VulnHunter prüft Quellcode aus Sicht eines Angreifers

Worum es geht

VulnHunter ist ein quelloffenes Werkzeug von Capital One, das Quellcode aus der Sicht eines möglichen Angreifers untersucht. Das im Juli 2026 angelegte Projekt verbindet drei Schritte: Schwachstellen suchen, Korrekturen erstellen und die Korrekturen unabhängig prüfen. Anders als ein gewöhnlicher statischer Scanner startet es laut Dokumentation bei erreichbaren Eingängen wie APIs, Datei-Uploads oder Netzwerknachrichten.

Das ist für Teams interessant, die viele Warnungen klassischer SAST-Systeme sortieren. VulnHunter liefert jedoch keine automatische Wahrheit. Der Ablauf ist für Claude Code und Claude Opus optimiert; Menschen müssen seine Ergebnisse prüfen.

Was VulnHunter tatsächlich macht

Das Repository enthält drei Claude-Code-Skills. /vulnhunt sucht von erreichbaren Eingängen aus nach Pfaden zu gefährlichen Funktionen. Eine Gegenprüfung versucht anschließend, den eigenen Fund zu widerlegen. Nur wenn die angenommene Angriffskette bestehen bleibt, erstellt das Werkzeug einen Bericht mit Belegen und einem Änderungsvorschlag.

/vulnhunter-fix formuliert zuerst einen reproduzierbaren Angriff als fehlschlagenden Sicherheitstest, ändert dann den Code und testet erneut. /vulnhunt-fix-verify arbeitet getrennt und schreibgeschützt. Dieser Prüfer soll bestätigen, dass der konkrete Angriff nach der Änderung nicht mehr funktioniert. Für größere Mengen gibt es außerdem einen Headless-Agenten und ein lokales Batch-Harness.

Warum das wichtig ist

Klassische Scanner melden oft Muster, die theoretisch gefährlich aussehen, praktisch aber nicht erreichbar sind. VulnHunter nutzt deshalb eine Vorwärtsanalyse vom möglichen Einstieg bis zur schädlichen Wirkung. So können Sicherheitsteams nachvollziehbare Angriffspfade höher priorisieren und Reparaturen mit einem reproduzierbaren Test verbinden.

Das Apache-2.0-Repository ist einsehbar und anpassbar. Zugleich besteht eine klare Abhängigkeit: Der vorgesehene Betrieb benötigt Claude Code und Zugang zu Claude Opus. Modellkosten, Laufzeit und die mögliche Übertragung von Quellcode an einen Modellanbieter gehören daher in jede Einführungskalkulation.

Einfach erklärt

Stellen Sie sich eine Gebäudeprüfung vor. Ein gewöhnlicher Prüfer markiert jede Tür mit einem auffälligen Schloss. VulnHunter versucht dagegen, am öffentlichen Eingang zu beginnen, einen vollständigen Weg bis zum Tresor zu finden und danach selbst zu beweisen, dass der Weg vielleicht doch blockiert ist. Erst wenn die Route bestehen bleibt, wird eine Reparatur vorgeschlagen und getrennt kontrolliert.

Praktisches Beispiel

Ein Team betreibt eine Webanwendung mit 40 API-Endpunkten und erhält 120 Scannerwarnungen. Es lässt VulnHunter nur gegen eine ausdrücklich freigegebene Testkopie laufen. Das Werkzeug verfolgt einen Datei-Upload bis zu einer Bibliotheksfunktion. Der Fix-Skill erstellt einen Test, der vor der Änderung scheitert, passt die Eingabeprüfung an und testet erneut.

Eine Sicherheitsfachkraft prüft Berechtigungen, Datenfluss und Patch. Erst danach bewertet der getrennte Prüfer, ob der gemeldete Pfad geschlossen ist. Aus einer vagen Warnung kann so ein nachvollziehbares Arbeitspaket werden. Code-Review und Penetrationstest bleiben trotzdem nötig.

Einordnung und Grenzen

• Andere Modelle oder Entwicklungsumgebungen können schlechter oder gar nicht funktionieren.
• Agentische Analyse kann falsche Schlüsse ziehen, Pfade übersehen oder unsichere Änderungen vorschlagen. Jeder Fund und Patch braucht menschliche Prüfung.
• Das Werkzeug führt Dual-Use-Sicherheitsarbeit aus. Es darf nur mit ausdrücklicher Erlaubnis eingesetzt werden; Schutzsysteme des Modellanbieters können Anfragen blockieren.
• Vertraulicher Quellcode kann den Rechner verlassen. Verträge, Aufbewahrung, Telemetrie und Datenschutz sind vorab zu klären.
• Das Benchmark-Gerüst enthält laut Repository nur ein kleines synthetisches Beispiel. Unabhängige Belege für eine allgemein niedrige Fehlalarmrate fehlen.

Der beste erste Test ist ein begrenztes, nicht produktives Repository mit bekannten Schwachstellen. Trefferquote, Fehlalarme, Kosten, Laufzeit und Testqualität sollten dokumentiert werden.

SEO- und GEO-Schlüsselbegriffe

VulnHunter, Capital One, Claude Code, Claude Opus, KI-Sicherheit, Quellcodeprüfung, SAST, Schwachstellenanalyse, Apache 2.0, DevSecOps