Anthropic Defending Code: KI-Sicherheitslücken-Suche mit Claude

Anthropic hat ein neues Framework veröffentlicht, das die Defensive Security spürbar beschleunigt. Der defending-code-reference-harness dient als Referenzimplementierung, um Sicherheitslücken mithilfe von Claude automatisiert zu identifizieren, zu bewerten und zu schließen.

Das System bildet den gesamten Lebenszyklus einer Schwachstellenanalyse ab. Claude fungiert hierbei als aktiver Akteur, der konkrete Schritte unternimmt, um Codebasen gegen Angriffe zu härten. Besonders für Teams, die Memory-Sicherheitslücken in C/C++ Projekten mittels Docker und AddressSanitizer (ASAN) aufspüren wollen, liefert das Framework ein belastbares Gerüst.

Funktionsweise und Integration

Die Anwendung bietet zwei primäre Betriebsmodi. Im interaktiven Modus kommen spezifische Skills zum Einsatz, die direkt in Claude Code integriert werden. Hier steuert der Entwickler den Prozess manuell und nutzt die KI für punktuelle Analysen. Alternativ existiert ein autonomer Harness. In diesem Modus definieren Nutzer die Zielparameter sowie Leitplanken, woraufhin der Agent den Analysezyklus eigenständig durchläuft.

Zentrale Features im Überblick

• Threat Modeling: Systematische Erstellung von Bedrohungsmodellen für den Zielcode.
• Vulnerability Scanning: Suche nach verdächtigen Codestellen mittels /vuln-scan.
• Triage & Verifizierung: Bewertung und Validierung der Funde durch den /triage Skill.
• Automated Patching: Direkte Erstellung und Anwendung von Korrekturen über den /patch Befehl.
• Reporting: Generierung technischer Berichte über behobene Schwachstellen.
• Customization: Anpassung an eigene Projektstrukturen über den /customize Skill.

Installation und Nutzung

Die Einrichtung erfolgt durch das Klonen des GitHub-Repositorys. Da das Projekt auf Docker-Umgebungen setzt, um Analysen isoliert durchzuführen, ist eine installierte Docker-Engine Voraussetzung. Entwickler nutzen den Harness, um eigene Blueprints für Security-Pipelines zu entwerfen. Anthropic betont dabei den Charakter als Referenzimplementierung: Wer optimale Ergebnisse erwartet, muss das System manuell an die eigene Codebasis anpassen.