Kurz gesagt: Anthropic bietet mit dem OSS Scanner einen kostenfreien Dienst zur automatisierten Schwachstellensuche in Open-Source-Projekten an. Leistungsfähige Claude-Modelle sollen Sicherheitslücken regelmäßig aufspüren. Die Überprüfung der Ergebnisse bleibt jedoch Aufgabe der jeweiligen Projektverantwortlichen.
Wie lassen sich Sicherheitslücken in Open-Source-Software schneller identifizieren, wenn menschliche Prüfkapazitäten begrenzt sind? Anthropic setzt dafür auf automatisierte Sicherheitsanalysen durch künstliche Intelligenz. Der neue OSS Scanner soll teilnehmende Projekte regelmäßig untersuchen und mögliche Schwachstellen melden.
Zum Einsatz kommen leistungsfähige Claude-Modelle, darunter Claude Mythos. Anders als bei anderen Sicherheitsprogrammen des Unternehmens richtet sich der Dienst ausschließlich an Open-Source-Projekte.
Automatisierte Sicherheitsberichte ohne menschliche Prüfung
Eine Besonderheit des OSS Scanners ist die vollständig automatisierte Erstellung der Schwachstellenberichte. Anthropic verzichtet dabei auf eine vorherige menschliche Kontrolle oder Triage, um Sicherheitsanalysen schneller und häufiger durchführen zu können.
Allerdings können dabei auch fehlerhafte oder ungültige Meldungen entstehen. Ob eine gemeldete Schwachstelle tatsächlich existiert, müssen die verantwortlichen Entwickler und Maintainer selbst überprüfen.
Nach Angaben von Anthropic zeigte ein Testlauf dennoch vielversprechende Ergebnisse: Von 97 gemeldeten Befunden waren 85 tatsächlich neue Sicherheitslücken. Die übrigen zwölf Meldungen betrafen bereits bekannte Schwachstellen, Duplikate oder Fehlalarme.
Menschliche Sicherheitsprüfungen bleiben ein Engpass
Die Entwicklung des OSS Scanners basiert auf Erfahrungen aus bisherigen Sicherheitsinitiativen wie Project Glasswing. Innerhalb von sechs Monaten identifizierte Anthropic eigenen Angaben zufolge mehr als 29.000 potenzielle Schwachstellen in Softwareprojekten.
Davon konnten allerdings nur rund 6.000 manuell überprüft werden. Die menschliche Validierung erwies sich damit als wesentlicher Engpass.
Fast 5.000 weitere, ungeprüfte Berichte wurden auf ausdrücklichen Wunsch direkt an die zuständigen Maintainer übermittelt. Teilweise enthielten diese Meldungen bereits konkrete Vorschläge zur Behebung möglicher Sicherheitslücken.
Mit dem OSS Scanner möchte Anthropic dieses Verfahren ausweiten und automatisierte Sicherheitsberichte häufiger bereitstellen.
Für Open-Source-Projekte eröffnet das zusätzliche Möglichkeiten, bislang unbekannte Schwachstellen aufzudecken. Gleichzeitig bleibt die fachliche Bewertung unverzichtbar: KI kann potenzielle Sicherheitsprobleme erkennen, ersetzt aber nicht deren sorgfältige Überprüfung.
Wie sich KI-gestützte Sicherheitswerkzeuge und andere KI-Technologien weiterentwickeln, begleitet der Newsletter „Beratung-KI“ mit aktuellen Nachrichten und praxisnahen Einordnungen.
Effizienz durch Innovation: Teile der textlichen und visuellen Ausgestaltung dieser Seite wurden durch generative KI-Systeme unterstützt.