Anthropic setzt Claude zur automatisierten Erkennung von Software-Schwachstellen ein

Anthropic weitet den Einsatzbereich seines KI-Modells Claude auf die automatisierte Erkennung von Software-Schwachstellen aus – und stellt damit klassische Sicherheitsforschung vor neue Konkurrenz. Die Ankündigung hat weitreichende Implikationen für Unternehmen, Regulatoren und die gesamte Cybersecurity-Branche.

Anthropic setzt Claude zur automatisierten Erkennung von Software-Schwachstellen ein

Anthropic hat angekündigt, dass sein aktuelles KI-Modell Claude in der Lage ist, Sicherheitslücken in Software eigenständig aufzuspüren. Das Unternehmen positioniert die Technologie als Werkzeug für offensive wie defensive Cybersecurity-Anwendungen – und betritt damit ein Feld, das bislang vor allem spezialisierten Sicherheitsforschern vorbehalten war.

Automatisierte Schwachstellenanalyse als neues Einsatzfeld

Claude soll komplexen Quellcode analysieren und dabei Schwachstellen identifizieren, die menschlichen Prüfern möglicherweise entgehen. Laut Anthropic ist das Modell in der Lage, sogenannte Vulnerabilities selbstständig zu erkennen, ohne dass zuvor bekannte Angriffsmuster als Referenz hinterlegt wurden.

Das Vorgehen geht über simples Pattern-Matching hinaus: Claude löst Sicherheitsprobleme in einem mehrstufigen, iterativen Prozess – ähnlich wie ein erfahrener Sicherheitsforscher.

Konkret soll Claude in der Lage sein, reale Sicherheitslücken in produktiv eingesetzter Software zu finden und in einem Fall sogar einen funktionsfähigen Exploit zu entwickeln. Anthropic betont, die Technologie werde mit Blick auf verantwortungsvolle Nutzung entwickelt und entsprechende Schutzmaßnahmen seien implementiert, um einen Missbrauch zu verhindern.

Dual-Use-Charakter wirft Fragen auf

Die Ankündigung verdeutlicht den grundsätzlichen Zielkonflikt beim Einsatz von Large Language Models im Sicherheitsbereich: Dieselben Fähigkeiten, die legitimen Sicherheitsteams nützen, können potenziell auch für Angriffe genutzt werden.

„Dieselben Werkzeuge, die Verteidiger stärken, senken auch die Einstiegshürde für Angreifer.”

Anthropic adressiert dieses Problem nach eigenen Angaben durch interne Richtlinien und technische Einschränkungen, die festlegen, in welchen Kontexten entsprechende Anfragen beantwortet werden. Das Unternehmen steht damit nicht allein: Auch Google DeepMind und OpenAI haben in den vergangenen Monaten Funktionen vorgestellt, die KI-gestützte Sicherheitsanalysen ermöglichen sollen. Der Markt für AI-basierte Cybersecurity-Tools wächst entsprechend – ebenso wie die regulatorische Aufmerksamkeit, die diesem Segment zuteil wird.

Einsatz in Penetrationstests und Code-Reviews

Für Sicherheitsverantwortliche in Unternehmen ergibt sich ein potenziell relevanter Anwendungsfall: der Einsatz solcher Modelle im Rahmen von Penetrationstests oder automatisierten Code-Reviews. Statt aufwendige manuelle Prüfungen durch externe Dienstleister beauftragen zu müssen, könnten Entwicklungsteams KI-gestützte Analysen als ergänzenden Layer in ihre CI/CD-Pipelines integrieren.

Allerdings bleibt die Frage offen, wie verlässlich solche Systeme in der Praxis arbeiten. False Positives sowie übersehene Schwachstellen sind bei bestehenden automatisierten Tools ein bekanntes Problem. Anthropic hat bislang keine detaillierten Benchmarks zur Erkennungsrate veröffentlicht, die einen unabhängigen Vergleich mit etablierten Lösungen wie statischen Code-Analysatoren oder spezialisierten Vulnerability-Scannern erlauben würden.

Einordnung für deutsche Unternehmen

Für IT-Sicherheitsverantwortliche in Deutschland ist die Entwicklung aus zwei Gründen besonders relevant:

• Regulatorischer Druck: Anforderungen wie NIS2 und der Cyber Resilience Act zwingen Unternehmen dazu, ihre Softwaresicherheit systematisch nachzuweisen. KI-gestützte Analyse-Tools könnten dabei künftig eine unterstützende Rolle spielen.
• Verschärfte Bedrohungslage: Die Ankündigung zeigt, dass der Einsatz von KI im Offensivbereich zunehmend realistischer wird – was die Anforderungen an defensive Maßnahmen entsprechend erhöht.

Unternehmen sollten die weitere Entwicklung in diesem Segment aktiv beobachten und intern klären, welche Governance-Regeln für den Einsatz solcher Werkzeuge gelten sollen.

Quelle: The Guardian AI