Anthropic hat am 8. Oktober 2026 die sogenannte „Cyber-Mission“ (Anthropic Cyber Mission) gestartet. Dabei handelt es sich um eine langfristige Verpflichtung, Tools, Forschung und Ressourcen bereitzustellen, die Verteidigern helfen, die Systeme abzusichern, auf denen grundlegende Dienste beruhen. Die Initiative beginnt mit zwei Schwerpunkten: dem Schutz kritischer Infrastruktur und der Prüfung von Open-Source-Software auf Schwachstellen.
Ein Programm für Betriebstechnologien
Zum Start gehört das Critical Infrastructure Defense Program (CIDP), das fortschrittliche Claude-Modelle mit Vor-Ort-Ingenieuren und Bedrohungsforschung verbindet. Es soll Organisationen unterstützen, die die Betriebstechnologien hinter Stromnetzen, Wassersystemen und Verkehrsnetzen sowie staatlichen Systemen absichern.
Anthropic zufolge beruhen diese Umgebungen auf Steuergeräten, Software und industriellen Netzwerken, die für einen jahrzehntelangen Betrieb entwickelt wurden und häufig nicht für die Installation eines Sicherheitsupdates abgeschaltet werden können. Deshalb können bekannte Schwachstellen jahrelang unbearbeitet bleiben, während eine unsichere Änderung den Betrieb einer Industrieanlage beeinträchtigen könnte. In der ersten Phase umfasst das Programm unter anderem Partner wie Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC und Rockwell Automation.
Einige Partner nutzen Claude bereits, um Schwachstellen zu bearbeiten und ihre Kunden bei der Durchführung derselben Arbeit zu unterstützen. Anthropic wird mit einer begrenzten Gruppe von Dienstleistern beginnen, um die praktischsten und wirksamsten Ansätze zu testen. Später soll das Programm auf weitere Partner und Branchen ausgeweitet werden.
Kostenlose Prüfung von Open-Source-Projekten
Das Unternehmen hat außerdem OSS Scanner gestartet, einen optionalen Dienst, der mithilfe seiner leistungsfähigsten Modelle regelmäßig kostenlose Prüfungen von Open-Source-Projekten durchführt. Jeder Bericht enthält einen Proof of Concept dafür, wie der Fehler ausgenutzt werden kann, eine Erläuterung des Fehlers und, sofern verfügbar, einen vorgeschlagenen Fix.
Die Berichte werden automatisch erstellt und vor ihrer Übermittlung an die Maintainer nicht von Menschen geprüft. Anthropic zufolge erwartet das Unternehmen eine Trefferquote von mehr als 90 Prozent, warnt jedoch vor möglichen Fehlern, etwa einer ungenauen Einschätzung des Schweregrads einer Schwachstelle. Der Dienst richtet sich an Projekte, die über die Kapazitäten verfügen, die Ergebnisse zu sichten und weiterzuverfolgen. Bei Projekten, die eine menschliche Prüfung benötigen, wird das Unternehmen weiterhin von Menschen verifizierte Meldungen im Rahmen seiner Coordinated Vulnerability Disclosure Policy weitergeben.
Was ändert sich in der Praxis?
Die Initiative folgt auf das „Glasswing-Projekt“, bei dem Hunderte weit verbreitete Projekte geprüft und Schwachstellen aufgedeckt wurden, über die die Maintainer informiert wurden. Anthropic räumt ein, dass das Auffinden einer Schwachstelle einfacher geworden ist, ihre Überprüfung, Priorisierung und Behebung jedoch weiterhin langsam sind. Zwischen der Entdeckung eines Problems und seiner Behebung können Monate vergehen. Bei Betriebstechnologien kann sich die Behebung verzögern, bis ihre Anwendung auf den laufenden Anlagen sicher ist; in seltenen Fällen kann die Wartezeit Jahrzehnte betragen.
Der Start stellt daher keine Alternative zur Expertise der Betreiber kritischer Infrastruktur oder zur Prüfung durch Sicherheitsexperten dar. OSS Scanner beschleunigt zwar den Zugang zu Ergebnissen, überträgt den Maintainer jedoch die Verantwortung für deren Überprüfung. Zugleich bleibt die Einführung von Updates in industriellen Umgebungen durch Anforderungen an Sicherheit und Betriebskontinuität eingeschränkt. Anthropic erwartet außerdem, dass es Jahre des Lernens und der Zusammenarbeit zwischen öffentlichem und privatem Sektor erfordern wird, eine spürbare Wirkung zu erzielen.
Ausweitung
Anthropic beabsichtigt, seine Tools auf die Beschleunigung der Sichtung und Behebung von Schwachstellen, die Forschung zu sichereren Softwarearchitekturen und -praktiken sowie die Unterstützung weiterer Softwareprojekte und der Software-Lieferkette auszuweiten. Weitere Programme des Unternehmens, darunter das Cyber Verification Program und Claude for Open Source, bieten einen breiteren Zugang zu Claudes defensiven Fähigkeiten oder kostenlose Abonnements für bestimmte qualifizierte Maintainer und Teams.