見出し画像

Claude Code Securityはセキュリティ企業を喰うのか？

バリュ研

2026年2月20日、Anthropicが「Claude Code Security」を発表した。

AIがコードを読み、脆弱性を見つけ、パッチまで提案する。
しかも、既存のルールベースのツールでは見つけられなかった複雑な脆弱性を、
Claude Opus 4.6は オープンソースのコードベースから500件以上も発見 したという。

これを聞いて、投資家として真っ先に思ったのは——

「セキュリティ企業はClaude Code Securityに喰われるのか？」

事実、CRWD（CrowdStrike）やRBRK（Rubrik）、ZS（Zscaler）などのセキュリティ企業の株価は、Anthropicの発表後に-7%も下がった。

バリュ研は普段バリュエーション中心ですが、今回はこの問いを構造的に考えてみます。

Claude Code Securityとは何か？（3分でわかるまとめ）

まず、Anthropicが何を作ったのかを整理します。

従来のセキュリティスキャンツール（SASТなど）

  • ルールベース：既知の脆弱性パターン（SQLインジェクション、ハードコードされたパスワードなど）を照合

  • 既知の問題は見つかるが、ビジネスロジックの欠陥やアクセス制御の不備など、文脈を理解しないと見つからない脆弱性は見逃しやすい

Claude Code Security

  • AIがコードを「読んで考える」：人間のセキュリティ研究者のように、コンポーネント間の相互作用やデータフローを追跡

  • 多段階検証：見つけた脆弱性を自ら反証しようとし、偽陽性をフィルタリング

  • パッチ提案 + 人間が承認：修正案を提示するが、適用は必ず人間が判断

  • ダッシュボードで重大度・信頼度を確認し、チームでレビュー可能

つまり、「AIが自律的にコードレビューしてくれるセキュリティの専門医」 のようなツール。

何がすごいのか？

Anthropicの発表で衝撃的だったのは具体的な実績です。

Claude Opus 4.6を使い、本番運用中のオープンソースコードベースから 500件以上の脆弱性を発見。
これらは 数十年にわたる専門家のレビューをすり抜けてきたバグ だった。

「AIでセキュリティ」は以前からバズワード的に語られてきましたが、
「実際に500件以上のゼロデイを見つけた」という定量的な実績は、レベルが違う。

セキュリティ企業への影響を「レイヤー別」に分解する

「Claude Code Securityが出たからCRWDやばい」と短絡するのは危険です。
セキュリティは 多層防御（Defense in Depth） が原則であり、各企業は異なるレイヤーを守っています。

セキュリティのレイヤー構造

┌──────────────────────────────────────┐
│  ① コードセキュリティ（開発段階）    │ ← Claude Code Security の守備範囲
│    脆弱性スキャン、コードレビュー     │
├──────────────────────────────────────┤
│  ② エンドポイント（端末防御）        │ ← CrowdStrike（CRWD）の守備範囲
│    EDR/XDR、脅威検出、インシデント対応│
├──────────────────────────────────────┤
│  ③ ネットワーク（通信経路の防御）    │ ← Zscaler（ZS）の守備範囲
│    ゼロトラスト、SSE/SASE            │
├──────────────────────────────────────┤
│  ④ データ保護（最後の砦）            │ ← Rubrik（RBRK）の守備範囲
│    バックアップ、ランサムウェア復旧   │
└──────────────────────────────────────┘

