Chainguard introduceert Harness voor het opsporen van kwetsbaarheden in frontier-AI

Chainguard introduceerde op 14 oktober 2026 Chainguard Harness, een aanbod dat Claude Mythos 5.1 van Anthropic inzet om misbruikbare kwetsbaarheden op te sporen in een live, geïsoleerde build van de applicatie van een organisatie en elke geverifieerde bevinding te voorzien van een aanbevolen oplossing. Het bedrijf opende diezelfde dag een wachtlijst voor de bèta en maakte het aanbod beschikbaar voor aankoop via de Claude Marketplace van Anthropic.

In de aankondiging zei Chainguard dat frontiermodellen die kwetsbaarheden opsporen in eigen en opensourcecode tot nu toe vooral beschikbaar waren voor een selecte groep organisaties die zich bezighouden met defensieve beveiliging van kritieke infrastructuur. Volgens het bedrijf brengt Harness die mogelijkheid binnen bereik van organisaties die geen toegang hebben tot frontiermodellen of niet over de beveiligings- en technische expertise beschikken om die zelf in te zetten.

CEO en medeoprichter Dan Lorenc zei in het persbericht van het bedrijf: “Elke keer dat we Harness op code hebben losgelaten, heeft het ernstige, misbruikbare kwetsbaarheden gevonden, ook in software die al vele malen is gescand en in code waarop kritieke infrastructuur draait.” Volgens hem biedt Harness beveiligingsteams een extra mogelijkheid om bewezen kwetsbaarheden en oplossingen te krijgen die hun engineers kunnen implementeren.

Hoe Harness werkt

In de aankondiging beschrijft Chainguard een proces in vijf stappen. Klanten koppelen repositories via de Chainguard GitHub App met alleen-lezen toegang, of uploaden een broncodearchief. Harness bouwt de applicatie vanuit de broncode precies zoals die voor productie zou worden uitgebracht en start deze op in een geïsoleerde microVM. Vervolgens onderzoekt Mythos 5.1 de draaiende applicatie op logische fouten, injectie en uitputting van resources. Daarbij gebruikt het de broncode, de git-geschiedenis, de broncode van afhankelijkheden en de buildconfiguratie, terwijl het observeert hoe de live-applicatie reageert.

De afscherming verloopt in twee fasen. Tijdens de voorbereidingsfase bouwt een afzonderlijk model de applicatie, haalt het de afhankelijkheden en hulpmiddelen op en zorgt het dat de applicatie in de microVM draait, waarna die wordt gepauzeerd. Tijdens de opsporingsfase wordt de microVM hervat voor Mythos 5.1, zonder uitgaand netwerkverkeer en zonder inloggegevens in de omgeving. Het model werkt uitsluitend met een shell en pakketten die door Chainguard zijn gebouwd. De agentlus draait buiten de sandbox, waardoor elke toolaanroep en elk commando van het model wordt vastgelegd. De te testen code wordt behandeld als niet-vertrouwde data; volgens het bedrijf beschermt dit tegen promptinjectie die verborgen zit in de geanalyseerde code.

Elke exploit wordt opnieuw uitgevoerd in een schone microVM. Een bevinding die niet elke keer wordt gereproduceerd, wordt niet in het rapport opgenomen. Elke aanbevolen oplossing wordt op dezelfde manier gecontroleerd: de exploit moet slagen tegen de huidige code van de klant en mislukken nadat de oplossing is toegepast. Het opgeleverde rapport bevat een samenvatting voor leidinggevenden, de ernst en impact van elke bevinding, stappen om de bevinding te bevestigen en een aanbevolen oplossing die is afgestemd op de codebase van de klant. Een met naam genoemde engineer van Chainguard beoordeelt en goedkeurt elke oplossing en elk rapport voordat deze worden geleverd.

Volgens de aankondiging wordt het model uitsluitend bediend door medewerkers van Chainguard; niemand buiten Chainguard kan het model instructies geven of de ruwe uitvoer ervan zien. Wanneer de harness een fout vindt in een opensourceafhankelijkheid in plaats van in klantcode, coördineert Chainguard de bekendmaking ervan met de beheerders van het upstreamproject. Zodra het probleem upstream is opgelost, wordt de gepatchte build via Chainguard Repository uitgebracht. In het persbericht wordt deze route voor bekendmaking Athena genoemd, het gecoördineerde proces van Chainguard voor het melden van kwetsbaarheden.

