Anthropic 自社が Claude Code で作った脅威検知プラットフォーム CLUE — 1週間構築、誤検知33%→7%、月1,870時間節約

概要

2026年5月12日、Anthropic は自社のサイバーセキュリティチームが Claude Code で構築した脅威検知プラットフォーム CLUE（Claude Looks Up Evidence） の事例を公開した。

CLUE は従来型のダッシュボード SOC ではなく、自然言語インターフェース＋エージェント・ループで社内データを横断する構造を持つ。Anthropic 社内のドッグフード事例だが、SOC・MSS（Managed Security Service）市場のアーキテクチャ前提を揺らす内容だ。

数字で見る CLUE

誤検知率の 33% → 7% は、SOC 業務の本質を変える数字だ。アラート 100件のうち 33件が偽陽性だった世界から、7件まで下がる。アナリストが本当に深掘りすべき案件への集中度が桁違いに変わる。

CLUE のアーキテクチャ

2つのサブシステム

エージェント・ループの中身

• Orchestrator が sub-agent を並列起動
• 1 investigation session 平均で 約 25 ツール呼び出し / 約 11 クエリ
• 接続データソース: Slack メッセージ、社内ドキュメント、コードリポジトリ、データウェアハウス、セキュリティログ、アクセス制御システム、ドキュメント分類システム

ポイントは「institutional context（社内文脈）」を Claude に直接渡している点だ。外部 SOC ベンダーが原理的に持てない、Anthropic 固有のナレッジが武器になっている。

Before / After: アナリストの導線

Claude Code の使われ方

Jackie Bow の発言が直接的だ。

「私たちが作ったものの大半は、Claude Code と話しながら作った。design partner であり collaborator だった」 — Jackie Bow, Technical Lead, Detection Platform Engineering

具体的に Claude Code が担当したもの:

セキュリティチームは 本業（インシデント対応・脅威ハンティング）と並行して これを 1週間で本実装まで届けた。専任のソフトウェアエンジニアではない人員でも、Claude Code を経由すれば SOC 内製化が現実的になるという主張だ。

「セキュリティエンジニアの黄金期だと感じる。ずっと欲しかったツールを、ついに自分で作れる」 — Jackie Bow

"bitter lesson for security operations"

CLUE 開発初期の議論で重要なターニングポイントがあった。Claude にどこまで自由に調査経路を選ばせるか、どこまで人間が手順を縛るか。

「初期は Claude の調査経路をどこまで制約するかを議論していた。しかし、自由度を渡してみると、人間が指定しなかった経路で結果を出してくることが多かった」 — Jackie Bow

「セキュリティ運用の bitter lesson はこれだ。私たちは長年、人間がどう調査するかをコード化するシステムを作ってきた」 — Jackie Bow

これは The Bitter Lesson（Sutton, 2019）の SOC 版だ。人間の手順を符号化したルールベース SIEM の限界が、Claude のような探索的エージェントによってあぶり出されている。

日本への示唆

国内 SOC / MSS 事業者への波及

NTT-CERT、NRI セキュア（NeoSOC）、ラック（JSOC）、Secureworks Japan などの国内 MSS は、すでに AI による一次分類を導入しつつあるが、自然言語 1 本＋エージェントループ の構造はまだ標準化されていない。CLUE 公開を起点に、この設計が SOC 業界の参照アーキテクチャになる可能性が高い。

NEC × Anthropic 提携の文脈

2026年4月、Anthropic と NEC が日本市場で SOC を含む業務適用で提携した（過去記事参照）。CLUE の事例は、その提携が想定する 顧客社内データ × Claude のエージェント・ループ の具体形そのものだ。

日本の大手企業が NEC 経由で導入する際の 数値ベンチマーク が、Anthropic 自身のドッグフードから出てきた。NEC が事例として提示できる定量データが揃ったことで、PoC → 本番の意思決定が早まる。

セキュリティエンジニアのキャリア構造の変化

「クエリを書ける人」から「社内データを Claude に渡せる形に整える人 + エージェント評価ができる人」へ役割が移る。日本のセキュリティ人材市場でも、SIEM クエリ専門職の希少価値は下がり、社内データの構造化とエージェント運用ができる人材が希少化する。

Claude Code の使い方への含意

CLUE は専任エンジニアではないセキュリティチームが 1週間で構築した。これは社内向け業務ツール内製化の 時間スケール を変える事例だ。

日本企業の情シス・セキュリティ部門が、SIer 経由で発注する従来構造から、Claude Code を使った内製＋必要な部分だけ SIer に依頼 という構造に再編される圧力がかかる。

まとめ

• 2026年5月12日、Anthropic は社内向け脅威検知プラットフォーム CLUE を公開。Claude Code で POC 1日・本実装 1週間、誤検知率 33% → 7%、月 1,870時間自動化
• アーキテクチャは CLUE Triage（初動分類）＋ CLUE Investigate（自然言語クエリ）。Orchestrator ＋ sub-agent の並列実行で institutional context（社内文脈）を直接活用
• The Bitter Lesson の SOC 版: 人間の調査手順を符号化したルールベース SIEM より、Claude に latitude を渡して探索させる方が結果が良い
• NEC × Anthropic 提携が想定する顧客社内データ × Claude のエージェント運用の 数値ベンチマーク が揃った。国内 SOC / MSS の参照アーキテクチャになる可能性が高い
• セキュリティエンジニアの仕事は「クエリ職人」から「社内データ整備 + エージェント評価」へ移る。Claude Code を使えるセキュリティ人材が希少化する

参考リンク

• How Anthropic's cybersecurity team built a threat detection platform with Claude Code — Anthropic Blog（2026-05-12）
• Claude Code（公式）
• The Bitter Lesson — Rich Sutton（2019）