Anthropics OSS Scanner: Kostenlose KI-Sicherheitsprüfung für Open Source

Open-Source-Software steckt in fast allem, vom Router bis zum Onlinebanking, gepflegt wird sie aber oft von kleinen Teams ohne eigenes Sicherheitsbudget. Anthropic bietet solchen Projekten seit dem 8. Oktober einen kostenlosen Dienst an: den OSS Scanner, der Quellcode regelmäßig mit den stärksten Claude-Modellen auf Sicherheitslücken durchsucht. Der Clou und zugleich der Haken: Die Berichte gehen ohne menschliche Vorprüfung direkt an die Entwickler. Erste Rückmeldungen großer Projekte wie curl, PostgreSQL und wolfSSL fallen bemerkenswert positiv aus.

Das Wichtigste in Kürze

• Der OSS Scanner prüft teilnehmende Open-Source-Projekte regelmäßig und kostenlos, mit Anthropics stärksten Modellen, darunter Claude Mythos.
• Jeder Bericht enthält einen nachvollziehbaren Angriffsnachweis, eine Erklärung der Lücke und, wo möglich, einen Vorschlag für die Korrektur.
• Die Berichte sind vollständig maschinell erzeugt. In einer Stichprobe von 97 schweren Befunden war nur einer falsch, elf waren echte, aber bereits bekannte Lücken.
• Teilnehmen können Kernentwickler von Projekten mit großer Bedeutung für Infrastruktur und Sicherheit, die Anmeldung läuft über einen Pull Request auf GitHub.
• Für die ungeprüften Befunde gilt keine 90-Tage-Frist bis zur Veröffentlichung, Anthropic macht sie nicht öffentlich.

Warum Anthropic den Menschen aus der Schleife nimmt

Der Dienst ist eine Antwort auf ein Mengenproblem. Nach Anthropics Angaben hat das hauseigene Frontier Red Team in den vergangenen sechs Monaten mehr als 29.000 mögliche Schwachstellen in wichtigen Softwareprojekten gefunden. Manuell sichten und einordnen konnte es davon nur etwa 6.000. Der Engpass sind also nicht mehr die Modelle, sondern die Menschen, die deren Befunde prüfen. Anthropic belegt den Sprung mit dem Benchmark CyberGym: Zu Beginn des vergangenen Jahres fanden Sprachmodelle dort weniger als 20 Prozent der Schwachstellen, in diesem Jahr mehr als 85 Prozent.

Viele Entwickler hatten die Abkürzung schon selbst gewählt. Wer erste Meldungen von Anthropic erhielt, bat nach Firmenangaben immer häufiger darum, einfach alle ungeprüften Berichte samt Korrekturvorschlägen zu bekommen. Fast 5.000 solcher Berichte hat Anthropic auf diesem Weg bereits verschickt. Der OSS Scanner macht daraus nun ein reguläres Angebot. Für Projekte ohne eigene Kapazitäten bleibt der bisherige Weg bestehen, die koordinierte Offenlegung, bei der Fachleute jeden Befund vorher prüfen.

Das Vorbild ist Googles OSS-Fuzz, ein seit Jahren etablierter Dienst, der Open-Source-Code mit sogenannten Fuzzern testet, also Programmen, die Software mit massenhaft zufälligen oder kaputten Eingaben bombardieren. Der OSS Scanner setzt stattdessen Sprachmodelle ein, die Code lesen, Hypothesen über Fehler bilden und diese mit einem lauffähigen Nachweis belegen. Ein solcher Bericht enthält drei Teile: einen in sich geschlossenen Reproduzierer, der die Lücke auslöst, eine Erklärung samt Eingrenzung, wann der Fehler in den Code kam, und, wo verfügbar, einen Patch.

Wie gut sind die Befunde?

Die entscheidende Frage bei maschinellen Fehlermeldungen ist die Trefferquote. Open-Source-Entwickler klagten in den vergangenen Jahren über eine Flut minderwertiger KI-Berichte, die Zeit kosteten und nichts fanden. Anthropic ließ deshalb die Penetrationstester, die sonst seine Meldungen prüfen, 97 kritische und schwere Befunde aus 48 Projekten bewerten, die eine frühe Version des Scanners erzeugt hatte. 85 davon, also 88 Prozent, erfüllten die Kriterien für eine offizielle Meldung. Elf waren echte Lücken, aber Doppelungen bekannter Fehler oder anderer Befunde. Nur einer war schlicht falsch. Das ist eine kleine Stichprobe, und Anthropic räumt ein, dass Entwickler gelegentlich überzogene Schweregrade bemängelten oder das Bedrohungsmodell ihres Projekts falsch verstanden sahen.

