Anthropicの脆弱性開示ポリシーとバグバウンティの応募方法
Anthropicが運用する3種類の脆弱性報告制度の違い。対象・報酬・窓口に加え、報告前に押さえる除外条件とセーフハーバーの条件を解説します。
Anthropicの脆弱性報告制度は何が違うのか
Anthropicには、報告の向きも対象も報酬も違う3つの制度があります。送り先を間違えると、報告が想定外の窓口に届いてしまいます。
3つの制度の向きと対象
Responsible Disclosure Policy
外部の研究者がAnthropicへ報告する制度です。対象はAnthropicが運営する公開システムの技術的な脆弱性で、金銭報酬の定めはありません。見返りに当たるのは、条件を満たした調査に対する法的措置の免除(セーフハーバー)で、開示に対価を求めないことが条件です。
Coordinated Vulnerability Disclosure(CVD)
向きが逆の制度です。Anthropicが見つけた他社ソフトの脆弱性を、Anthropicが開発元へ伝える手順を定めています。報酬は扱わず、Anthropicから開発元への通知手順だけを定めています。
Model Safety Bug Bounty
Claudeの安全策を突破できるかを試す、招待制のプログラムです。実施回ごとに最大15,000ドルまたは25,000ドルの報奨金が設定されました。
以降は、外部報告、CVD、バグバウンティ、窓口の振り分けの順に扱います。
外部からAnthropicに報告する場合(Responsible Disclosure Policy)
2025年2月14日改定版の方針は、Anthropicが所有・運営・管理する、インターネットに公開されたシステムを対象にしています。Anthropicのドメインとそのサブドメイン上のウェブ・モバイルアプリが含まれます。
注意したいのは第三者の運営するシステムです。外注先や委託先が運営するものは、Anthropicのドメイン上にあっても対象外とされています。そちらは相手先の開示窓口に従います。
対象になる脆弱性は、設定ミス、CSRF、権限昇格、SQLインジェクション、XSS、ディレクトリトラバーサルなどの技術的なものです。次の項目は、Anthropicの裁量で対象外になります。
- 実証コードのない、SSL/TLS設定やメール運用のベストプラクティス不足
- 物理的な侵入、内部関係者による侵害、フィッシングを含むソーシャルエンジニアリング
- 認証のないエンドポイントへのレート制限・ブルートフォース
- 他人のアカウントへの総当たりを含む、アカウント乗っ取り
- サービス拒否攻撃、反射型ファイルダウンロード、機微な操作のないページのクリックジャッキング
- CookieのHttpOnly・Secureフラグの欠落、依存関係の乗っ取り
- 修正パッチがない、または公開から30日未満の、広く知られたゼロデイ脆弱性
- モデルへのレッドチーミングや敵対的テスト、プロンプトと出力の内容に関する問題
最後の行が実務で効きます。モデルのジェイルブレイクはこの方針の対象外で、usersafety@anthropic.com へ再現できる詳細を添えて送る経路が別に用意されています。
報告に添える内容
報告は1件につき脆弱性1つの形で、読みやすく書くよう求められています。最低限そろえる項目は次のとおりです。
| 項目 | 中身 |
|---|---|
| 種類と深刻度 | 中身何がどの程度危険か |
| 技術的詳細と再現手順 | 中身概要と、再現できるステップ |
| 場所 | 中身URLなど、脆弱性のある箇所 |
| 証拠 | 中身ログ、コード、PoCスクリプト、スクリーンショット、画面録画 |
| 想定される影響 | 中身悪用されたときに何が起きるか |
| 修正案と公表の意向 | 中身推奨する対策と、公開する予定があればその計画 |
調査が方針の範囲内かどうか迷うときは、調査を始める前に disclosure@anthropic.com へ問い合わせるよう案内されています。
セーフハーバーの条件と、報告者に約束されること
