Schwachstellenmanagement mit Claude Code ist gerade einer der Punkte, die mir das Leben schwer machen. Eine Schwachstelle wird gemeldet, ich muss schnell reagieren und setze Claude Code darauf an. Und dann wechselt Claude für die Anfrage auf Opus 4.8. Das passiert mir sehr oft.

Opus 4.8 ist zum Fixen von Sicherheitslücken nicht wirklich gut. Es fühlt sich an, als hätte ich mein dringendstes Problem einem zweitklassigen Mitarbeiter gegeben. Ausgerechnet in dem Moment, in dem Zeit und Qualität am meisten zählen, lässt Claude mich im Stich.

Warum Claude zurückschaltet

Anthropic dokumentiert das Verhalten offen. Opus 5 und Opus 5.5 schalten auf Opus 4.8 zurück, wenn ein Klassifikator eine Anfrage als offensive Cyberanfrage einstuft, etwa das Schreiben von Exploits, das Scannen von Binärdateien auf Schwachstellen oder Penetrationstests. Sicheres Programmieren ist laut Anthropic auch auf Opus 5.5 erlaubt.

Auf dem Papier trifft es also nur Angreifer. In der Praxis zieht ein Klassifikator die Grenze, und der trifft auch Verteidiger. Am 21. Oktober hat ein Entwickler im Repository von Claude Code einen Fehler gemeldet. Er wollte seine Anwendung gegen die zwei neuen PHP-Lücken testen, um seine Gegenmassnahmen zu prüfen, ausdrücklich ohne Exploit. Jeder Versuch landete auf Opus 4.8. Eine Antwort von Anthropic steht dort bis heute aus.

Der Mechanismus stammt aus dem Juni. Am 12. Juni haben die USA Exportkontrollen auf Fable 5 und Mythos 5 verhängt, nachdem Forscher von Amazon einen Weg an den Schutzmechanismen von Fable 5 vorbei gefunden hatten. Anthropic musste beide Modelle für alle Kunden sperren, trainierte einen neuen Klassifikator und leitet blockierte Anfragen seither an Opus 4.8 weiter. Dass dieser Klassifikator auch harmlose Coding- und Debugging-Anfragen häufiger markiert, schreibt Anthropic selbst. Nach einem solchen Stopp ist Vorsicht nachvollziehbar. Den Preis zahlt im Ernstfall aber der, der eine Lücke schliessen will.

OpenAI geht den anderen Weg

OpenAI verkauft Sicherheitsarbeit als eigenes Produkt. Codex Security ist als Research Preview für Pro-, Business-, Enterprise- und Edu-Kunden verfügbar. Es baut ein Bedrohungsmodell deines Codes, untersucht mögliche Schwachstellen, versucht sie in einer isolierten Umgebung nachzustellen und schlägt einen Patch vor, den dein Team prüft. Die Scans in der Cloud werden zusätzlich nach Tokens abgerechnet. Für mich lohnt sich das Pro-Abo schon allein dafür.

Wie gut das funktioniert, zeigt Node.js. Am 21. Oktober hat das Projekt zehn Schwachstellen geschlossen, darunter einen Fehler im Brotli-Decoder, über den Code aus der Ferne ausgeführt werden kann. Gemeldet hat ihn laut Node.js OpenAI Codex Security.

Die Gegenseite hat die besten Modelle

Am selben Tag hat PHP zwei kritische Lücken geschlossen, über die ein nicht angemeldeter Angreifer unter bestimmten Bedingungen Code auf dem Server ausführen kann. Erste Anzeichen des einen Fehlers hatte ein Audit schon 2024 gefunden. Als ausnutzbare Lücke gemeldet wurde er im August, von Calif, unabhängig davon von OpenAI und kurz darauf von Wiz. Als Werkzeuge nennt die PHP Foundation unter anderem Claude Mythos von Anthropic sowie Daybreak Red und Codex Security von OpenAI. Mythos 5 hat Anthropic nach dem Exportstopp nur für eine Reihe von US-Organisationen wieder freigeschaltet.

Das schafft eine Asymmetrie. Was früher zu aufwendig war, um es zu finden, finden die Modelle jetzt. Deshalb werden mehr Schwachstellen gemeldet, und das ist eine gute Entwicklung, weil es die Produkte sicherer macht. Das PHP-Sicherheitsteam hat seit dem 1. Juli 15 CVEs veröffentlicht und über 100 Meldungen abgearbeitet, die ungültig, doppelt oder nicht reproduzierbar waren.

Gleichzeitig schrumpft das Zeitfenster. Bei PHP sickerten die CVE-Nummern einen Tag vor dem geplanten Termin durch. Das Projekt zog die Veröffentlichung vor, und am selben Abend kursierte ein Video, das einen Proof of Concept zeigt.

Wenn es dich trifft

Ist dein Produkt betroffen, zeigt sich schnell, ob deine Prozesse auf eine schnelle Reaktion ausgelegt sind. Sind sie es nicht, bleibt dir im schlimmsten Fall nur, das Produkt abzuschalten.

Wie es aussieht, wenn die Reaktion ausbleibt, zeigt eine Offenlegung, die Skylasec am 27. Oktober veröffentlicht hat. Am 30. Juni meldeten die Forscher Mercedes-Benz Schwachstellen in der Mercedes me App, darunter Produktions-Zugangsdaten für die Connected-Vehicle-API, die nur per XOR verschleiert sind, und 84 Zugangsdaten in öffentlichen App-Paketen. Auf Nachfragen im Juli und August kam laut Skylasec keine Antwort. Bei einem Treffen am 20. Oktober sagte Mercedes: «Wir teilen Ihre Einschätzung nicht.» Nach 120 Tagen haben die Forscher alles veröffentlicht, einen Patch gibt es laut ihnen nicht.

Wer in der Sache recht hat, kann ich von aussen nicht beurteilen. Die Frist ist jedenfalls abgelaufen, und die Details sind jetzt öffentlich.

Was dich im Ernstfall schnell macht

Für alle, die im Sicherheitsbereich arbeiten, heisst das im Zweifel: ein Abo bei beiden Anbietern. Bei einer gemeldeten ausnutzbaren Schwachstelle willst du nicht allein dastehen und auch nicht mit dem älteren Modell. Deine Kunden und besonders deren Pentester arbeiten mit den besten Modellen. Wer mit Claude defensiv arbeitet und weniger Einschränkungen braucht, kann sich zusätzlich für das Cyber Verification Program von Anthropic bewerben, das Opus 5.5 derzeit allerdings noch nicht umfasst.

Schnell macht dich das Abo allein noch nicht. Dafür braucht der Agent Zugriff auf deinen Code und deine Systeme, damit er die Meldung nachstellt, die Ursache findet und einen Fix vorschlägt, den dein Team prüft und freigibt. Die Zeit bis zum Patch entscheidet sich, bevor die Meldung kommt. Genau das richte ich in KI im Betrieb mit dir ein, mit Claude Code oder Codex, an zwei Tagen bei dir vor Ort.

Wenn deine Prozesse noch nicht auf schnelle Reaktion ausgelegt sind, bist du in guter Gesellschaft. Wenn du das ändern willst, buch unten ein kostenloses Erstgespräch, und wir schauen uns deine Situation gemeinsam an.