Project Canopy startet Vulnerability Intelligence Hub für Open Source

Bereits laufende Analysen

Hintergrund ist, dass Angreifer mit fortgeschrittener KI immer schneller Schwachstellen aufspüren und ausnutzen. Canopy setzt dem KI-gestützte offensive Sicherheitstechnik entgegen und prüft damit Open-Source-Software und Infrastruktur, auf denen Verwaltungsnetze und Bürgerdienste beruhen.

Die Forscher untersuchten unter anderem eGovFRAME, die Grundlage öffentlicher Dienste in Südkorea, sowie Spring Framework/Boot, Docker, LiteLLM, Grafana, Istio, libdb und python.org. Sie fanden zahlreiche Kandidaten für Schwachstellen, schlossen Proof-of-Concept-Arbeiten ab und meldeten die Funde, darunter Fälle mit hohem Risiko, nacheinander an die Maintainer. Einige wichtige Korrekturen sind erledigt. Die übrigen Punkte werden gemäß den Richtlinien zur koordinierten Offenlegung (Coordinated Vulnerability Disclosure, CVD) veröffentlicht, sobald offizielle Patches erscheinen.

Nachfragebasiertes Modell

Neu ist zudem eine nachfragebasierte Struktur: Partner schlagen selbst vor, was analysiert werden soll. Fragt eine Organisation die Prüfung einer im Alltag genutzten Open-Source-Software an, bewertet das Team Nutzerzahl, Blindstellen (Patch-Reaktionsfähigkeit, Vorfallhistorie) und gesellschaftlichen Bedarf, legt Prioritäten fest und beginnt die vertiefte Analyse.

Das Netzwerk soll künftig über Kommunen und öffentliche Einrichtungen hinaus auf Bereiche wie Gesundheit und Bildung wachsen, denen oft Sicherheitsbudget und Fachpersonal fehlen. Jede interessierte Organisation oder jedes Unternehmen kann beitreten.

Vorsitzender Park Se-jun erklärte, Verteidiger müssten ebenfalls vorausschauend KI einsetzen, wenn Angreifer mit KI-Tempo vorgehen. Canopy wolle Infrastruktur und Open-Source-Ökosysteme schützen, die wegen knapper Mittel und fehlenden Personals leicht zu Sicherheitslücken werden.