Claude Code Securityが狙っているのは ①のレイヤー です。
CRWDは②、ZSは③、RBRKは④。そもそも戦っている土俵が違う。

各企業への影響度を個別に評価

CrowdStrike（CRWD）：

CrowdStrikeのFalconプラットフォームは 「本番環境で動いている端末をリアルタイムに監視する」 システムです。

  • コードの脆弱性を事前に潰しても、ゼロデイ攻撃は防げない

  • フィッシングメール → マルウェア実行 → 横展開 という攻撃チェーンは、コードスキャンでは対処できない

  • むしろ、Claude Code Securityで「コードは安全になったはず」と油断した組織ほど、ランタイムの防御（＝CRWD）が重要になる

結論：守備範囲が異なるため、直接的な競合ではない。影響は限定的。

Zscaler（ZS）：

Zscalerは 通信経路上のセキュリティ を担うゼロトラストプラットフォームです。

  • 「社員がどのSaaSにアクセスしているか」「不審な通信がないか」を監視するのがZSの仕事

  • コードの品質とは完全に別の話

  • リモートワーク拡大・SaaS増加というメガトレンドが追い風であり、これはAIの登場で変わらない

結論：ビジネスの接点がほとんどない。影響はないに等しい。

Rubrik（RBRK）：

Rubrikは データ保護・ランサムウェアからの復旧 に特化しています。

  • ランサムウェア攻撃の経路は、コードの脆弱性だけではない（フィッシング、認証突破、内部犯行など多岐にわたる）

  • 仮にコードの脆弱性が全部潰せたとしても、「もし侵入されたらどう復旧するか」 の備えは必要

  • Rubrikの価値は「最悪の事態に備える保険」であり、予防ツールとは性質が違う

結論：「予防」と「復旧」は共存する関係。影響は限定的。

むしろ「喰われる」のは誰か？

Claude Code Securityが直接影響するのは、コードスキャン・静的解析（SAST）ツール のプレイヤーです。

つまり、投資家が心配すべきはCRWD・ZS・RBRKではなく、Snyk（未上場）やCheckmarx（未上場）のような「コードセキュリティ専業」の方。

長期的に考えるべき「本当のリスク」

ただし、もう少し長い目で見ると、CRWD・ZS・RBRKにも間接的な影響シナリオはあり得ます。

シナリオ：AIセキュリティが「コード以外」にも拡張したら？

Claude Code Securityは現在「コードスキャン」に限定していますが、
Anthropicが今後、以下のような拡張をしたらどうなるか？

  • ネットワークトラフィック分析（→ ZSと競合しうる）

  • エンドポイントのリアルタイム監視（→ CRWDと競合しうる）

  • データバックアップの異常検知（→ RBRKと競合しうる）

これが実現すれば脅威になりますが、現時点では Anthropicはコードセキュリティに集中 しており、
セキュリティ企業が持つ リアルタイム脅威インテリジェンス・グローバルなセンサーネットワーク・インシデント対応実績 を短期間で構築するのは極めて難しい。

CrowdStrikeは全世界の数百万台のエンドポイントから脅威データを収集しています。
このデータの 量と質 が検出精度の源泉であり、AIモデルの賢さだけでは代替できません。

バリュエーションへの影響は？

Claude Code Securityの発表で株価が短期的に下がるようなら、それは「誤解による下げ」 の可能性が高い。
レイヤー分析で説明した通り、ビジネスの直接的な競合ではないからです。

むしろ、AIによってサイバー攻撃が高度化する → セキュリティ支出が増える → CRWD・ZS・RBRKに追い風、
という 間接的なポジティブ影響 の方が大きいと考えています。

バリュエーションとはなにかについては、「いろんな企業のバリュエーションを評価してみた」の記事で詳しく書いています！

最後に

Claude Code Securityは間違いなくすごいプロダクトです。
「500件以上のゼロデイを発見」は、セキュリティ業界にとってのゲームチェンジャーになりうる。

ただし、「すごいプロダクト」と「既存企業のビジネスを破壊するプロダクト」は別物です。
レイヤーが違えば共存するし、むしろ市場全体の成長を後押しすることもある。

投資判断では、「怖い」「やばい」で動くのではなく、
構造を分解して、本当に影響を受けるのは誰なのか？ を冷静に見極めることが大事です。

次回以降、セキュリティ銘柄をバリュエーションマップに追加して、
どの水準なら「AIセキュリティの時代」でも買える価格なのかを分析していきます。

気になる銘柄やテーマがあれば、コメントで教えてください！

免責（大事）

ここで発信する内容は投資助言ではなく、あくまで参考情報です。
最終的な投資判断はご自身の責任でお願いします。

いいなと思ったら応援しよう！