Anthropic hat OSS Scanner gestartet, einen kostenlosen Dienst mit Opt-in, der Open-Source-Code regelmäßig mit seinen leistungsstärksten Modellen untersucht, darunter Claude Mythos. Die Befunde gehen direkt an die Maintainer, ohne vorherige menschliche Prüfung. Das beschleunigt die Zustellung, überlässt den Projektteams aber die Verantwortung dafür, Berichte und vorgeschlagene Korrekturen zu prüfen.
Das am 8. Oktober 2026 gestartete Programm richtet sich an etablierte Projekte mit kritischer Bedeutung für Infrastruktur und Sicherheit der Nutzer. Laut MarkTechPost waren bis zum 19. Oktober 114 Projekte aus rund 650 Bewerbungen angenommen worden. Zu diesem Zeitpunkt meldete Anthropic 77 kritische und 803 hoch eingestufte Befunde, die vom Modell bewertet worden waren. Diese Einstufungen sind Modellbewertungen und kein Beleg dafür, dass Angreifer die Probleme ausgenutzt haben.
Schnellere Meldungen erfordern einen Kompromiss bei der Triage
In seiner Ankündigung zum Start erklärte Anthropic, seine Modelle hätten innerhalb von sechs Monaten mehr als 29.000 mögliche Schwachstellen identifiziert, menschliche Prüfer hätten jedoch rund 6.000 triagiert. Maintainer, die alle verfügbaren Befunde angefordert hatten, hatten bereits fast 5.000 Berichte ohne vorherige Validierung erhalten.
OSS Scanner formalisiert diese Option. Für von Menschen verifizierte Befunde setzt Anthropic sein bestehendes Verfahren zur koordinierten Offenlegung von Schwachstellen fort, insbesondere für Projekte, denen die Ressourcen für die Triage roher Berichte fehlen. Der automatisierte Dienst richtet sich an Teams, die bereits mit verifizierten Berichten zu hohen und kritischen Schwachstellen Schritt halten können.
Anthropic testete eine frühe Scanner-Version, indem erfahrene Penetrationstester 97 kritische und hohe Befunde aus 48 Projekten prüften. Davon erfüllten 85 (88 %) den Standard für koordinierte Offenlegung. Weitere elf beschrieben echte Probleme, waren aber Duplikate bekannter Probleme oder anderer Scan-Befunde. Einer war ungültig. Einige Maintainer berichteten dennoch von überhöhten Schweregradeinstufungen oder von Missverständnissen hinsichtlich der Bedrohungsmodelle ihrer Projekte.
Rückmeldungen der Maintainer deuten ebenfalls auf nützliche Ergebnisse hin. Todd Ouska von wolfSSL sagte, bis auf zwei von 74 Berichten seien alle gültig gewesen, und fünf davon seien zu CVEs geworden. Anthropic erklärte, seine erste Testphase über Dutzende Projekte habe Hunderte Berichte erzeugt, darunter Schwachstellen, die es zu Exploits für unauthentifizierte Remote Code Execution verketten konnte. Dabei handelte es sich um während der Tests nachgewiesene Fähigkeiten, nicht um Berichte über Angriffe in freier Wildbahn.
Wie Projekte sich anmelden und Befunde erhalten
Laut der Dienstdokumentation melden sich Core-Maintainer an, indem sie einen Pull Request an anthropics/oss-scanner stellen, der projects/<project>/project.yaml hinzufügt. Die Konfiguration enthält das Repository und den primären Ansprechpartner sowie einen repository-relativen Pfad zum Dockerfile. Alternativ können Maintainer eine Datei namens Dockerfile neben die Konfiguration legen und dieses Feld weglassen.
Anthropic prüft die Eignung von Fall zu Fall und berücksichtigt unter anderem Exposition gegenüber Remote-Angriffen, Abhängigkeiten, Nutzung und Sicherheitsbedeutung. Neue Projekte und Forks, die sich nicht deutlich unterscheiden, qualifizieren sich in der Regel nicht.
