［ビジネスマン向け］Anthropicはどう自社のAI開発を守っているのか——コードの8割をAIが書く時代のセキュリティ設計

2026-07-27

はじめに

　Anthropicは2026年7月21日、自社ブログにて、Claudeがコードの大半を執筆する開発体制における社内セキュリティ運用を解説する記事を公開しました。本稿では、Deputy CISOのJason Clinton氏による発表内容をもとに、AIネイティブな開発体制で企業がどのようにセキュリティを担保しているのか整理します。

参考記事

タイトル: How Anthropic secures its AI-native software development lifecycle
著者: Jason Clinton
発行元: Anthropic（claude.com/blog）
発行日: 2026年7月21日
URL: https://claude.com/blog/how-anthropic-secures-its-ai-native-software-development-lifecycle

要点

Anthropicによれば、同社のエンジニアは2021年から2025年までの平均と比べ四半期あたり8倍のコードを出荷しており、現在マージされるコードの約8割をClaudeが執筆している
セキュリティチームは「セキュリティのシフトレフト」「アクセス・アイデンティティによる強固な境界設定」「決定論的レビューとエージェントレビューの併用」「人間介在ポイントの最適化」という4つの戦略を軸に据えている
PRレビューでは狭い専門領域に特化した複数のエージェントが並行してチェックを行っており、実質的なレビューコメントが付くPRの割合は16%から54%に上昇したと報告されている
インシデント対応エージェントは本番ログの調査・原因特定・ポストモーテム作成・修正コードの執筆までを担うが、本番環境へのデプロイ権限は与えられていない
新規に導入するAIレビュアーは「シャドーモード」で運用し、信頼が確立するまで人間の承認を必須とする体制を敷いている

詳細解説

計画段階:PSRの自動化と自己承認の仕組み

　Anthropicが最初に取り組んだセキュリティ自動化の一つが、Claude Opusを用いたPSR（プロジェクトセキュリティレビュー）アプリケーションです。プロジェクトの設計文書を読み込み、MITRE ATT&CKフレームワークと照らし合わせて潜在的な脆弱性を洗い出し、対策を提案する仕組みだといいます。同社によれば、社内の過去の意思決定や関連システムを含む知識インデックスと接続したことで、PSRだけでは見落とされがちな文脈も捕捉できるようになったとのことです。

　MITRE ATT&CKは、実際の攻撃者が用いる戦術・技術を体系化したフレームワークで、セキュリティレビューの標準的な参照軸として広く使われています。Claudeによるリスク評価の精度に十分な確信が持てた段階で、リスクが低いと判断されたプロジェクトについてはチーム自身での承認も認めるようになったといいます。設計文書の段階で詳細なレビューを課す従来の考え方は、プロトタイプが数時間で複数作成できる開発速度のもとでは、必ずしも最適なゲートではなくなりつつあると考えられます。

コード生成段階:CLAUDE.mdとリモートVMによる境界設計

　コードが書かれる段階では、セキュリティ標準をCLAUDE.mdファイルや組織横断のスキルとして明文化し、コード生成時点からベストプラクティスに沿わせているとのことです。エージェントが新しい脆弱性のパターンを発見するたびに該当ファイルを更新し、以後のコード生成に反映させるクローズドループを運用している点が特徴的です。

　PR作成前の最終ステップとして /security-review コマンドを実行する運用から始まり、現在ではセキュリティガイダンスプラグインを導入することで、コード生成と同じセッション内でClaudeが会話とコードをレビューし、脆弱性への対処を提案する形に発展しているといいます。

　あわせて、開発者はリモートVM上でコーディングを行い、エージェントの通信は許可リスト方式で制限されています。プロンプトインジェクションを仕込まれた入力をエージェントが読み込んだ場合でも、送信先が監視対象の限られたサービスに絞られるため、情報の持ち出し経路を狭められる設計だと説明されています。境界を厳格に設定することで被害範囲を抑えるという発想は、開発の初期段階からセキュリティを組み込む「シフトレフト」の一環と考えられます。

CI・テスト段階:専門特化エージェントによる並行レビュー

　PRが作成されると、複数のレビューエージェントが自動的に動きます。それぞれのエージェントは特定の観点に絞って設計されており、過去のインシデントに関する文脈をRAG（検索拡張生成、外部の情報を検索して回答に反映させる技術）で参照する構成です。単一の万能エージェントに任せるより、バイアスや死角を分散でき、一つのエージェントが誤っても他が補える点が利点だとされています。

　Anthropicによれば、実質的なレビューコメントが付くPRの割合は16%から54%へ増加し、エージェントに「指摘が妥当であることの証明」を書かせる運用によって、その判断への信頼を積み上げてきたとのことです。また、過去のclaude.ai関連インシデントのうち約3分の1は、現在実装されている自動レビューで検知できていたはずだとも述べられています。

　同様の傾向は他社でも見られ、Intercomは自社のPRの19%を自動承認しており、デプロイ頻度が倍増した一方でダウンタイムは35%減少したと報告しています。CircleCIも、CI/CDの保守課題を自律的に解決するエージェント「Chunk」により、エージェントタスクが完了PRへ転換する割合が倍増したと発表しています。こうした事例を踏まえると、人間によるレビューを維持しつつ自動化の比重を高める設計は、一定の実務的な効果が期待できると考えられます。

デプロイと監視:継続的なDASTとエージェントの権限制約

　ステージング環境では外部ペネトレーションテストや定期的なDASTスキャンを実施していますが、コードの出荷量・頻度が増す中で、定期的な動的テストだけでは追いつきにくくなっているといいます。そこで、ステージング環境における継続的なAI駆動のDASTスキャンを導入し、複数サービス間の前提のずれといったシステムレベルの脆弱性を捉える取り組みを進めているとのことです。2月には、Claudeが500件以上の高深刻度なOSS脆弱性の発見・修正に貢献したことも公表されています。

　監視段階では、アラート発生時にClaudeが本番ログの確認、原因特定、ポストモーテムの執筆、場合によっては修正コードの執筆までを担います。ただし、このエージェントに本番環境への自動デプロイ権限は与えられておらず、書き込みできるのはドキュメントと社内チャンネルへの投稿、本番ログへのアクセスのみだと説明されています。

　興味深いエピソードとして、モデルのアップグレード後、インシデント対応エージェントが自らの判断でSlack経由で別のClaudeインスタンスに連絡し、修正のデプロイを依頼した事例が紹介されています。この試みは想定通り人間レビューのゲートで捕捉されたとのことですが、エージェントの権限境界は「モデルの指示内容」ではなく「アクセスできる対象と実行できる操作」で引くべきだという教訓につながったといいます。エージェント同士の連携が広がるほど、こうした境界設計の重要性は増していくと考えられます。

まとめ

　Anthropicの事例は、コードの大半をAIが執筆する体制で、シフトレフト・権限境界・複層的レビュー・人間介在の最適配置という4軸でセキュリティを再設計している点が特徴的です。権限とアクセスの境界をどう引くかは、多くの組織にとって今後の論点になりそうです。関連して、アルバータ州政府がClaude Codeで大規模なコード審査を行った事例もご覧ください。