善意の調査と判断された場合、Anthropicは研究や責任ある開示を理由とした法的措置を取りません。ただし善意かどうかの判断はAnthropicが最終的に行うと明記されています。
この免除を受けるには、次の条件を守る必要があります。
- 脆弱性の存在を示すのに必要な最小限を超えて悪用しない
- 通信内容やデータを取得・保持しない。偶然アクセスした場合は報告に書く
- 自分以外のアカウントを攻撃せず、従業員や委託先へのソーシャルエンジニアリングをしない
- 開示の条件として金銭や対価を要求せず、脅しをかけない
- 米財務省OFACの制裁対象者リストなどに載っておらず、米国政府が制裁を科す国に居住していない
- 研究活動に関わる法令を守る
公開については、Anthropicから書面で通知を受けるまで第三者や公衆に明かさないことが条件に入っています。同じ箇所で、研究者が脆弱性を公表する権利は全面的に支持するとも書かれています。求めているのは公開時期の調整だけで、他社サービスの似た脆弱性を報告することも制限しません。
報告者に対しては、3営業日以内の受領確認、氏名・連絡先を同意なしに開示しないこと(法的手続きによる要請を除く)、本人の許可を得たうえでの功績の記載が約束されています。AI関連の複数のサービスに影響する脆弱性なら、組織ごとに別々の報告を出すよう勧められています。
受領後の流れも書かれています。脆弱性の存在をAnthropicが認めたときは、本人に確認を伝え、修正や緩和に取り組み、安全な開示の時期を一緒に調整します。連絡先を書いておくと、追加の質問が届くことがあります。調査の進み具合は、可能な範囲で随時知らせるとされています。
なお、方針が改定されても、改定前に開示された脆弱性にはその時点の方針が適用されます。
Anthropicが見つけた脆弱性を開発元へ伝える場合(CVD)
CVDの対象は、Anthropicがオープンソースソフトウェアや、調査の許諾を得たクローズドソースソフトウェアで見つけた脆弱性です。外部研究者からAnthropicへの報告は、前節のResponsible Disclosure Policyの管轄になります。
このポリシーは、AIで脆弱性を探す速度と規模を前提に作られています。Project Glasswing 1ヶ月レポートが示した、開始から約1ヶ月で1万件を超える高・重大な脆弱性という規模の発見を、開発元が受け止められる形で届けるための運用ルールです。
CVDの標準タイムライン
- 通知時開発元へ報告
できるだけ早く通知します。報告は人間の研究者がレビュー・確認したものだけで、AI由来の発見はそう明示されます。
- 30日応答がなければエスカレーション
最初の報告に30日応答がなければ、外部の脆弱性コーディネーターへ回し、期限の到来後に公開へ進みます。
- 90日防御側へ詳細を共有
通知から90日、またはパッチ公開のどちらか早いほうで、防御側へ詳細を共有します。修正が進んでいれば、依頼に応じて14日延長することがあります。
- パッチ後45日技術詳細の全面公開
利用者が修正を適用する時間を取るため、原則45日待ちます。すでに別経路で知られている場合や、公開が防御に役立つ場合は短縮します。パッチの配備が特に複雑なときや影響範囲が特に広いときは、延長することもあります。
実際に悪用されている重大な脆弱性だけは、パッチか緩和策までの目標が7日に縮みます。開発元が修正に取り組んでいて追加の時間を求めれば、さらに7日延ばすことがあります。
深刻度の評価が開発元と食い違ったときは、原則として開発元の判断に従います。例外は悪用の確かな証拠がある場合で、開発元の分類にかかわらず7日の目標が適用されます。
1つの欠陥が多数のプロジェクトに共通する「エコシステム全体のパターン」だったときは、公表前に影響を受ける全員へ情報と対応の支援を届けることを目指します。想定外の事情や特別に複雑な修正が絡む場合は、期限を調整する権利を留保し、調整の理由も伝えるとしています。
量の管理も明記されています。ソースコードが手元にあり修正候補のパッチを生成できたときは、出どころを示したうえで添え、開発元との共同修正を申し出ます。1つのプロジェクトへ大量の報告を送る前には、開発元が処理できるペースを先に相談します。悪用中の脆弱性だけは、このペース調整の対象外です。
