Die meisten Nachrichten über KI und Sicherheit drehen sich um das Finden von Fehlern. Anthropics Frontier Red Team hat Forschung zu einer anderen Abwehr veröffentlicht: Claude sucht Code, den Angreifer erreichen können, ohne dass es jemand bräuchte, und dieser Code wird hinter eine Schranke gelegt. Der Reiz: Ein behobener Fehler sagt nichts über die verbleibenden, während eine kleinere Angriffsfläche das Risiko aller unbekannten Fehler auf einmal senkt, auch solcher, die vielleicht schon still ausgenutzt werden.
Das Team ließ Claude über 25 Open-Source-Projekte in C, C++, Java, PHP und Python laufen, insgesamt mehr als fünf Millionen Zeilen, auf der Suche nach drei Mustern: Code, der in der Standardkonfiguration erreichbar ist, aber von keiner Standardfunktion genutzt wird; Paare von Einstellungen, die einzeln harmlos, zusammen aber gefährlich sind; und komplexer sicherheitskritischer Code, der vor der Authentifizierung oder vor einer Nutzeraktion läuft. Claude erstellte ein Verzeichnis von mehr als 17.000 Konfigurationsoptionen, davon 3.842 sicherheitsrelevant, und fand 493 Probleme. Alle elf Projekte, die nur angemeldete Nutzer bedienen sollen, hatten vor dem Login erreichbaren Code. Am auffälligsten waren 162 riskante Einstellungskombinationen, die ohne Fehler, Warnung oder Dokumentation akzeptiert wurden; in 94 davon wurde eine Sicherheitskontrolle still abgeschaltet. Ein Beispiel: Die Pflicht zu Client-Zertifikaten, kombiniert mit einer Option, die die Prüfung nur verzögern sollte, schaltete sie tatsächlich ab, sodass ein Server, der nur vertrauenswürdige Clients annehmen sollte, jeden annahm.
Der Vorzeigefall ist OpenSSH, einer der am gründlichsten geprüften C-Codes der Welt. In Version 10.4 fand Claude rund 4.500 Zeilen neuen experimentellen Codes für ML-DSA-44, ein Post-Quanten-Signaturverfahren, die ein nicht angemeldeter Client in der Standardeinstellung erreichen konnte, obwohl der Algorithmus nicht aktiviert war. Danach entdeckte es zwei Lücken in der teilweisen Korrektur in 10.5. Die Maintainer lieferten die vollständigen Änderungen in 10.6 aus und entfernten etwa ein Fünftel des vor der Authentifizierung erreichbaren Codes.
Für Sicherheitsteams ist das ein dauerhafterer Einsatz von KI als eine weitere Runde Fehlersuche, und er passt zur Arbeit an der Angriffsfläche, um die Werkzeuge wie Claude Security gebaut sind. Anthropic hat die Methode als dreistufigen Claude-Skill verpackt, den es in seinen Open-Source-Scanner einbaut.
Die Grenzen werden klar benannt. Keines der 493 Probleme war für sich allein ausnutzbar; sie vergrößern die Angriffsfläche, öffnen aber keine Tür. Wer standardmäßig erreichbaren Code hinter Schranken legt, kann jemandes Arbeitsablauf stören, daher braucht jede Änderung das Urteil eines Maintainers, wie es die OpenSSH-Korrekturen bekamen. Und es sind Anthropics eigene Ergebnisse an selbst gewählten Projekten.