Anthropic startet kostenlosen KI-Scanner für Open Source

Anthropic hat den Dienst OSS Scanner vorgestellt. Maintainer von Open-Source-Projekten können ihre Projekte dafür anmelden und erhalten dann regelmäßig Berichte über mögliche Sicherheitslücken. Der Dienst baut auf den Erfahrungen auf, die Anthropic bei der Schwachstellensuche mit Claude im Rahmen von Project Glasswing gesammelt hat.

„Projekte, die teilnehmen, erhalten ohne Kosten regelmäßige, gründliche Sicherheitsscans durch unsere stärksten Modelle.”
Anthropic

Dazu gehört laut The Hacker News auch Claude Mythos.

Berichte ohne menschliche Prüfung

Die Berichte werden vollständig von den Modellen erstellt und vor dem Versand nicht von Menschen geprüft oder eingeordnet. Das soll häufigere und schnellere Scans ermöglichen. Anthropic weist darauf hin, dass die Berichte falsch-positive Befunde enthalten können. Anders als bei vielen Meldeprogrammen gilt deshalb keine Frist von 90 Tagen bis zur Veröffentlichung. Bestätigt ein Mensch einen Befund später im regulären Verfahren zur koordinierten Offenlegung (CVD), kann Anthropic ihn ab 90 Tagen nach dieser Bestätigung veröffentlichen. Künftig könnten für einige schwerwiegende Befunde Fristen eingeführt werden.

Anmeldung per Pull Request

Für die Auswahl der Projekte will Anthropic ähnliche Kriterien anwenden wie Googles Projekt OSS-Fuzz. Maintainer melden ihr Projekt per Pull Request im GitHub-Repository von OSS Scanner an. Dazu gehört eine YAML-Konfigurationsdatei mit dem Link zum Git-Repository, einer Kontaktadresse und dem Pfad zu einem Dockerfile, das die Umgebung einrichtet und das Projekt baut. Der Agent führt die Prüfung ohne Internetzugang durch. Optional lassen sich weitere Empfänger, ein GPG-Schlüssel zur Verschlüsselung der Berichte und eine Datei mit einem Bedrohungsmodell angeben, die festlegt, welcher Code geprüft und wie Schwachstellen eingestuft werden sollen. Bis zur Veröffentlichung des Berichts von The Hacker News waren 116 Pull Requests eingegangen.

29.000 mögliche Schwachstellen

Nach eigenen Angaben hat Anthropic bislang mehr als 29.000 mögliche Schwachstellen in wichtigen Softwareprojekten gefunden. Gut 6.000 davon wurden den Maintainern gemeldet, daraus gingen bis zum 2. Oktober 584 Sicherheitshinweise hervor. Parallel stellte Anthropic ein Critical Infrastructure Defense Program zum Schutz kritischer Infrastruktur und von Open-Source-Software vor.

Zuletzt hatten mehrere Projekte und Unternehmen über eine Flut minderwertiger KI-generierter Schwachstellenmeldungen geklagt. Google setzte deshalb Anfang Oktober die Annahme neuer Meldungen in seinem Prämienprogramm für Open-Source-Software aus.

(red)