Am 21. August hat Anthropic angekündigt, sein stärkstes Modell für die Suche nach Sicherheitslücken freizugeben. Das Werkzeug heisst Claude Security, durchsucht Programmcode nach Schwachstellen und schlägt Korrekturen vor. Es steht als öffentliche Beta für Firmenkunden bereit, abgerechnet wird nach Verbrauch.
Für einen Schweizer KMU-Betrieb klingt das nach einer Meldung aus einer anderen Welt — und in gewisser Weise stimmt das auch. Die Folgen kommen trotzdem bei Ihnen an.
Warum Sie das Werkzeug nicht brauchen
Ein Scanner für Programmcode nützt dem, der Programmcode besitzt. Wer seine Website mit WordPress oder Joomla betreibt, hat keinen eigenen Code, den er durchsuchen lassen könnte — er nutzt Software, die andere geschrieben haben.
Das Angebot richtet sich entsprechend an Softwarehersteller und grosse Betriebe. Anthropic nennt als Partner Anbieter, die Spitäler, Energieversorger und Finanzinstitute absichern. Deren Kundschaft bekommt am Ende nur die Ergebnisse zu sehen, nicht das Modell selbst.
Warum es Sie trotzdem betrifft
Die interessante Zahl liegt ein paar Monate zurück. Mozilla hat dasselbe Modell im Frühjahr auf Firefox angesetzt: 271 bis dahin unbekannte Schwachstellen kamen dabei zutage, manche davon fünfzehn bis zwanzig Jahre alt. Insgesamt behob Mozilla in jenem Monat 423 Sicherheitsprobleme.
Solche Werkzeuge kommen jetzt breiter zum Einsatz. Und was gefunden wird, muss anschliessend geschlossen werden — in Form von Updates, die bei Ihnen ankommen.
Genau das lässt sich seit Wochen beobachten. WordPress brachte fünf Releases in sechs Wochen, Joomla schloss zehn Lücken auf einmal. Diese Taktung wird nicht abnehmen, sondern zunehmen — nicht weil die Software schlechter wird, sondern weil systematischer gesucht wird als früher.
Für Sie heisst das: Die Frage ist nicht mehr, ob Sie Updates einspielen, sondern wie schnell. Ein Rückstand von drei Monaten war früher fahrlässig. Bei dieser Taktung ist er ein Zustand, in dem eine Website nicht mehr betrieben werden sollte.
Und die andere Seite
Wer jetzt fragt, ob Angreifer dieselben Werkzeuge bekommen: Die Frage ist berechtigt, und die Antwort fällt unbequemer aus, als die Ankündigungen vermuten lassen.
Anthropic beschränkt den Zugang zu diesem Modell und begründet das mit dessen Fähigkeiten. Zwei unabhängige Untersuchungen haben im April jedoch dieselben Beispiel-Lücken vorgenommen und mit anderen, frei verfügbaren Modellen nachgestellt. Ergebnis: Ein Modell mit 3,6 Milliarden Parametern — winzig im Vergleich — fand denselben Fehler in einem FreeBSD-Baustein. Kosten: elf Cent pro Million verarbeiteter Zeichen.
Der Vorsprung liegt demnach nicht im einzelnen Modell, sondern im Verfahren drumherum: Treffer prüfen, Fehlalarme aussortieren, das Wichtige zuerst. Genau daran scheiterten frühere Versuche — Mozilla hatte es mit älteren Modellen schon einmal probiert und wieder eingestellt, weil zu viel Rauschen herauskam.
Für Sie bedeutet das zweierlei. Die Suche nach Lücken wird billiger, für beide Seiten. Und eine Fähigkeit, die auf einem Modell für elf Cent läuft, lässt sich nicht durch Zugangsbeschränkungen einfangen.
Was zu tun ist
Nichts Neues, aber jetzt dringlicher:
Updates zeitnah einspielen. Bei WordPress und Joomla heisst das: kleinere Aktualisierungen automatisch, grössere geplant, aber nicht aufgeschoben.
Wissen, was läuft. Viele Betriebe kennen den Stand ihrer eigenen Website nicht. Welche Version, welche Erweiterungen, welche davon werden noch gepflegt — das ist die Voraussetzung für alles Weitere.
Den Ernstfall vorbereiten. Ein Backup, das wiederhergestellt werden kann, und jemand, der im Fall der Fälle erreichbar ist.
Wer das nicht selbst betreuen möchte: Genau dafür gibt es Wartungsverträge. Bei den Websites, die wir betreuen, laufen diese Aktualisierungen bei uns.
In eigener Sache
Wir verkaufen Wartung. Ein Artikel, der zum Schluss kommt, dass Wartung wichtiger wird, kommt von einer Partei mit Interesse daran. Prüfen Sie das Argument, nicht den Absender.