Anthropic OSS Scanner: KI-Schwachstellenscan für Open Source

Der Anthropic OSS Scanner liefert Open-Source-Projekten kostenlose KI-Schwachstellenscans – ungeprüft und ohne Disclosure-Frist. Was das für deinen Stack bedeutet.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Der Anthropic OSS Scanner ist seit dem 8. Oktober 2026 für Open-Source-Projekte verfügbar. Der Dienst scannt angemeldete Repositories kostenlos mit Anthropics stärksten Sprachmodellen nach Schwachstellen – und schickt die Ergebnisse ohne menschliche Prüfung direkt an die Maintainer. Das ist bewusst so gebaut. Und genau daran hängt die interessante Frage.

Was der Anthropic OSS Scanner macht

Die Anmeldung läuft über einen Pull Request im Repository anthropics/oss-scanner, der eine Konfigurationsdatei projects/<name>/project.yaml hinzufügt. Zwingend sind dort die Repo-URL und eine Kontaktadresse; dazu kommt ein Dockerfile, das das Projekt samt Abhängigkeiten baut. Zwei Helfer im Repo erlauben den Vorab-Test auf dem eigenen Rechner: tools/validate.py prüft die Konfiguration, tools/check baut das Projekt so, wie der Scanner es tun wird.

Der Scanner baut das Projekt anschließend in einer isolierten VM, und dieser Build-Schritt ist der einzige mit Netzzugang. Danach wandert die VM in ein Netz ohne Internet, und erst dort läuft der Audit. Was ein Befund enthält, ist festgelegt: einen lauffähigen Reproducer, eine Erklärung der Lücke, wo möglich eine Bisection auf den einführenden Commit, und einen Patch-Vorschlag, sofern das Modell einen liefern kann. Der Versand geht per E-Mail, auf Wunsch PGP-verschlüsselt.

Optional, aber von Anthropic ausdrücklich empfohlen: eine threat_model.md, in der das Projekt sein eigenes Bedrohungsmodell und seine Schwere-Einstufung dokumentiert. Ohne diese Datei rät das Modell. Für die Aufnahme gilt das Kriterium, das Anthropic von Googles OSS-Fuzz übernimmt – Projekte mit, wie es dort heißt, „kritischer Auswirkung auf Infrastruktur und Nutzersicherheit“. Entschieden wird im Einzelfall, und die Maintainer-Rolle wird vorher manuell geprüft.

Newsletter

Klartext zu KI, Security, Crypto

Einordnung statt Hype: was hinter den Tech-News steckt und was davon für dich zählt. Startbonus: die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Der Engpass war nie das Finden

Die Zahlen aus dem Launch-Post erklären, warum es diesen Dienst überhaupt gibt. Anthropic hat in den letzten sechs Monaten über 29.000 Schwachstellen-Kandidaten gefunden, aber nur rund 6.000 davon manuell prüfen und triagieren können. Der Flaschenhals ist also nicht die Erkennung, sondern die menschliche Validierung. Knapp 5.000 Berichte gingen laut Anthropic schon vorher auf ausdrücklichen Wunsch von Maintainern unvalidiert raus – der OSS Scanner macht aus diesem Workaround ein Angebot.

Der Preis dafür ist Verzicht auf Druck: Für unvalidierte Befunde gilt keine 90-Tage-Frist, und veröffentlicht werden sie nicht, solange sie unvalidiert bleiben. Prüft Anthropic einen Befund später doch von Hand nach, greift ab dieser Benachrichtigung die übliche 90-Tage-Frist. Für hochkritische Funde behält sich Anthropic vor, später eine Frist einzuführen – mit Vorlauf und Opt-out. Wer ungeprüfte Berichte verschickt, kann niemanden zu einem Zeitplan verpflichten.

Wie belastbar sind die Befunde?