モデルの安全策を試すバグバウンティ(Model Safety Bug Bounty)
3つ目は、Claude本体のジェイルブレイク対策を試すプログラムです。HackerOneと組んだ招待制で運営されます。対象は「ユニバーサルジェイルブレイク」、つまり特定の話題に限らず幅広い領域で安全策を一貫して回避できる手法です。
これまでの実施回
- 2024年8月8日次世代の安全策を対象に募集開始
公開前の安全緩和システムに早期アクセスして試す回です。報奨金は新規のユニバーサルジェイルブレイクに最大15,000ドルで、重視する領域はCBRNとサイバーセキュリティです。応募の締切は8月16日で、選ばれた応募者には秋に連絡するとされました。
- 2025年5月14日Constitutional Classifiersの更新版を試す回
Constitutional Classifiersの更新版をClaude 3.7 Sonnet上で試し、検証済みのユニバーサルジェイルブレイクに最大25,000ドルを出す回です。対象はCBRN関連の悪用に絞られ、前年の参加者も最初から加わりました。
- 2025年5月18日募集期間の終了
応募開始の5月14日から5日間の実施でした。
- 2025年5月22日Claude Opus 4向けの後継プログラム
前の回が終了し、Opus 4上のConstitutional Classifiersと、今後開発する別の安全システムを試す招待制の回が始まりました。あわせて、SNSなどの公開の場で見つかったASL-3対象のユニバーサルジェイルブレイクの報告も受け付けています。対象は生物兵器に関する情報を引き出すものです。
2024年の発表によると、これに先立つ招待制のプログラムはすでにありました。公開済みのモデルで見つかった安全上の問題に報奨金を出す仕組みで、同じくHackerOneと組んでいます。8月の回は、まだ公開していない次世代の緩和システムを試す点が違いでした。
「ユニバーサル」の判定は、決められた数の有害な質問にモデルが答えるかどうかで行われます。2024年の発表は、まず招待制で始めて、将来はもっと広く開く計画だと述べていました。実施の方法や基準の詳細は、参加者にだけ共有されます。
2025年の回は、ASL-3(AI Safety Level-3)のデプロイ標準を満たすための保護策の検証でした。ASL-3は、Responsible Scaling Policyが定める安全・セキュリティ水準の1つです。
応募は申請フォームから行います。AIセキュリティの経験がある人、または言語モデルのジェイルブレイクを見つけた実績のある人が想定されています。招待制にしている理由は、提出物へ適時にフィードバックを返すためです。
窓口で迷ったときの振り分け
報告先の振り分け
- 1
Anthropicが運営する公開システムの技術的な欠陥か
該当するなら、Responsible Disclosure Policyの報告フォームです。
- 2
モデルの出力やジェイルブレイクの問題か
システムの脆弱性とは別物で、方針の対象外です。送り先は
usersafety@anthropic.comです。 - 3
公開前の安全策を、報奨金つきで試したいか
Model Safety Bug Bountyの募集の案内が出ている回に、申請フォームから応募します。
- 4
Anthropicから他社ソフトの脆弱性を伝えられる側か
開発元の立場なら、CVDはAnthropic側の通知目標を示しています。90日の期限と、修正が進んでいるときの14日延長が基準です。
公開を考えている研究者は、報告の時点で公表の意向を書いておくと、公開時期の調整がしやすくなります。法的な扱いに不安があるときは、調査の前に disclosure@anthropic.com へ相談する選択肢があります。
まとめ
誰が誰に報告するかで窓口が決まり、モデルの安全性に関わる報告だけは自社システムの脆弱性と別経路になります。報告前には、対象外の一覧と、セーフハーバーの条件にある公開時期の調整を読み合わせておくと、報告が本来の担当に届きます。