Capital One öffnet den Quellcode seines Sicherheitstools VulnHunter. Das Unternehmen hatte die Software intern entwickelt und stellt sie nun öffentlich als Open Source bereit. Im Mittelpunkt steht ein KI-gestützter Ansatz, der Schwachstellen im Quellcode aufspüren und deren Behebung unterstützen soll.

Nach Darstellung von Capital One handelt es sich nicht um einen herkömmlichen, passiven Schwachstellenscanner. Vielmehr solle VulnHunter „potenziell ausnutzbare Defekte erkennen, voraussichtliche Angriffspfade abbilden und hochgradig gezielte Code-Korrekturen vorschlagen“. Das Unternehmen spricht von einem Wechsel bei Abwehrwerkzeugen hin zu einem agentischen Ablauf mit eigenständiger Schlussfolgerung.

Chris Nims, Executive Vice President und Chief Information Security Officer von Capital One, erklärte in einem LinkedIn-Beitrag, das Tool sei mit einem entwicklerzentrierten Ansatz entworfen worden. Ziel sei es gewesen, ein großes Problem der Branche anzugehen: eine Flut an Fehlalarmen, die Reibung verursache und tägliche Arbeitsabläufe verlangsame.

Verfügbar ist VulnHunter auf GitHub. Dort finden sich laut Capital One neben dem Code auch eine Schnellstartanleitung, Architekturdokumentation und Beispiel-Workflows. Diese sollen veranschaulichen, wie das Tool Code-Pfade nachverfolgt und Korrekturvorschläge erzeugt. Aktuell benötigen Nutzer dafür Zugang zu Claude Opus 4.8 sowie zu einer funktionsfähigen Claude-Code-Umgebung.

Die Begründung für die Open-Source-Veröffentlichung liefert Capital One mit Blick auf die Abhängigkeiten moderner Software-Lieferketten. „Moderne Software-Lieferketten sind eng miteinander verflochten. Eine einzige Schwachstelle in einer weit verbreiteten Open-Source-Komponente kann sich gleichzeitig auf Tausende Unternehmen auswirken“, so das Unternehmen. Deshalb werde VulnHunter als Open Source freigegeben, weil keine einzelne Organisation diese Herausforderung allein lösen könne.

Capital One argumentiert weiter, dass Abwehrwerkzeuge für diese Realität ebenso breit verteilt, getestet und verbessert werden müssten wie die Codebasen, die sie schützen sollen. Nach eigenen Angaben hat das Unternehmen VulnHunter bereits intern eingesetzt und damit Schwachstellen in Tausenden Repositories über Dutzende Geschäftsbereiche hinweg schnell und effizient identifiziert und behoben.

Der Schritt ist damit vor allem eine Produkt- und Werkzeugveröffentlichung: ein intern genutztes System zur Schwachstellenanalyse, das nun öffentlich zugänglich ist und sich an Entwickler- und Sicherheitsteams richtet, die Codefehler priorisieren und gezielt beheben wollen.