Using Claude to reduce the attack surface of code

何が起きたのか

Anthropicの研究チームは、AIモデルを使って、コードのうち外部から届く部分を地図のように調べ、本当は必要ないところを取り除いたり、制限したりする方法を試しました。これを「攻撃対象領域の分析と削減」と呼びます。研究では、AIが脆弱性（セキュリティの弱点）を見つけるだけでなく、そもそも攻撃されにくい形にコードを整える手助けもできることを示しています。

数字で見るポイント

• 25個のオープンソースのプロジェクトを調べた
• 調べたコードは500万行を超える
• 対象の言語はC、C++、Java、PHP、Pythonなど多様
• Claudeは合計493個の問題を見つけた

なぜ攻撃対象領域を減らすのか

ソフトウェアは、時間がたつにつれて機能が増え、複雑になります。新しい層や部品、機能が次々に積み重なるため、開発者が意図した動きと実際の動きがずれることがあります。攻撃者は、開発者の意図ではなく、実際にコードがどう動くかを調べて攻撃するため、この複雑さは大きな弱点になります。

なぜ大切なのか

弱点を一つずつ見つけて直す方法は、コードが大きくなるほど追いつきにくくなります。一方で、コードへの入口を減らせば、まだ見つかっていない弱点にも攻撃が届きにくくなります。弱点そのものが消えるわけではありませんが、見つけなくても全体の安全性を高められる点が、この方法の強みです。

今後の注目点

• 開発者が自分のコードにこの方法を取り入れられるか
• AIによるコード分析が、大規模なプロジェクトでも費用に見合う形で使えるか
• 今回の研究で示された数字が、ほかのソフトウェアでも同じように得られるか