---
title: Anthropic startet freiwilligen Sicherheits-Scanner für kritische Open-Source-Projekte
url: https://www.elseif.net/de/anthropic-startet-freiwilligen-sicherheits-scanner-fur-kritische-open-source-projekte
published: 2026-10-26T10:03:54+00:00
language: de
section: Agenten
source: https://www.infoq.com/news/2026/10/anthropic-oss-security-scanner/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=global
organizations: Anthropic, OpenSSL Corporation, curl, Google, Endor Labs, GitHub
publisher: elseif
---

# Anthropic startet freiwilligen Sicherheits-Scanner für kritische Open-Source-Projekte

Das Unternehmen Anthropic hat einen neuen Dienst namens OSS-Scanner eingeführt, der Sicherheitslücken in Open-Source-Software aufspürt. Dieser kostenlose Service arbeitet auf freiwilliger Basis und richtet sich speziell an die Betreuer kritischer Infrastrukturprojekte. Die teilnehmenden Projektverantwortlichen erhalten regelmäßig Sicherheitsberichte, die von den leistungsstärksten Modellen des Unternehmens, einschließlich Claude Mythos, erstellt wurden. Diese Berichte werden ohne menschliche Überprüfung versendet, wobei die Empfänger selbst entscheiden können, welche der vorgeschlagenen Korrekturen sie annehmen und welche Erkenntnisse sie validieren möchten.

Die Entscheidung für diesen automatisierten Ansatz resultiert aus der Erkenntnis, dass manuelle Überprüfungen durch Menschen zu einem Engpass geworden sind. Über einen Zeitraum von sechs Monaten identifizierten die Modelle des Unternehmens mehr als 29.000 potenzielle Schwachstellen, während Forschende lediglich etwa 6.000 davon manuell sichteten und priorisierten. Projektbetreuer, die einen früheren Zugang wünschten, hatten bereits fast 5.000 ungeprüfte Berichte zusammen mit vorgeschlagenen Patches erhalten, nachdem sie darum gebeten hatten. Jeder Bericht enthält einen in sich geschlossenen Reproduzierer sowie eine Erläuterung der vermuteten Sicherheitslücke.

Wo es möglich ist, identifiziert das System durch eine halbierende Suche diejenige Codeänderung, die den Fehler eingeführt hat, und liefert einen Kandidaten für eine Reparatur. Diese Methode erweitert die Arbeiten, die im Rahmen des Projekts Glasswing durchgeführt wurden. Das Unternehmen testete eine frühe Version des Scanners, indem es Penetrationstester bat, 97 Feststellungen mit kritischer oder hoher Schwere in 48 Projekten zu bewerten. Davon erfüllten 85 die Kriterien für eine koordinierte Offenlegung von Schwachstellen. Elf weitere waren echt, stellten jedoch Duplikate bekannter Probleme dar, während eine Feststellung ungültig war.

Einige Betreuer berichteten jedoch von überhöhten Schweregraden und Missverständnissen bezüglich der Bedrohungsmodelle ihrer Projekte. Dennoch beschrieb Anton Arapov von der OpenSSL Corporation die Rohberichte als genauso gut oder manchmal besser als menschliche Analysen, insbesondere wenn ein funktionierender Exploit die Verifikation erleichterte. Ein bestätigtes Beispiel außerhalb der offiziellen Ankündigung betrifft das Projekt curl, bei dem eine Use-after-Free-Schwachstelle in HTTP/2-Uploads behoben wurde. Diese als CVE-2026-92392 katalogisierte Lücke könnte unter spezifischen Bedingungen die Ausführung von ferngesteuertem Code ermöglichen, wobei ein Absturz des Systems als wahrscheinlicheres Ergebnis eingestuft wurde.

Der Scanner nutzt Sprachmodelle zur Codeuntersuchung und unterscheidet sich damit von anderen Ansätzen wie Google DeepMinds CodeMender, bei dem eine menschliche Prüfung vor der Einreichung erfolgte. Die häufige Durchführung weiterer Scans hängt von Faktoren wie der Projektnutzung und der Arbeitslast des Dienstes ab. Kernbetreuer melden sich über eine Anfrage an, die eine Docker-Datei zur Vorbereitung der Build-Umgebung enthält. Der Scanvorgang läuft nach der Einrichtung ohne Internetzugang. Projekte können Berichte pausieren oder sich vollständig zurückziehen, wobei für nicht validierte Funde keine automatische Frist zur Offenlegung gilt.