Chainguard stellt Harness zur Suche nach Schwachstellen in Frontier-KI vor

Chainguard stellte am 14. Oktober 2026 Chainguard Harness vor. Das Angebot nutzt Claude Mythos 5.1 von Anthropic, um ausnutzbare Schwachstellen in einer laufenden, isolierten Build-Version der Anwendung eines Unternehmens aufzuspüren und jeden bestätigten Fund zusammen mit einer empfohlenen Behebung zu melden. Noch am selben Tag eröffnete das Unternehmen eine Warteliste für die Betaversion und machte das Angebot über den Claude Marketplace von Anthropic käuflich verfügbar.

In seiner Ankündigung erklärte Chainguard, dass Frontier-Modelle, die Schwachstellen in eigenentwickeltem und Open-Source-Code aufspüren, bislang meist nur einer ausgewählten Gruppe von Organisationen zur Verfügung standen, die defensive Sicherheitsarbeit für kritische Infrastrukturen leisten. Harness bringe diese Fähigkeit zu Organisationen, denen der Zugang zu Frontier-Modellen oder das Sicherheits- und Entwicklungswissen fehle, um sie selbst einzusetzen, so das Unternehmen.

CEO und Mitgründer Dan Lorenc sagte in der Mitteilung des Unternehmens: „Jedes Mal, wenn wir Harness auf Code angesetzt haben, hat es schwerwiegende, ausnutzbare Schwachstellen gefunden – auch in Software, die bereits vielfach gescannt wurde, und in Code, auf dem kritische Infrastrukturen laufen.“ Harness biete Sicherheitsteams eine weitere Möglichkeit, bestätigte Schwachstellen und Behebungen zu erhalten, die ihre Entwickler ausliefern können, sagte er.

So funktioniert Harness

Chainguards Ankündigung beschreibt einen fünfstufigen Ablauf. Kunden verbinden ihre Repositorys über die Chainguard-GitHub-App mit Lesezugriff oder laden ein Quellcodearchiv hoch. Harness erstellt die Anwendung aus dem Quellcode genau so, wie sie für den Produktivbetrieb ausgeliefert würde, und startet sie in einer isolierten Mikro-VM. Anschließend untersucht Mythos 5.1 die laufende Anwendung auf Logikfehler, Injection-Angriffe und Ressourcenerschöpfung. Dabei greift das Modell auf den Quellcode, den Git-Verlauf, den Quellcode der Abhängigkeiten und die Build-Konfiguration zurück und beobachtet zugleich, wie die laufende Anwendung reagiert.

Die Abschottung erfolgt in zwei Phasen. In einer Einrichtungsphase erstellt ein separates Modell die Anwendung, ruft ihre Abhängigkeiten und Werkzeuge ab und bringt sie in der Mikro-VM zum Laufen, die anschließend angehalten wird. In der Suchphase wird die Mikro-VM für Mythos 5.1 wieder gestartet – ohne ausgehende Netzwerkverbindungen und ohne Zugangsdaten in der VM. Das Modell arbeitet ausschließlich mit einer Shell und von Chainguard erstellten Paketen. Die Agentenschleife läuft außerhalb der Sandbox, sodass jeder Werkzeugaufruf und jeder vom Modell ausgeführte Befehl protokolliert wird. Der untersuchte Code wird als nicht vertrauenswürdige Daten behandelt. Das schütze vor Prompt-Injection-Angriffen, die im analysierten Code verborgen sind, erklärte das Unternehmen.

Jeder Exploit wird in einer neuen Mikro-VM erneut ausgeführt. Ein Fund, der nicht bei jedem Versuch gelingt, wird nicht in den Bericht aufgenommen. Jede empfohlene Behebung wird nach demselben Verfahren überprüft: Der Exploit muss mit dem aktuellen Code des Kunden funktionieren und nach Anwendung der Behebung scheitern. Der übergebene Bericht enthält eine Zusammenfassung für die Geschäftsleitung, den Schweregrad und die Auswirkungen jedes Fundes, Schritte zu dessen Überprüfung sowie eine empfohlene Behebung, die auf die Codebasis des Kunden zugeschnitten ist. Vor der Auslieferung prüft ein namentlich benannter Chainguard-Entwickler jede Behebung und jeden Bericht und gibt sie frei.

Laut der Ankündigung wird das Modell ausschließlich von Chainguard-Mitarbeitern betrieben. Niemand außerhalb von Chainguard kann es anweisen oder seine unverarbeiteten Ausgaben einsehen. Findet Harness eine Schwachstelle in einer Open-Source-Abhängigkeit statt im Code des Kunden, koordiniert Chainguard die Offenlegung mit den Upstream-Betreuern. Sobald das Problem im Upstream behoben ist, wird die korrigierte Build-Version über Chainguard Repository ausgeliefert. Die Mitteilung bezeichnet diesen Offenlegungsweg als Athena, Chainguards Verfahren zur koordinierten Offenlegung von Schwachstellen.

