Anthropicは2026年10月20日、AIモデル「Claude」を使ってソフトウェアのアタックサーフェス（攻撃対象領域）を洗い出し、縮小する研究を公開しました。

研究成果はOpenSSHの修正にもつながり、既定ビルドで認証前のクライアントが到達できるコードを従来より約5分の1削減したとしています。

何が起きたのか

AnthropicはC、C++、Java、PHP、Pythonなどで書かれた25のオープンソースプロジェクト（合計500万行超）を分析し、493件の問題を発見したと発表しました。Claudeは1万7000以上の設定項目を洗い出し、3842項目をセキュリティに関係するものとして分析しています。

OpenSSHでは、OpenSSH 10.4のSSHデーモンへの入力経路を追跡し、耐量子計算機暗号の署名方式「ML-DSA-44」に関する実験的コード約4500行に、未認証のクライアントが到達できることを確認したとしています。約4500行は、OpenSSH 10.4で認証前に実行可能だったコードの約16％に相当します。

影響と注意点

今回の話題は、特定の脆弱性（弱点）だけでなく、既定設定で不要な処理経路が外部から到達可能になっていないかを点検する考え方を示した点にあります。多くの組織では、機能追加や設定変更が積み重なるほど、認証（本人確認）前に実行される処理や外部から到達できるコードが増えやすいとされています。

OpenSSHについては、OpenSSH 10.5で関連チェックが処理の前段に移され、その後も追加の指摘と修正を経て、OpenSSH 10.6でチェックをパーサー内に追加する変更が反映されました。利用者側は、主要ソフトの更新時に変更内容と影響範囲を確認し、更新できる運用手順を整えることが注意点になります。

コンサルタントのひとこと

まずは自社で外部公開している機器・サービス・管理画面・APIを一覧化し、入口を把握してください。次に、使っていない機能や設定を見直し、認証前に不要な処理が動く構成がないかを点検しましょう。

最後に、OpenSSHなど主要ソフトは更新手順と更新前後の動作確認手順を社内で整備し、修正が出た際に速やかに適用できる状態にしておくことが重要です。

参照: Anthropic、Claudeでアタックサーフェスの洗い出しと縮小を支援する研究を公開　OpenSSHの認証前コードを約5分の1削減（サイバーセキュリティ総研）