Die Stimmen aus den Pilotprojekten sind deutlicher als üblich. Das Team der Verschlüsselungsbibliothek wolfSSL berichtet, von 74 erhaltenen Meldungen seien bis auf zwei alle zutreffend gewesen, fünf wurden zu offiziell registrierten Sicherheitslücken. curl-Entwickler Daniel Stenberg, der sich in der Vergangenheit öffentlich über unbrauchbare KI-Fehlermeldungen beklagt hatte, schreibt, der Scanner habe unter anderem eine der schwersten curl-Lücken der vergangenen Jahre gefunden. Anton Arapov von der OpenSSL Corporation nennt einen Bericht mit echtem Exploit „basically job done for an engineer“, weil er sich sofort überprüfen lasse. In der Testphase verknüpfte das System nach Anthropics Angaben mehrere Lücken zu Angriffen, die Code aus der Ferne ohne Anmeldung ausführen konnten – eine der gefährlichsten Klassen von Schwachstellen.

So funktioniert die Teilnahme

Anmelden können sich Kernentwickler eines Projekts per Pull Request im GitHub-Repository anthropics/oss-scanner. Nötig ist eine kurze Konfigurationsdatei mit der Adresse des Repositorys, einer Kontakt-E-Mail und einem Dockerfile, das alle Abhängigkeiten installiert und das Projekt baut. Der Scanner baut die Software in einer isolierten virtuellen Maschine und prüft sie anschließend ohne Internetzugang. Optional, aber ausdrücklich empfohlen, ist ein Bedrohungsmodell: Darin legt ein Projekt fest, welche Eingaben als potenziell bösartig gelten und wie Schweregrade zu bewerten sind. Berichte lassen sich per PGP verschlüsselt zustellen, und mit dem Eintrag „disabled: true“ pausiert ein Projekt den Dienst jederzeit. Wichtig: Die Kontaktadressen in der Konfiguration sind öffentlich, ein Sicherheits-Sammelpostfach ist die bessere Wahl.

Aufgenommen wird nicht jedes Hobbyprojekt. Anthropic orientiert sich an den Kriterien von OSS-Fuzz und verlangt eine „kritische Bedeutung für Infrastruktur und Nutzersicherheit“, entschieden wird im Einzelfall. Wie oft gescannt wird, hängt laut Anthropic unter anderem von der Nachfrage und der Verbreitung eines Projekts ab. Laut The Hacker News lagen kurz nach dem Start bereits 116 Anmeldungen vor. Wer nicht aufgenommen wird oder lieber selbst prüft, kann über das Programm Claude for OSS kostenlose Abonnements für Claude Max 20x beantragen, um Lücken zu beheben und Projekte zu verbessern.

Was Projekte vor der Anmeldung bedenken sollten

Der Dienst lohnt sich vor allem für Teams, die schon heute schwere Meldungen zügig abarbeiten und Kapazität für mehr haben. Wer ohnehin mit seinem Issue-Tracker kämpft, bekommt mit dem Scanner zusätzliche Arbeit, keine Entlastung, denn die Verantwortung für Prüfung und Priorisierung liegt vollständig beim Projekt. Positiv ist die Regelung zur Veröffentlichung: Weil die Befunde ungeprüft sind, setzt Anthropic keine 90-Tage-Frist und veröffentlicht sie nicht. Erst wenn ein Befund später im regulären Meldeverfahren von Menschen bestätigt wird, kann eine solche Frist beginnen.

Der Scanner steht in einer Reihe ähnlicher Ansätze. Auch Google setzt inzwischen KI-Agenten vor jeden Code-Check-in, um Lücken zu finden, bevor sie ausgeliefert werden. Dass dieselben Fähigkeiten auch Angreifern helfen, zeigte zuletzt OpenAIs Einstufung von GPT-6 Astra als erstes Modell mit kritischer Cyberfähigkeit.

Fazit: Tempo als Verteidigung

Der OSS Scanner beruht auf einer nüchternen Rechnung. Wenn Modelle Lücken schneller finden als Menschen sie prüfen können, und wenn sich Exploits laut Anthropic inzwischen in Minuten entwickeln lassen, ist ein ungeprüfter, aber meist zutreffender Bericht mit Patch wertvoller als ein geprüfter, der Monate später kommt. Die Zahlen aus der Pilotphase sprechen dafür, dass die Rechnung aufgeht, zumindest bei gut organisierten Projekten. Ob das auch für die vielen kleinen Bibliotheken gilt, an denen das Internet ebenso hängt, wird sich erst zeigen, wenn der Dienst sie erreicht. Für Nutzer ist die Folge indirekt, aber handfest: Wer Software aktuell hält, profitiert von jeder Lücke, die ein Projekt jetzt früher schließt.