Claudeをサイバー防御AIへ強化した方法 — Sonnet 4.5の裏側
AnthropicがClaude Sonnet 4.5をサイバー防御向けに強化した方針と評価結果を解説します。Cybench・CyberGymの数値、パッチ生成の限界、HackerOneらの導入評価まで扱います。
サイバー防御にAIを投資する理由
Sonnet 4.5は、脆弱性の発見とパッチ適用を中心にサイバー能力を強化したモデルです。Cybenchでは10回試行で76.5%、CyberGymでは30回試行で66.7%の再現率でした。高度なエクスプロイト開発やマルウェア作成は、意図的に強化の対象から外しました。現行モデルでは、サイバー系の依頼が検知されると別モデルで再実行されます(後半で表を示します)。
Anthropicは2025年10月3日、Claude Sonnet 4.5をサイバー防御向けに強化した取り組みを公開しました。公表したのは、Claudeのサイバーセキュリティ能力を長年追跡してきたFrontier Red Teamです。フロンティアAIが攻撃側のツールとして有用だと研究と実例の両方で示された流れを受け、防御側の能力強化に投資したという流れです。
この取り組みの結果、Sonnet 4.5はわずか2か月前にリリースされたOpus 4.1に、脆弱性発見をはじめとするサイバー能力の多くで匹敵または上回りました。Anthropicは「AIとサイバーセキュリティにとって重要な転換点にある」と明言しています。
Anthropicが転換点と判断する根拠は複数あります。
- Claudeがシミュレーション環境で、史上最も高額な被害を出したサイバー攻撃の一つである2017年のEquifax侵害を再現できた
- サイバーセキュリティ競技会にClaudeを参加させたところ、一部の大会で人間チームを上回る成績を残した(詳細は7大会のCTFベンチマーク検証を参照)
- 2025年夏のDARPA AI Cyber Challengeでは、Claudeを含むLLMを使った「サイバー推論システム」が数百万行規模のコードから脆弱性を検出し、一部は未知の脆弱性の発見・修正にも成功した
- AnthropicのSafeguardsチームが、Claudeを悪用した大規模データ恐喝スキーム(いわゆる「vibe hacking」)や、中国系APTの特徴と一致する通信インフラを狙った諜報活動を検知・妨害した
攻撃側での悪用が現実の脅威として観測される一方、Anthropicは「最もスケールする解決策は、防御側を強化するAIシステムを構築すること」だと捉えています。対象は企業や政府のセキュリティチーム、サイバーセキュリティ研究者、オープンソースソフトウェアのメンテナーです。
Sonnet 4.5で何を意図的に強化し、何を避けたか
大規模言語モデルは規模が拡大するにつれて、明示的な訓練目標ではなかった能力が副産物的に現れる「創発的能力」を示すことが知られています。CTF課題で脆弱性を発見・悪用する能力も、汎用アシスタントとしての開発の副産物として現れてきました。
Anthropicはこの一般的な進歩だけに頼りませんでした。Sonnet 4.5の開発では少人数の専任研究チームが、防御側の実務に直結する3つのタスクに絞って能力を磨いています。
強化したものと、避けたもの
強化した3つ
コードベースの脆弱性発見、パッチ適用、模擬デプロイ環境のセキュリティ基盤に対する弱点テストです。狙いは、デプロイ前に脆弱なコードを見つけることと、デプロイ済みコードの脆弱性を見つけて直すことです。
意図的に避けた
高度なエクスプロイト開発やマルウェア作成のように、明確に攻撃側を利する強化は対象にしていません。
重要な防御タスクはほかにも数多く残っており、それらは今後の研究課題です。
Cybenchで76.5%、半年で倍増した成功率
評価には業界標準のベンチマークを使い、モデル間の比較・進歩速度の測定・外部開発された評価による答え合わせを行っています。重要だったのは、評価を何度も繰り返し実行することでした。試行回数を増やすほど、実際の攻撃者や防御者がある問題に取り組んだときの挙動に近づきます。