Anthropic nennt eine eigene Stichprobe: Penetrationstester prüften 97 kritische und hohe Befunde aus 48 Projekten. 85 davon (88 Prozent) erfüllten die Kriterien des regulären Disclosure-Prozesses, elf waren real, aber Dubletten, genau einer war ein echter False Positive. Daniel Stenberg von curl bestätigt im Launch-Post, dass der Scanner mehrere behebungswürdige Probleme in curl gefunden hat – darunter nach seiner Einschätzung eine der schlimmsten curl-Lücken der letzten Jahre. Gleichzeitig räumt Anthropic ein, dass Maintainer über zu hohe Schwere-Einstufungen und falsch verstandene Bedrohungsmodelle berichten. Beides passt zusammen: hohe Trefferquote beim „ist ein Bug“, schwächere Treffsicherheit beim „wie schlimm ist er“.

Anthropic OSS Scanner: Was das für dich bedeutet

Für die meisten Leser hier ist die Maintainer-Perspektive nicht die eigene. Die interessante Seite ist die zweite: Du bist Konsument dieser Projekte. OpenSSL, PostgreSQL, curl, wolfSSL – das steht in deinem Stack, ob du es gelistet hast oder nicht.

Was sich damit verschiebt, ist die Patch-Frequenz. Wenn Upstream-Projekte plötzlich periodisch von einem Modell auditiert werden, kommen mehr Sicherheitsreleases, und zwar unregelmäßiger als bisher. Nach 25 Jahren IT kenne ich kaum einen Betrieb, dessen Schwachpunkt das Erkennen war – der Schwachpunkt war immer das Einspielen. Ein Prozess, der auf einen Patchday pro Monat ausgelegt ist, gerät hier unter Druck. Und die Asymmetrie ist nicht einseitig: Dieselbe Modellklasse, die Lücken für Verteidiger findet, findet sie auch für Angreifer. Auf genau diese Dynamik haben wir beim Zammad-Fall schon geschaut. Anthropic selbst schreibt, Exploits ließen sich inzwischen in Minuten entwickeln – meine Einschätzung daraus: das Zeitfenster zwischen Patch und Exploit wird kürzer, nicht länger.

Kein Grund zur Panik – aber ein guter Anlass, eine Zahl zu kennen, die viele nicht kennen.

Drei konkrete Schritte

Miss deine Time-to-Patch. Wie viele Tage liegen bei dir zwischen Upstream-Release und ausgerolltem Update, für deine fünf wichtigsten Abhängigkeiten? Wer die Zahl nicht nennen kann, hat kein Patch-Management, sondern eine Gewohnheit. Diese Messung ist in einer Stunde erledigt und sagt mehr als jedes Tool.
Automatisiere die Erkennung, nicht die Entscheidung. Dependabot, Renovate oder ein SBOM-Abgleich bringen dir die Meldung ins Haus. Das Einspielen bleibt deine Entscheidung – aber du sollst nicht aus Zeitungen erfahren, dass ein Release existiert.
Bist du Maintainer eines relevanten Projekts? Dann melde dich an, aber schreibe vorher die threat_model.md. Ohne sie bekommst du Berichte mit geratenen Schweregraden – genau die Kritik, die Maintainer laut Anthropic bereits geäußert haben. Dazu gibt es für Maintainer kostenlose Claude-Max-Zugänge über „Claude for OSS“.

Wer tiefer in das Thema KI im Sicherheitsalltag einsteigen will, findet in meinen Buchempfehlungen zu KI und Security die Grundlagen dazu.

Quellen

Werbung in eigener Sache

Ohne MCP-Server greift Claude Desktop nicht auf deine lokalen Ordner zu

Das MCP Starter Kit liefert fertige Server dafür: Vol. 1 mit 5 Servern und 18 Tools, Vol. 2 mit 4 Servern und 20 Tools für lokale Werkzeuge. Vol. 1 29 €, Vol. 2 39 €, beide zusammen 59 € (inkl. 20 % USt für Österreich). Englischsprachig, Kauf über Gumroad. Kein offizielles Anthropic-Produkt.

Server ansehen Beide Bände im Bundle für 59 €