Anthropic startet OSS Scanner: kostenlose KI-Sicherheitsprüfung für Open Source

Worum es geht

Anthropic hat am 8. Oktober 2026 den OSS Scanner vorgestellt, einen freiwilligen und kostenlosen Dienst, der wichtige Open-Source-Projekte regelmäßig mit den stärksten Claude-Modellen auf Sicherheitslücken untersucht, darunter Claude Mythos. Entwickelt wurde er vom Frontier Red Team und der Safeguards-Research-Abteilung. Die Idee knüpft an Erfahrungen aus dem „Project Glasswing“ an, in dem Anthropic Claude zur Lückensuche einsetzte. Das Konzept ähnelt Googles OSS-Fuzz, nur dass statt Fuzzern (Programme, die Software mit zufälligen Eingaben zum Absturz bringen wollen) Sprachmodelle den Code prüfen.

Der Kern des Angebots: Die Berichte werden vollständig vom Modell erzeugt und ohne menschliche Sichtung oder Triage zugestellt. Das macht häufigere und schnellere Scans möglich, überlässt aber den Maintainern die Frage, ob ein Fund echt und wichtig ist.

Warum Anthropic das macht

Anthropic hatte über sechs Monate mehr als 29.000 Kandidaten für Schwachstellen gefunden. Menschliche Prüfer, darunter externe Sicherheitsfirmen, bearbeiteten rund 6.000 davon. Fast 5.000 weitere Berichte gingen direkt an Maintainer, die ausdrücklich alles haben wollten, ob validiert oder nicht. Der OSS Scanner macht aus dieser Sonderregelung ein offizielles Programm. Das Nadelöhr ist die menschliche Prüfung.

Das Dashboard (Stand 2. Oktober) nennt 29.439 Kandidaten, 6.123 extern geprüft, davon 5.674 als gültig eingestuft, 6.157 gemeldete Berichte in 591 Projekten, 584 Advisories und 516 bekannte Fixes. Ein Kandidat ist noch keine bestätigte Lücke, und ein Fix im Quellcode heißt nicht, dass Nutzer ihn schon eingespielt haben.

So funktioniert die Teilnahme

Kern-Maintainer melden sich per Pull Request im GitHub-Repository anthropics/oss-scanner an und legen eine Datei projects/<projekt>/project.yaml an.

• Pflichtfelder: Repository-Link, primärer Kontakt (E-Mail) und Pfad zu einem Dockerfile.
• Optional: threat_model (Datei threat_model.md), PGP-/GPG-Schlüssel für verschlüsselte Berichte, auto_ccs, Homepage und disabled: true, um keine Berichte mehr zu bekommen.

Das Dockerfile baut das Projekt mit Netzzugang und installiert alle Abhängigkeiten. Anschließend läuft der Audit in einer isolierten virtuellen Maschine ohne Internet. Anthropic empfiehlt, im gebauten Container die Tests laufen zu lassen. Die Berichte kommen per E-Mail; bei PGP-Verschlüsselung geht der Bericht nur an den Hauptkontakt. Kontaktadressen in der Konfiguration sind öffentlich, daher rät die Dokumentation zu einer eigenen Security-Adresse.

Die Agenten prüfen Fehler doppelt, analysieren die Ursache und schlagen Patches vor. Jeder Bericht enthält einen eigenständigen Reproduzierer (Code, der den Fehler nachstellt), eine Erklärung, wenn möglich eine Bisektion (Suche nach dem Commit, der den Fehler eingeführt hat) und, wenn vorhanden, einen Patch-Vorschlag. Das Threat Model beschreibt feindliche Eingaben, ausgeschlossenen Code und Schweregrad-Regeln; ohne es muss der Scanner raten. Aufgenommen werden etablierte Projekte mit großer Bedeutung, wobei Exponierung für Remote-Angriffe und die Zahl der Nutzer eine Rolle spielen. Anthropic orientiert sich an OSS-Fuzz-ähnlichen Kriterien.

Trefferquote und Praxisberichte

Penetrationstester prüften 97 kritische und hohe Funde aus 48 Projekten einer frühen Version:

Bei wolfSSL waren 72 von 74 Berichten gültig, 5 wurden zu CVEs. curl behob CVE-2026-92392, einen Use-after-free-Fehler im HTTP/2-Upload mit hohem Schweregrad (betrifft 8.12.0 bis 8.22.0, behoben in 8.23.0 vom 14. Oktober 2026). Positive Stimmen kamen laut Anthropic auch aus PostgreSQL, OpenSSL und HotCRP. Maintainer beklagen aber teils übertriebene Schweregrade und Missverständnisse beim Threat Model. Die Stichprobe ist ausgewählt und stammt von einer frühen Version, ist also keine Garantie. Anthropic verweist auf den Benchmark CyberGym, bei dem Modelle von unter 20 % auf über 85 % gefundener Lücken kamen.

Offenlegung ohne 90-Tage-Frist

Üblich ist, Lücken nach 90 Tagen zu veröffentlichen. Für unvalidierte Scanner-Berichte gilt das nicht, weil sie Fehlalarme enthalten können. Wird ein Fund später durch das reguläre CVD-Programm von Menschen bestätigt, kann er 90 Tage nach dieser Benachrichtigung offengelegt werden. Für einige schwere Funde könnte künftig eine Frist gelten, mit Ankündigung und Opt-out.

Vergleich mit anderen Programmen

Cyber Mission

Der Scanner gehört zur Anthropic Cyber Mission, ebenfalls am 8. Oktober angekündigt. Dazu zählt das Critical Infrastructure Defense Program für Betreiber von Strom-, Wasser- und Verkehrsnetzen mit Modellen, Vor-Ort-Hilfe und Bedrohungsforschung. Anthropic erwartet, dass KI in zwei Jahren die Verteidigung begünstigt.

Einordnung

Der Dienst kann kleinen Teams Expertenanalyse bieten, die sie sich nicht leisten könnten. Eine Quote von 88 % ist stark, doch jemand muss Postfach, Reproduktion und Bewertung verantworten. Die Vorgeschichte mahnt zur Vorsicht: Curl-Gründer Daniel Stenberg berichtete 2025, etwa 20 % der Einsendungen seien KI-Müll gewesen und nur rund 5 % echte Lücken. Entscheidend ist, wie viel bestätigte Arbeit pro Prüfstunde herauskommt. Ein sauberer Scan beweist keine Sicherheit. Alle Zahlen stammen von Anthropic oder Projekten aus dessen Ankündigung; unabhängige Langzeitdaten fehlen.