CybenchはCTF競技の課題から構成されたベンチマークで、Anthropicが1年以上追跡してきた評価の一つです。Sonnet 4.5は、Sonnet 4だけでなくOpus 4・4.1と比べても際立った改善を示しました。1課題につき1回しか試せない条件のSonnet 4.5が、10回試せるOpus 4.1の成功率を上回っています。Opus 4.1より低価格で高速な点も、Sonnet 4.5の特徴として挙げられています。
たとえば1つの課題は、ネットワークトラフィックを解析してマルウェアを抽出し、それを逆コンパイル・復号するという複雑で長時間の作業でした。熟練した人間なら最低1時間、場合によってはもっとかかると見積もられる課題を、Claudeは38分で解いています。
Cybench: 10回試行での成功率
Sonnet 3.7
35.9%
2025年2月リリース
Sonnet 4.5
76.5%
半年で約2倍
集計の対象は、元の40問のうち実装が難しかった3問を除いた37問です。図は1・10・30回の試行で比べており、Sonnet 4.5はどの回数でも過去のモデルを上回りました。
CyberGymで新たな脆弱性発見率が33%超に
CyberGymは、実在するオープンソースプロジェクトを対象に、①既知の脆弱性を高レベルの説明から見つけ直せるか、②未知の脆弱性を新規に発見できるかを評価するベンチマークです。規模は188のソフトウェアプロジェクトにまたがる1,507件の脆弱性です。論文では、脆弱性の説明とコードベースだけを与えて再現用のテストを書かせ、上位の組み合わせでも成功率は約20%でした。同じ論文は、この評価を通じて34件の未知の脆弱性と、18件の不完全だった過去のパッチを見つけたと報告しています。公開リーダーボードでは、これまでSonnet 4が最強のモデルでした。
Sonnet 4.5はSonnet 4・Opus 4のいずれよりも大きく上回るスコアを記録しています。公開リーダーボードと同じコスト制約(脆弱性1件あたりLLM API利用料2ドル以内)では28.9%で、新しい最高記録です。ただし実際の攻撃者はこの制約に縛られません。制約を外して1タスクあたり30回の試行を許すと、66.7%の割合で脆弱性を再現しました。30回試行の絶対コストは1タスクあたり約45ドルで、単価は上がるものの低水準です。なお1回試行の比較では、価格が高いOpus 4.1だけは2ドルの制約を受けていません。
新規の脆弱性発見率も向上しています。Sonnet 4はリーダーボード上で、およそ2%のターゲットにしか新規脆弱性を発見できませんでした。
CyberGymで新しい脆弱性を見つけた割合(Sonnet 4.5)
新規発見(1回)
5%
Sonnet 4は約2%
新規発見(30回)
33%超
プロジェクト単位
パッチ生成は発見より難しい、15%が意味的に同等
脆弱性を見つけるだけでなく、修正パッチを生成・レビューする能力についても予備調査が行われました。パッチ生成は発見より難しいタスクです。機能を壊さずに脆弱性だけを除去する「外科的な修正」が必要で、仕様書がなければコードベースから意図された挙動を推測しなければなりません。
実験ではCyberGym評価セットの脆弱性について、脆弱性の説明とクラッシュ時の情報だけをSonnet 4.5に与えてパッチを生成させました。判定には、Claude自身に人間作成の参照パッチとの意味的な同等性を判断させる方式を使っています。結果は生成パッチの15%が参照パッチと意味的に同等というものでした。
ただし脆弱性の修正方法は一つとは限らないため、参照パッチと形が異なっていても正しい修正になっているケースが、比較ベースの評価では見逃されている可能性があります。実際、高スコアのパッチをサンプル抽出して人手で分析したところ、CyberGym評価の元になったオープンソースソフトウェアにマージ済みの参照パッチと機能的に同一のものが見つかっています。
HackerOneとCrowdStrikeの導入評価
Sonnet 4.5のリリースに先立ち、Anthropicは実際にAIを防御目的で活用する組織と協力し、脆弱性修復・ネットワークセキュリティテスト・脅威分析といった実務課題への適用についてフィードバックを得ています。
