Claude SecurityがMythos 5を統合、モデルへの直接アクセスではなく制限付きスキャン結果を提供

Anthropicは、高度なサイバーセキュリティ能力を持つClaude Mythos 5をClaude Securityのパブリックベータ版に統合し、Claude Enterpriseの顧客が接続済みのコードベースをスキャンできるようにした。管理者がこの機能を有効にすると、ユーザーはリポジトリを選択できる。システムは検出項目ごとにCWEカテゴリ、重大度、信頼度評価、推奨修正を返す。スキャン料金は既存プランの通常のtoken使用量として計算され、個別の追加料金は発生しない。

今回のアップデートの中心は、Mythos 5の汎用APIを開放することではなく、「モデルへのアクセス」と「防御目的の成果物へのアクセス」を分離することにある。ユーザーが取得できるのは脆弱性レポート、アラート、修正案のみで、Mythos 5に自由にpromptを与えて攻撃コードを生成させることはできない。修正を実装する場合、ワークフローはClaude CodeのWeb版に移行し、組織が従来から利用可能なモデルを使用する。すべての変更には引き続き人によるレビューと承認が必要であり、スキャン権限によってMythos 5がほかのClaudeインターフェースでも利用可能になるわけではない。

エンジニアリングチームは、マネージドサービスとClaude CodeのローカルClaude Securityプラグインも区別する必要がある。後者はマルチエージェントワークフローによってアーキテクチャ図と脅威モデルを作成し、検出結果を相互検証したうえで一時コピー上にpatchを生成するが、使用するのはそのアカウントでClaude Code向けに承認済みのモデルだ。公式ドキュメントでは、Mythos 5によるスキャンがEnterprise向けマネージド製品として明確に位置付けられている。プラグインが生成した修正は自動適用されず、レポートにはスキャン対象のcommitと設定も記録される。

Anthropicは同時に、Mythos 5をパートナーのセキュリティ製品へ組み込む準備を進めている。また、オープンソースの脆弱性修正と自動化を支援するため、3,500万米ドル相当のClaude creditsを提供すると発表した。これは現金ではなくサービス利用枠である。発表内容にはprecision、recall、false positive rate、対応言語、SASTツールとの比較結果が示されていないため、現時点で確定的なセキュリティゲートとして扱うべきではない。パートナー統合とCyber Verification ProgramのMythosレベルへの拡張も、今後の計画にとどまっている。