LONDON (IT BOLTWISE) – Anthropic bringt mit dem OSS Scanner einen kostenlosen, optionalen Dienst auf den Markt, der Open-Source-Projekte mit den eigenen KI-Modellen auf potenzielle Schwachstellen prüft. Die Ergebnisse entstehen vollständig modellgeneriert, ohne menschliche Triage oder manuelle Vorprüfung. Damit will das Unternehmen die Validierung skalieren und Betreuern schneller nutzbare Berichte liefern. Gleichzeitig bleibt laut Anbieter unklar, inwieweit jedes Ergebnis automatisch in den CVD-Prozess passt, weil auch fehlerhafte oder ungültige Funde vorkommen können.
Anthropic erweitert seine KI-gestützte Sicherheitsarbeit um einen neuen, klar adressierten Use Case: Open-Source-Projekte sollen per Opt-in regelmäßig kostenlose Schwachstellenscans erhalten. Der Kern des Angebots ist der OSS Scanner, der angemeldete Repositories automatisch untersucht und die gefundenen Punkte anschließend direkt an die Betreuer weiterleitet. Laut Anbieter setzt der Dienst dabei auf leistungsstarke Modelle aus dem Claude-Umfeld und verzichtet bewusst auf eine menschliche Überprüfung oder Triage im engeren Sinne. Für Security-Verantwortliche ist das ein spürbarer Perspektivwechsel: Statt einzelne Teams mit zeitaufwendiger manuell kuratierter Analyse zu entlasten, verschiebt Anthropic den Engpass in Richtung der technischen Skalierbarkeit der Suche – bei gleichzeitiger Verantwortung für die Einordnung durch die Projektbetreiber.
Der OSS Scanner baut auf den Erfahrungen mit Claude zur Schwachstellensuche im Rahmen von Project Glasswing auf. Inhaltlich knüpft er an ein Thema an, das in der Praxis längst zu einem Dauertest geworden ist: Sprachmodelle finden immer häufiger nicht nur theoretische Schwachstellenhinweise, sondern liefern verwertbare Ergebnisse. Als messbaren Beleg nennt Anthropic den akademischen Benchmark CyberGym: Dort sei die Erkennungsrate großer Sprachmodelle von unter 20 Prozent zu Beginn des vergangenen Jahres auf mehr als 85 Prozent gestiegen. Der Anbieter leitet daraus ab, dass Betreuer heute deutlich öfter hochwertige Fehlerberichte erhalten als überwiegend ungenaue Ausgaben. Genau diese Entwicklung – mehr Trefferqualität bei gleichbleibender Automatisierung – macht den Schritt von punktuellen KI-Tests hin zu einem wiederholbaren OSS-Programm plausibel.
Für die operative Seite nennt Anthropic konkrete Größenordnungen aus dem Einsatz neuester Modelle in den vergangenen sechs Monaten: Insgesamt seien mehr als 29.000 potenzielle Schwachstellen identifiziert worden, davon rund 6.000 manuell überprüft und eingestuft. In der Logik dahinter steckt ein klassischer Systemkonflikt: Solange Validierung personell gebunden ist, skaliert die eigentliche Suche schneller als die Auswertung. Zusätzlich berichten Projektbetreuer, die bereits erste Berichte erhalten haben, zunehmend von dem Wunsch nach einer Sammelübermittlung aller vorliegenden Informationen – auch wenn sie noch nicht validiert sind und Patch-Vorschläge enthalten. Anthropic verweist dabei auf fast 5.000 Berichte, die auf diese Bitte hin direkt an Betreuer gingen. Dass Exploits sich inzwischen in wenigen Minuten entwickeln lassen, erhöht den Druck zusätzlich: Je früher ein Projekt potenzielle Schwachstellen findet und behebt, desto geringer wird das Risiko, dass die Lücke in den öffentlichen Exploit-Kreislauf gerät.
Technisch grenzt Anthropic den OSS Scanner deutlich von einem allgemein verfügbaren Produkt zum Scannen und Patchen von Code ab, das sich an Unternehmen richtet, die eigene Systeme schützen wollen. Beim OSS Scanner ist das Ziel hingegen explizit Open-Source: Das System liefert modellgenerierte Ergebnisse ohne menschliche Überprüfung und ohne Triage, also als Vollautomatisierung. Jeder Bericht folgt dabei einem strukturierten Schema: Er enthält einen in sich geschlossenen Reproduktionsfall und eine Erläuterung der Schwachstelle. Wenn möglich, wird per Bisektion ermittelt, wann der Fehler eingeführt wurde; außerdem liegt, sofern verfügbar, ein Patch-Vorschlag bei. Ähnlich wie bei Fuzzing-Ansätzen soll die Frequenz der Scans hoch bleiben – als Vorbild nennt Anthropic Googles OSS-Fuzz – allerdings verschiebt sich die Methode von systematischem Testen hin zu KI-gestützter Analyse und Generierung. Die Konsequenz ist zugleich die größte praktische Herausforderung: Ohne Validierung können Berichte fehlerhaft oder ungültig sein.
