Anthropic hat am 8. Oktober 2026 den kostenlosen Dienst OSS Scanner vorgestellt. Projekt-Maintainer können sich anmelden und erhalten KI-generierte Sicherheitsberichte mit Reproduktionscode, Erläuterungen und Patch-Vorschlägen. Die Berichte werden ohne vorherige Prüfung durch Menschen direkt verschickt. Ob sie die Korrekturen überprüfen und übernehmen, entscheiden die Maintainer selbst.
So funktioniert der Dienst
Die Scans werden mit Anthropics leistungsstärksten Modellen durchgeführt, darunter Claude Mythos. Nachdem ein Maintainer einen GitHub-Pull-Request mit einer Dockerfile eingereicht hat, mit der sich das Projekt erstellen lässt, läuft der Scanner offline und verschickt die Ergebnisse per E-Mail. Jeder Bericht versucht mithilfe einer Bisektion die Änderung zu ermitteln, durch die der Fehler eingeführt wurde, und schlägt einen möglichen Patch vor. Maintainer können eine Datei mit dem Bedrohungsmodell hinzufügen, um die Einstufung des Schweregrads und das Berichtsformat vorzugeben.
Erste Ergebnisse und Reaktionen aus der Community
In den ersten sechs Monaten meldeten die Modelle mehr als 29.000 mögliche Schwachstellen, von denen etwa 6.000 manuell überprüft wurden. Frühe Nutzer haben bereits Dutzende ungeprüfte Berichte erhalten. So sagte PostgreSQL-Maintainer Noah Misch, die besonders schnell übermittelten Berichte hätten Korrekturen enthalten, die „nahezu unverändert“ verwendet werden könnten. Todd Ouska von wolfSSL berichtete von 74 Meldungen: Bis auf zwei hätten sich alle als gültig erwiesen, fünf seien zu CVEs geworden. Daniel Stenberg von curl schrieb dem Scanner die Entdeckung eines Use-after-free-Fehlers zu, der in curl 8.23.0 behoben wurde (CVE-2026-92392).
Warum es wichtig ist
Open-Source-Projekte, auf denen ein Großteil des Internets basiert, erhalten damit eine kostenlose, automatisierte Möglichkeit, Sicherheitslücken frühzeitig zu erkennen und die Zeit zu verkürzen, in der sie verwundbar sind. Für Entwickler bedeutet das weniger manuelle Codeprüfungen und schnellere Patches. Die KI-generierten Korrekturen müssen sie vor dem Einsatz aber weiterhin überprüfen.
