Das KI-Unternehmen Anthropic hat am 8. Oktober 2026 den sogenannten OSS Scanner vorgestellt. Dabei handelt es sich um einen kostenlosen Opt-in-Sicherheitsdienst für kritische Open-Source-Software, der von den leistungsfähigsten Modellen des Unternehmens einschließlich Claude Mythos betrieben wird. Der Dienst wurde im Rahmen der Initiative Cyber Mission präsentiert und orientiert sich am Vorbild von Googles OSS-Fuzz.
Automatisierte Code-Audits in isolierten Umgebungen
Open-Source-Maintainer können ihre Projekte über einen Pull Request im quelloffenen Repository des Programms anmelden, wobei die Aufnahmekriterien denen von OSS-Fuzz entsprechen. Die Sicherheitsprüfungen selbst führt Anthropic offline innerhalb einer isolierten virtuellen Maschine durch. Als technische Voraussetzung müssen die jeweiligen Entwicklerteams dafür lediglich ein Dockerfile bereitstellen.
Die erstellten Fehlerberichte werden standardmäßig ohne vorherige manuelle Sichtung an die Projektverantwortlichen übermittelt. Anthropic weist darauf hin, dass die Maintainer die Gültigkeit und den tatsächlichen Schweregrad der Meldungen eigenständig überprüfen müssen. Für unvalidierte Befunde setzt das Unternehmen daher keine festen Meldefristen an. Erst nach einer menschlichen Bestätigung greift gegebenenfalls eine Frist von 90 Tagen.
Hohe Resonanz und erste Sicherheitsaktualisierungen
Das Interesse an dem neuen Werkzeug fiel bereits kurz nach der Bereitstellung hoch aus. Bis zum 19. Oktober 2026 wurden 114 Projekte aus rund 650 eingegangenen Bewerbungen in das Programm aufgenommen. Genau elf Tage nach dem offiziellen Start erfasste das System bereits 77 kritische und 803 hohe Schweregrad-Einstufungen, die von den Modellen selbst bewertet wurden.
Während KI-Systeme zunehmend zur Identifizierung von Sicherheitslücken eingesetzt werden, stellen neue Regulierungen wie der EU AI Act Unternehmen vor komplexe Herausforderungen. Dieser kostenlose Download verschafft Ihnen den Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen
Eine Stichprobe durch externe Penetrationstester untermauerte die Verlässlichkeit der KI-gestützten Analyse. Von 97 untersuchten kritischen und hohen Befunden aus 48 Projekten erfüllten 85 Meldungen, was einem Anteil von 88 Prozent entspricht, den Standard für koordinierte Schwachstellenoffenlegung (CVD). Elf Berichte erwiesen sich als echte Duplikate bereits bekannter Probleme, während lediglich ein einziger Fund als ungültig eingestuft wurde.
Auch in der Praxis führte der Einsatz rasch zu konkreten Schutzmaßnahmen. Beim TLS-Bibliotheksanbieter wolfSSL erwiesen sich 72 von 74 Berichten als valide, woraus fünf offizielle CVE-Einträge hervorgingen.
Der Einsatz von künstlicher Intelligenz in der Softwareentwicklung schafft neue Möglichkeiten, bringt aber auch rechtliche Fragen und Cyberrisiken mit sich. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um ihre Firma langfristig zu schützen. Gratis-Report zu KI-Gesetzen und Cyberrisiken anfordern
Das Datenübertragungswerkzeug curl behob mit der am 14. Oktober 2026 veröffentlichten Version 8.23.0 die Schwachstelle CVE-2026-92392. Dieser als hoch eingestufte Use-after-Free-Fehler bei HTTP/2-Uploads betraf die Versionen 8.12.0 bis 8.22.0. Zudem äußerten sich die Verantwortlichen der Projekte PostgreSQL, OpenSSL und HotCRP anerkennend über die Qualität der übermittelten Berichte.
Umfangreiche Vorarbeiten im Open-Source-Bereich
Der Start des OSS Scanners baut auf umfangreichen Vortests auf. Über einen Zeitraum von sechs Monaten markierte Anthropic mehr als 29.000 potenzielle Schwachstellen.
Davon wurden rund 6.000 Fälle durch menschliche Experten vorsortiert und fast 5.000 unvalidierte Berichte auf ausdrücklichen Wunsch direkt an die Projektbetreuer weitergeleitet. Zudem steuerte Anthropics interner Scan von quelloffener Software im Zeitraum zwischen April und Oktober weitere 5.500 Befunde bei.