Eerste openbare bevinding in vLLM

De aankondiging volgde één dag nadat Chainguard de eerste openbare bevinding uit de harness had gepubliceerd. In een onderzoeksartikel van 13 oktober 2026 zei het bedrijf dat de harness een bug had gevonden in vLLM, een opensource-engine voor het aanbieden van grote taalmodellen. Door die bug kon de ene client de uitvoer van het verzoek van een andere client op een gedeelde engine afdwingen. De fout had betrekking op allowed_token_ids, een verzoekparameter die beperkt welke tokens het model mag genereren. Wanneer een verzoek was voltooid, werd de bijbehorende rij in een gedeelde beperkingstabel opnieuw toegewezen zonder de oude beperking te wissen. Daardoor kon een later verzoek de beperkingen van de vorige client overnemen. De bug kwam voor in vLLM-versies van vóór v0.31.0.

Chainguard zei dat het de exploit drie van de drie keer had gereproduceerd. Het bedrijf meldde de gevolgen voor de beveiliging op 23 september 2026 aan de beheerders van vLLM. De oplossing werd op 2 oktober 2026 uitgebracht in v0.31.0 en het beveiligingsadvies GHSA-6cxc-2vcg-w5qc werd op 6 oktober 2026 gepubliceerd. De bug stond sinds 28 mei 2026 in de openbare issuetracker van vLLM, waar die als een gewone bug was aangemerkt. vLLM classificeerde het probleem als laag in ernst. De oplossing bestond uit een wijziging van één regel en een gerelateerde fix, aldus het artikel.

Volgens het artikel duurde de vLLM-run 10 uur en 48 minuten, werden ongeveer 115 miljoen tokens verwerkt en werden 30 onderdelen van het project onderzocht. Van de 37 mogelijke bevindingen die op een schone host werden gereproduceerd, doorstonden er 13 de technische beoordeling. Chainguard zei dat het de harness op meer dan 65 projecten had ingezet en meer dan 680 bevindingen had gevalideerd, waarvan een aantal via gecoördineerde bekendmaking werd gemeld. Volgens het artikel kwam het werk aan de harness voort uit Chainguards deelname aan Anthropic’s Project Glasswing.

Bètatoegang en beschikbaarheid via de Marketplace

Chainguard stelt de toegang eerst open voor een beperkte groep organisaties. Op de productpagina van Harness staat dat het aanbod zich in de bètafase bevindt en een Technology Preview is onder Chainguards Master Services and License Agreement.

Harness staat vermeld op de Claude Marketplace van Anthropic. In de vermelding staat dat klanten met een bestaande afnameverplichting bij Anthropic die via de aanvraag-tot-aankooproute van de marktplaats kunnen inzetten. Volgens de aankondiging van Chainguard verzorgt Anthropic de facturering. Anthropic-klanten kunnen Harness dus toevoegen zonder een afzonderlijk inkoopproces en hun uitgaven aan AI bundelen.

Bij de lancering beheren engineers van Chainguard Harness namens klanten. Ze kunnen het uitvoeren op de opensourceartefacten die Chainguard al distribueert en gepatchte builds leveren via Chainguard Repository, of op de broncode van een klant. In dat laatste geval leveren ze een door een engineer beoordeeld rapport met gevalideerde bevindingen, inclusief de ernst, impact, stappen om ze te reproduceren en aanbevolen oplossingen.

Daniela Hurtado, hoofd commerciële cyberbeveiliging bij Anthropic, zei in de aankondiging dat modellen zoals Mythos 5.1 kwetsbaarheden aan het licht kunnen brengen die jarenlang onopgemerkt zijn gebleven. Harness omringt het model met isolatie, reproductie en menselijke controle, zodat elke bevinding wordt geverifieerd voordat die bij een klant terechtkomt. Organisaties kunnen zich via de Harness-pagina van Chainguard aanmelden voor de bèta-wachtlijst.