterprise向けらしい』で終わってしまいますけど、実際に自分の環境から検索して『見つからない』という結果が返ってくるところまで確認できたのは、今回の一次情報として意味があると思います」

3500万ドル基金の狙い — リナ社長のビジネス読みとタクヤの技術読み

「3500万ドルの基金の話なんだけどさ、あたしはこれ普通にうまいビジネスだと思うんだよね。OSSのメンテナってボランティアで脆弱性直してる人たち多いじゃん。そこにAnthropicがクレジット配ったら、そのメンテナたちみんなClaudeで作業するようになるし、Enterprise顧客からしても『あのOSS、Anthropicが支援してるから安心』ってなる。信用の先行投資でしょ」

「僕はそこまで手放しで評価できないですね。3500万ドルってClaude Enterprise一契約分くらいの規模感かもしれないですけど、OSS支援を謳いながら実質は自社クレジットのばら撒きなので、メンテナが結局Anthropic製品に囲い込まれていくだけなんじゃないかっていう見方もできると思うんです。技術的な話で言うと、Mythos 5みたいな安全分類器の少ないモデルをOSSの脆弱性解析に使わせること自体は理にかなってますけど、それとビジネス上の狙いは分けて考えたほうがいいかなと」

「え、そこ食い違うじゃん。あたしは『信頼構築でうまい』、タクヤは『結局囲い込みじゃん』ってこと?」

「はい、最初はそう思いました。ただ、Claude SecurityがGitHubリポジトリに接続してデータフローまで追う設計だという点を踏まえると、OSSの脆弱性を実際に直せる技術力が伴っていないと基金自体が機能しないので、囲い込みだけが目的だとしたら製品側の作り込みが無駄に丁寧すぎるんですよね。だから『囲い込みの側面はあるけど、それだけじゃない』くらいが正直なところです」

「じゃあ結論としては、AnthropicはEnterprise受注につながる信頼づくりのために、本当に使えるスキャナーとセットで基金を出してる、ってことでいいじゃん」

「その着地なら僕も同意します」

jinbei-labが導入判断するなら何を確認すべきか

「で、それウチや読者の何が変わるの? ここまで解説しただけだと『へー』で終わっちゃうじゃん」

「実利で言うと2つあります。まずウチのセキュリティ体制は今のところ人力レビュー中心で、専用の脆弱性スキャナーは導入していません。Claude Securityみたいな製品を検討する余地はありますけど、Enterprise限定である可能性が高い以上、まずは自分たちの契約プランから本当に見えるのかを確認するのが先です。今回みたいにプラグインカタログを検索して『見つからない』という結果が出たら、それ以上検討する前に問い合わせや見積もりが必要な段階だと分かります」

「もう一つは?」

「脆弱性を放置した場合のコストとの比較です。ウチはAstro+Cloudflareの構成で、wrangler.tomlはリポジトリ管理にしてD1・R2のバインディングを守ってますけど、これも過去に一度バインディングが消えてログが表示されなくなったトラブルがありましたよね。ああいう設定ミス系のトラブルは人力レビューでも気づけますけど、依存パッケージの脆弱性みたいな話は、少人数だと見落としのリスクが上がります。導入コストと、見落としたときの信用失墜・障害対応コストを天秤にかける材料として、今回の発表は覚えておく価値があると思います」

「なるほどね。今すぐ契約する話じゃないけど、『ウチの規模だと見積もり取る価値があるかどうか』を判断する材料にはなったってことか」

持ち帰りとして具体的に言えるのはこれだ。Claude Securityのようなエンタープライズ限定のAIセキュリティ機能を検討するときは、公式ページの説明や報道だけで期待値を決めず、まず自分たちのプラン・環境から実際にその機能が見えるか(プラグイン一覧・製品ページの利用可能プラン表記)を確認してから検討を進める、という順番を守ること。

「読者のみんなもさ、気になってるAIツールがあるなら、契約する前に一回、自分の環境からその機能が本当に見えるか検索してみたほうがいいよ。あなたが今使ってるプランだと、その機能、実際に見える?」

参考

コメント