Um diese Risiken einzuhegen, beschreibt Anthropic eine eigene Validierungslogik. Für eine frühe Version baten die Verantwortlichen erfahrene Penetrationstester, die auch Ergebnisse aus dem koordinierten Offenlegungsprozess (Coordinated Vulnerability Disclosure, CVD) bewerten, 97 Schwachstellen mit hohem oder kritischem Schweregrad aus 48 Projekten zu bewerten. Das Ergebnis: 85 Funde erfüllten die Anforderungen für den CVD-Prozess (88 Prozent). 11 weitere Funde seien zwar echte Sicherheitsprobleme, aber Duplikate bekannter Schwachstellen oder anderer Scan-Ergebnisse. Nur ein Fund erwies sich laut Beschreibung als ungültig (False Positive). Genau diese Kennzahlen zeigen, warum der OSS Scanner für viele Teams trotz fehlender automatischer Triage attraktiv sein kann: Die Wahrscheinlichkeit, dass ein Bericht in die CVD-Pipeline passt, ist hoch genug, um bei schnellem Feedback die Zeit bis zur technischen Bewertung zu verkürzen. Gleichzeitig betont der Anbieter, dass ein fehlerfreier Scanner nicht garantiert werden könne, und will das System anhand von Betreuer-Feedback sowie mit besseren Modellen weiter verfeinern.
Wie gut das im Alltag funktioniert, untermauern Rückmeldungen aus konkreten Projekten, die Anthropic nennt. Bei PostgreSQL (Noah Misch) habe ein ungewöhlich hoher Anteil der Ergebnisse PostgreSQL-spezifische Fehler betroffen; die Berichte enthielten Korrekturen, die das Team fast unverändert übernehmen konnte, und durch den Fast-Track-Zugang ließen sich neue Probleme beheben, bevor sie in eine allgemeine Version gelangten. OpenSSL (Anton Arapov) wird als Beispiel dafür genannt, dass frühe KI-Berichte vor rund 18 Monaten enttäuschend gewesen seien, die aktuellen Ausgaben aber „so gut wie“ menschliche Meldungen sein und teils sogar besser ausfallen können. Bei wolfSSL (Todd Ouska) habe die Trefferquote ebenfalls hoch gelegen: Von 74 Berichten seien bis auf zwei gültig gewesen, fünf hätten zu CVEs geführt; durch beigefügte Patches hätten sich die Berichte nahtlos in den bestehenden Prüf- und Behebungsprozess fügen lassen. Ergänzend führt Anthropic HotCRP (Eddie Kohler) an, bei dem die Fehlerberichte gründlich und klar gewesen seien und das Berechtigungsmodell sowie die Priorisierung gut abgebildet hätten. Für die Einschätzung ist wichtig: Anthropic verweist zugleich darauf, dass Betreuer selten zurückgemeldet hätten, wenn ein Fund mit hohem oder kritischem Schweregrad ungültig gewesen sei, einzelne Stimmen aber auch auf mögliche Überhöhen der Schweregrade oder eine falsche Interpretation des Bedrohungsmodells hingewiesen hätten.
Die Teilnahme ist technisch relativ unaufwendig: Kernbetreuer nehmen teilnahmeberechtigte Projekte auf, indem sie einen Pull Request im jeweiligen GitHub-Repository einreichen, der der Standardvorlage entspricht; die Kriterien orientieren sich laut Anbieter an OSS-Fuzz, wobei Projekte kritische Auswirkungen auf Infrastruktur und Nutzersicherheit haben sollen. Anthropic entscheidet zudem von Fall zu Fall, ob ein Projekt tatsächlich aufgenommen wird. Unabhängig vom Scanner verweist der Anbieter auf zwei weitere Programme: Das „Cyber Verification Program“ soll qualifizierten Sicherheitsexperten fortgeschrittene Cyber-Fähigkeiten und optimierte Klassifikatoren bereitstellen, während „Claude for OSS“ kostenlose „Claude Max 20x“-Abonnements bereitstellen soll, um bei der Behebung von Schwachstellen und der Verbesserung von OSS-Projekten zu helfen. Für die Branche ist das mehr als ein einzelnes Tool-Release: Es ist ein Versuch, die Lücke zwischen dem wachsenden Bedarf an schneller Schwachstellenerkennung und der begrenzten Validierungskapazität der Menschen systematisch zu schließen – nicht durch die Abschaffung des menschlichen Prozesses, sondern durch dessen Entlastung und bessere Vorselektion.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Anthropic startet kostenlosen OSS Scanner für modellgenerierte Schwachstellensuche" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Anthropic startet kostenlosen OSS Scanner für modellgenerierte Schwachstellensuche" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Anthropic startet kostenlosen OSS Scanner für modellgenerierte Schwachstellensuche« bei Google Deutschland suchen, bei Bing oder Google News!