HackerOneのChief Product Officerを務めるNidhi Aggarwal氏はこう述べています。「Claude Sonnet 4.5により、セキュリティエージェントHaiの脆弱性受付にかかる平均時間が44%短縮し、精度も25%向上した」。CrowdStrikeのSenior Vice President for Data Science兼Chief Scientistを務めるSven Krasser氏も評価しています。レッドチーミング用途での有望さと、攻撃者の手口を研究するための創造的な攻撃シナリオを生成する能力を評価しています。
製品を通じた具体的な導入事例は、Claudeをサイバーセキュリティ業務でどう使うかで扱っています。ここで見たのは、その土台になるSonnet 4.5自体の防御能力強化という研究方針です。
今後の焦点はSOC自動化とSIEM分析
Anthropicは、Sonnet 4.5の能力がまだ発展途上であり、セキュリティ専門家や確立されたプロセスの水準には届いていない部分も多いと認めています。プラットフォーム上での不正利用対策では、単一のプロンプトと応答だけを見るのではありません。組織単位でのやり取りを要約して大局的に把握する技術を使い、大規模な自動化行為を伴う悪質なユースケースを見分ける取り組みを続けています。
今後の重点分野として4つを挙げています。Security Operations Center(SOC)の自動化、Security Information and Event Management(SIEM)分析、セキュアなネットワークエンジニアリング、能動的防御(active defense)です。研究者やチームがこれらの領域でモデルを実験できる環境を整え、防御能力を測る評価の第三者エコシステムを広げたい考えです。CI/CDパイプラインへの統合例としては、Claude Codeの自動セキュリティレビューが挙げられています。
AIによる防御力強化だけでは不十分で、デジタルインフラそのものをより堅牢にし、フロンティアAIモデルの支援も得ながらソフトウェアを設計段階から安全にしていく必要があるとも指摘しています。
現行モデルでは、サイバー系の依頼はどう扱われるか
防御向けの強化は、攻撃への転用を抑える仕組みと並行して動いています。Claude Codeのモデル設定のドキュメントによると、Fableモデル・Opus 5.5・Sonnet 5.5・Opus 5は安全分類器つきで動きます。検知されやすいのは、とくにサイバーセキュリティと生物学の内容です。検知された依頼はフォールバック先のモデルで再実行され、画面に通知が出ます。
| 検知したモデル | サイバー検知時の再実行先 |
|---|---|
| Fable 5.1・Fable 5・Opus 5.5・Opus 5 | サイバー検知時の再実行先Opus 4.8 |
| Sonnet 5.5 | サイバー検知時の再実行先Sonnet 5 |
ペネトレーションテストやCTFのような攻撃側の作業は、最初の依頼からフォールバックが起きやすいとドキュメントにあります。これはアカウントへのフラグではなく、この領域の想定どおりのルーティングです。Fableクラスの能力が業務で要る組織には、信頼されたアクセスのプログラムをAnthropicのアカウントチームに問い合わせる道が案内されています。
Sonnet 4.5の記事が描いた「防御側を強くする」方針と、検知された依頼を別モデルへ回す運用は、同じ問題の両面です。防御業務のつもりの依頼が検知されるかどうかは、作業内容ごとに差が出ます。ドキュメントが挙げるのは、ペネトレーションテストやCTFのような攻撃側の作業が最初からフォールバックしやすい点です。
まとめ
数字は試行回数で大きく動きます。1回で見るか30回で見るかで、同じモデルの印象が変わるため、自社の用途に近い試行条件で読み替えるのが前提です。パッチ生成の15%も、参照パッチとの比較という測り方が見落としを生むため、実力の下限寄りの数字です。
Sonnet 4以前の世代でのサイバー能力評価はClaude Opus 4サイバー能力評価にまとめています。MITRE ATT&CKでの攻撃者動向分析は832件の攻撃分析、レッドチーム研究の背景はClaudeのレッドチームがフロンティア脅威を追う理由で扱っています。