Das Dockerfile wird mit Netzwerkzugriff gebaut und bereitet die Abhängigkeiten vor. Die Scan-Agenten arbeiten anschließend in gehärteten Sandboxes, in denen der Internetzugang deaktiviert ist. Die Pipeline setzt Agenten ein, um Fehler gegenzuprüfen, Ursachen zu analysieren und Patches vorzuschlagen. Die Befunde erhalten jedoch vor der Zustellung keine menschliche Triage.
Berichte kommen per E-Mail mit einem eigenständigen Reproducer und einer Erklärung an. Wenn möglich, identifizieren sie außerdem über Bisection den einführenden Commit und enthalten einen Patch-Kandidaten. Folgescans suchen nach neu eingeführten Schwachstellen und nach Problemen, die frühere Scans übersehen haben. Ihre Häufigkeit variiert je nach Auslastung und anderen Faktoren.
Mit einer optionalen Bedrohungsmodell-Datei können Maintainer feindliche Eingaben, Ausschlüsse, Kriterien für den Schweregrad und Meldepräferenzen festlegen. Ohne sie trifft der Scanner bei mehrdeutigen Fällen eigene Entscheidungen.
Menschliche Prüfungen bestimmen weiterhin die Anmeldung und die Empfänger: Anthropic überprüft die Identität der Maintainer, die Sicherheitskontakte und den vorgesehenen Repository-Umfang. Eine optionale GPG-Verschlüsselung ist verfügbar. Verschlüsselte Berichte gehen jedoch nur an den primären Ansprechpartner und können keine zusätzlichen CC-Empfänger enthalten.
Nicht validierte Befunde unterliegen keiner 90-tägigen Offenlegungsfrist. Validiert Anthropic einen Bericht später über sein von Menschen geprüftes Verfahren, kann eine 90-tägige Frist beginnen, sobald der Maintainer über diese Validierung informiert wird. Projekte können automatisierte Berichte mit disabled: true pausieren oder sich zurückziehen, indem sie ihr Projektverzeichnis per Pull Request entfernen.
Ein curl-Fix veranschaulicht die Befunde – und ihre Voraussetzungen
Eine Schwachstelle, die in der Berichterstattung über den Dienst hervorgehoben wurde, ist CVE-2026-92392. Es handelt sich um eine Use-after-Free-Schwachstelle beim HTTP/2-Upload mit hohem Schweregrad, die sowohl libcurl als auch das curl-Kommandozeilenwerkzeug betrifft. Laut dem curl-Advisory tritt der Fehler auf, wenn ein Upload ein HTTP/2-RST_STREAM des Servers mit dem Grund HTTP_1_1_REQUIRED oder REFUSED_STREAM falsch behandelt und dabei ein struct Curl_easy-Objekt freigibt, das weiterhin verwendet wird.
Der Herausgeber führt curl 8.12.0 bis 8.22.0 als betroffen auf, mit Ausnahmen in den Wartungszweigen: Versionen 8.20.2 und neuer im Zweig 8.20.X, 8.16.2 und neuer im Zweig 8.16.X sowie 8.14.3 und neuer im Zweig 8.14.X sind nicht betroffen. Versionen vor 8.12.0 und Versionen ab 8.23.0 sind ebenfalls nicht betroffen.
curl erklärt, dass Remote Code Execution unter bestimmten Bedingungen nachgewiesen wurde. Der bösartige Server muss das genaue Objekt- und Strukturlayout der jeweiligen curl-Version, die Architektur, einen kompatiblen libc-Allocator und das Heap-Layout, das Verhalten von nghttp2 und OpenSSL/TLS 1.3, ein festgelegtes CA-Bundle sowie eine von der Eingabe abhängige Allokationsgeometrie berücksichtigen. Der Exploit hängt außerdem von zwei parallelen Übertragungen sowie deren Ablaufplanung und Timing, kalibrierten libc-Leaks und Symbol-Offsets sowie einer aktuellen Beschränkung für kurze Befehle von etwa 23 Byte ab.
Das Problem wurde am 15. September 2026 an curl gemeldet. Version 8.23.0 und das Advisory wurden am 14. Oktober veröffentlicht. curl empfiehlt, auf 8.23.0 zu aktualisieren, den Patch lokal anzuwenden oder HTTP/2 zu vermeiden.
