何が起きたか
Ciscoが、ソフトウェアコードの脆弱性を見つける小型のオープンAIモデル「Antares-350M」と「Antares-1B」を公開しました。売り文句は精度そのものより「費用対効果」です。
Axiosが伝えたCisco自身のテストでは、Antaresは500のコードリポジトリを約15分・1ドル未満でスキャンしました。同じ作業に対し、大型モデルのGPT-5.5は5時間・100ドル超を要したとされます。開発者のAman Priyanshu氏はX上で、最小モデルはCognitionの「Devin Security Swarm」のような大型AIエージェントに比べ、1ドルあたり約150倍の脆弱性を検出すると主張しています。
なぜ重要か
ポイントは「小さいこと」がそのまま事業上の利点になっている点です。両モデルはローカルで動作するため、機密性の高いコードが社外に出ません。生成AIをセキュリティ用途で使う際に必ず問題になる「自社コードを外部APIに送る」という壁を、設計段階で回避しています。
コスト構造も無視できません。脆弱性スキャンは本来、CI/CDのたびに繰り返す高頻度の作業です。1回100ドルの検査は日常的には回せませんが、1ドル未満なら常時走らせる前提が成り立ちます。「賢い1回」より「安い無数回」が効く領域だという割り切りです。
背景にある設計思想
技術レポートによれば、両モデルの学習データは約72%がセキュリティ概念のデータ、15%がコード検索履歴で構成されています。汎用の巨大モデルを削るのではなく、脆弱性検出という一点に特化させた設計です。
Ciscoは30億パラメータの上位版を自社製品向けに温存しており、これはGPT-5.5に迫る性能で、最大200倍規模のオープンモデルを上回るとされます。さらに、オープンなAIセキュリティツールの業界コンソーシアム構想も探っているといい、この領域で標準を握る狙いがうかがえます。
💼 事業会社視点：これは自社にどう効くか
受託開発・SaaS事業者にとって、これは「AIセキュリティ検査を内製化できるコストラインが下がった」という具体的な変化です。従来、生成AIによるコード監査は①自社コードを外部に送る抵抗感、②スキャン単価の高さ、の二重の壁がありました。ローカル動作で1ドル未満というAntaresの数字は、この両方を同時に崩します。
日本の受託開発企業は、納品物の脆弱性責任を問われる立場にありながら、専任セキュリティ人材を抱えにくいのが実情です。CI/CDに小型モデルを組み込み「全コミットを自動スキャン」する運用は、人手を増やさず監査品質を底上げする現実解になり得ます。SaaS事業者なら、顧客データを扱うコードを外部送信せずに継続検査できる点が、そのままセキュリティ説明資料の材料になります。
経営者が今すべきは、GPT系の高価な検査を「重要リリース時のみ」に限定し、日常の高頻度スキャンを小型ローカルモデルに置き換える二層構成の検討です。Ciscoのコンソーシアム構想も、どの陣営が標準を握るかを左右するため、動向を追う価値があります。