Erster öffentlich gemeldeter Fund in vLLM

Die Ankündigung erfolgte einen Tag, nachdem Chainguard den ersten öffentlich gemeldeten Fund von Harness veröffentlicht hatte. In einem Forschungsbeitrag vom 13. Oktober 2026 erklärte das Unternehmen, Harness habe einen Fehler in vLLM entdeckt, einer Open-Source-Engine zum Bereitstellen großer Sprachmodelle. Der Fehler ermöglichte es einem Client, die Ausgabe der Anfrage eines anderen Clients auf einer gemeinsam genutzten Engine zu erzwingen. Betroffen war allowed_token_ids, ein Anfrageparameter, der einschränkt, welche Tokens das Modell generieren darf: Nach Abschluss einer Anfrage wurde deren Zeile in einer gemeinsam genutzten Einschränkungstabelle neu zugewiesen, ohne die vorherige Einschränkung zu löschen. Dadurch konnte eine spätere Anfrage die Beschränkungen des vorherigen Clients übernehmen. Der Fehler betraf vLLM-Versionen vor v0.31.0.

Chainguard zufolge konnte das Unternehmen den Exploit in drei von drei Versuchen reproduzieren. Chainguard meldete die Auswirkungen auf die Sicherheit am 23. September 2026 an die Betreuer von vLLM. Die Behebung wurde am 2. Oktober 2026 in v0.31.0 veröffentlicht, und die Sicherheitsempfehlung GHSA-6cxc-2vcg-w5qc erschien am 6. Oktober 2026. Der Fehler war seit dem 28. Mai 2026 im öffentlichen Issue-Tracker von vLLM verzeichnet und als gewöhnlicher Fehler eingestuft. vLLM bewertete den Schweregrad als niedrig. Die Behebung bestand laut dem Beitrag aus einer einzeiligen Änderung sowie einer damit zusammenhängenden Korrektur.

Laut dem Beitrag dauerte der vLLM-Test 10 Stunden und 48 Minuten, verarbeitete etwa 115 Millionen Tokens und untersuchte 30 Bereiche des Projekts. 37 mögliche Funde ließen sich auf einem sauberen Host reproduzieren; 13 hielten der technischen Prüfung stand. Chainguard erklärte, Harness bereits an mehr als 65 Projekten eingesetzt und mehr als 680 Funde bestätigt zu haben, von denen sich einige in einem koordinierten Offenlegungsverfahren befinden. Die Arbeit an Harness ging laut dem Beitrag auf Chainguards Beitritt zu Project Glasswing von Anthropic zurück.

Beta-Zugang und Verfügbarkeit im Marketplace

Chainguard gewährt zunächst einer begrenzten Gruppe von Organisationen Zugang. Auf der Produktseite von Harness steht, dass sich das Angebot in der Betaphase befindet und eine Technologie-Vorschau im Rahmen von Chainguards Rahmenvertrag über Dienstleistungen und Lizenzierung ist.

Harness ist im Claude-Marktplatz von Anthropic gelistet. Dem Eintrag zufolge können Kunden mit einer bestehenden Abnahmeverpflichtung gegenüber Anthropic diese über den Anfrage-zum-Kauf-Prozess des Marktplatzes geltend machen. Laut der Mitteilung von Chainguard übernimmt Anthropic die Abrechnung. Anthropic-Kunden können Harness daher ohne separates Beschaffungsverfahren hinzufügen und ihre KI-Ausgaben bündeln.

Zum Start betreiben Ingenieure von Chainguard Harness im Auftrag der Kunden. Sie führen es entweder auf den Open-Source-Artefakten aus, die Chainguard bereits vertreibt, und stellen korrigierte Builds über Chainguard Repository bereit, oder sie führen es auf dem Quellcode eines Kunden aus und liefern einen von einem Ingenieur geprüften Bericht mit validierten Befunden, deren Schweregrad und Auswirkungen, Reproduktionsschritten sowie empfohlenen Abhilfemaßnahmen.

Daniela Hurtado, Leiterin des kommerziellen Cybergeschäfts bei Anthropic, sagte in der Mitteilung, dass Modelle wie Mythos 5.1 Schwachstellen aufdecken können, die jahrelang unentdeckt geblieben sind. Harness umgibt das Modell mit Isolation, Reproduktion und menschlicher Prüfung, sodass jeder Befund verifiziert wird, bevor er einen Kunden erreicht. Organisationen können sich über die Harness-Seite von Chainguard auf die Beta-Warteliste setzen lassen.