Anthropic hat die Anthropic Cyber Mission gestartet, eine langfristige Initiative zur Absicherung kritischer Infrastruktur und von Open-Source-Software. Vertrauenswürdige Anbieter, die industrielle Systeme absichern, erhalten Claude-Modelle, technische Unterstützung und Bedrohungsforschung. Für Open-Source-Verantwortliche führt das Unternehmen zugleich OSS Scanner ein: einen Dienst zur regelmäßigen Suche nach Schwachstellen, der zu seinen Befunden Erklärungen und gegebenenfalls Korrekturvorschläge liefert.
OSS Scanner erklärt Schwachstellen und ihre mögliche Ausnutzung
Die Teilnahme an OSS Scanner ist freiwillig. Angemeldete Projekte erhalten regelmäßige Sicherheitsprüfungen, für die Anthropic seine leistungsfähigsten Modelle einsetzt. Als Vorbild diente Google OSS-Fuzz. Die Scans sind für teilnehmende Projekte kostenlos.
Die Berichte enthalten mehr als einen Hinweis auf eine mögliche Schwachstelle. Jeder Bericht erklärt das Problem und liefert einen Proof of Concept, der zeigt, wie sich der Fehler ausnutzen ließe. Wenn ein Korrekturvorschlag verfügbar ist, wird er beigefügt.
Der neue Dienst baut auf Erfahrungen aus Project Glasswing auf. Nach Angaben von Anthropic hat das Unternehmen dabei Hunderte weitverbreitete Open-Source-Projekte gescannt, viele potenzielle Schwachstellen von Menschen prüfen lassen und die Befunde vertraulich an die Projektverantwortlichen weitergegeben. Einige Verantwortliche, die größere Mengen an Meldungen bearbeiten konnten, baten anschließend auch um Befunde ohne menschliche Prüfung.
Ungeprüfte Berichte brauchen Teams, die sie bearbeiten können
Die Berichte von OSS Scanner werden vom Modell erstellt und ohne menschliche Prüfung verschickt. Laut Anthropic erreichen sie die Projektverantwortlichen dadurch schneller, können aber Ungenauigkeiten enthalten, etwa eine falsche Bewertung des Schweregrads. Das Unternehmen erwartet, dass über 90 % der gemeldeten Befunde tatsächliche Schwachstellen betreffen, und will diesen Anteil sowie die Qualität der Korrekturvorschläge schrittweise verbessern.
Der Dienst richtet sich an Projekte, deren Verantwortliche genügend Kapazität haben, um neu gefundene Probleme laufend zu bearbeiten. Andere Projekte erhalten weiterhin von Menschen geprüfte Meldungen nach Anthropics Richtlinie zur koordinierten Offenlegung von Schwachstellen.
Claude und Ingenieure für den Schutz industrieller Systeme
Der zweite Teil der Initiative ist das Critical Infrastructure Defense Program (CIDP). Es stellt vertrauenswürdigen Anbietern für die Absicherung industrieller Systeme fortgeschrittene Claude-Modelle, Ingenieure vor Ort und Bedrohungsforschung zur Verfügung. Das Programm beginnt mit einer kleinen Gruppe von Anbietern. Laut Anthropic soll die Zusammenarbeit zeigen, welche Ansätze wirksam und in der Praxis umsetzbar sind.
Anthropic verweist auf die besonderen Anforderungen der Betriebstechnologie in Stromnetzen, Wasserwerken, Fabriken und im Verkehr. Diese Systeme lassen sich häufig nicht abschalten, um Sicherheitskorrekturen einzuspielen, und Änderungen sind riskant. Bekannte Schwachstellen können deshalb laut dem Unternehmen jahrelang ungelöst bleiben.
Zu den Gründungspartnern gehören Accenture, Booz Allen, CrowdStrike und Deloitte. Beteiligt sind außerdem Dragos, Hitachi, Insane Cyber und Nozomi Networks. Hinzu kommen Palo Alto Networks, PwC und Rockwell Automation.
Laut Anthropic nutzen bereits mehrere Partner Claude, um Schwachstellen zu beheben, und unterstützen auch ihre Kunden dabei. In den kommenden Monaten will das Unternehmen CIDP auf weitere Partner und Branchen ausweiten und Erfahrungen teilen, einschließlich der Ansätze, die sich nicht bewährt haben.
Als nächster Schritt sind automatisierte Korrekturen geplant
Im Open-Source-Bereich plant Anthropic, OSS Scanner auf weitere Projekte auszuweiten. Für interessierte Projekte will das Unternehmen auch die Einordnung der Befunde und die Erstellung von Korrekturen automatisieren. Über die Behebung einzelner Fehler hinaus sollen sicherere Softwarearchitekturen und Verfahren erforscht werden, mit denen sich Code härten oder neu schreiben lässt.
So können sich Sicherheitsteams beteiligen
Anbieter von Sicherheitsprodukten und -dienstleistungen für kritische Infrastruktur können bereits jetzt ihr Interesse am CIDP anmelden. Einen weiteren Zugang zu den Modellen bietet das erweiterte Cyber Verification Program, in das Anthropic Anfang der Woche Project Glasswing integriert hat.
Sicherheitsteams jeder Größe können im Cyber Verification Program Zugang zu den Modellen beantragen. Das gilt auch für Betreiber kritischer Infrastruktur und Verantwortliche von Open-Source-Projekten.
