Wichtige Informationen
Anthropic hat den OSS Scanner eingeführt, einen Dienst, der sein Claude Mythos-Modell nutzt, um Open-Source-Software auf Sicherheitslücken zu untersuchen. Innerhalb der ersten 11 Tage identifizierte die KI 77 als kritisch und 803 als hoch eingestufte Schwachstellen. Der Dienst analysiert Projekte, die von Betreuern in einer isolierten Sandbox-Umgebung eingereicht werden, und stellt kostenlos Reproduktionscode sowie potenzielle Patches bereit.
Das Tool arbeitet ohne menschliche Überprüfung, was schnelle und häufige Scans ermöglicht. Anthropic räumt ein, dass dieser Ansatz zu falsch-positiven Ergebnissen oder Fehlinterpretationen der Bedrohungsmodelle von Projekten führen kann. Während erste Tests zeigten, dass 88 % der Berichte den Offenlegungsstandards entsprachen, berichteten einige Betreuer, dass die KI dazu neigt, Schweregrade zu hoch einzustufen.
Eine bemerkenswerte Entdeckung ist CVE-2026-92392 in der curl-Bibliothek, eine Use-after-Free-Schwachstelle, die vom Scanner identifiziert wurde. Daniel Stenberg, der die curl-Entwicklung leitet, bezeichnete sie als eines der schwerwiegendsten Probleme, mit denen das Projekt in den letzten Jahren konfrontiert war. Obwohl eine Remote-Code-Ausführung theoretisch möglich ist, stellten die curl-Entwickler fest, dass die Bedingungen streng sind und ein Absturz das wahrscheinlichste Ergebnis ist.
Der OSS Scanner ist derzeit für ausgewählte Projekte verfügbar; von etwa 650 Bewerbungen wurden 114 angenommen. Im Gegensatz zur traditionellen koordinierten Offenlegung werden diese Berichte nicht öffentlich gemacht und es gilt keine standardmäßige 90-Tage-Frist. Anthropic beabsichtigt, dass dieser Dienst Betreuern dabei hilft, Sicherheitslücken schneller zu beheben, als Angreifer sie ausnutzen können.
