VulnHunter: Capital One veröffentlicht agentischen Security-Scanner als Open Source auf Basis von Claude-Code-Skills

Am 16. Juli 2026 hat Capital One VulnHunter veröffentlicht, einen agentischen Security-Scanner unter Apache-2.0-Lizenz. Das System wird als Satz komponierbarer Claude-Code-Skills ausgeliefert, läuft auf Claude Opus und erreichte am 18. Juli 2026 die Version v0.1.0 auf GitHub, nach interner Validierung über Tausende Repositories aus Dutzenden Geschäftsbereichen.

Capital One ist eine Fortune-100-Bank, die unter einigen der strengsten Software-Governance-Regime der Branche operiert. Dieser Kontext macht das Release auf Architekturebene bedeutsam: Eine stark regulierte Institution hat agentische Sicherheitsanalyse vom Experiment in die Produktion gebracht und das funktionierende System anschließend als offenen Code publiziert. Das Repository github.com/capitalone/vulnhunter sammelte innerhalb weniger Tage 539 Stars und 71 Forks, und das Release löste einen aktiven technischen Thread auf Hacker News aus. Das Projekt kam komplett mit Installationsskript, Headless-Agent und Benchmarking-Harness an, Signale eines internen Werkzeugs, das für den externen Einsatz verpackt wurde, weit entfernt von einer Forschungsdemo. Für Engineering-Leader liegt der Wert teils im Scanner selbst und vor allem im Deployment-Muster, das er dokumentiert.

Was ausgeliefert wurde: drei Skills, eine Falsifizierungs-Pipeline, ein Headless-Agent für CI/CD

VulnHunter besteht aus drei komponierbaren Claude-Code-Skills. /vulnhunt übernimmt die Jagdphase: Er kartiert die für Angreifer erreichbaren Einstiegspunkte, APIs, Netzwerknachrichten, Datei-Uploads, und verfolgt die Ausführung vorwärts durch die Anwendungslogik bis zu gefährlichen Sinks. /vulnhunter-fix übernimmt die Remediation mit testgetriebenen Codeänderungen, Exploit-Demonstrationen und Pull-Request-Erstellung über die GitHub-CLI. /vulnhunt-fix-verify schließt den Kreis mit einer unabhängigen Validierung, die strikt lesend arbeitet: Bash-Ausführung und Netzwerkzugriff sind per Design deaktiviert. Die vollständige Design-Begründung steht in der offiziellen Engineering-Ankündigung.

Zwei Architekturentscheidungen definieren das System. Die erste ist die Falsifizierungs-Engine: Bevor ein Finding einen Entwickler erreicht, versucht die Pipeline aktiv, es zu widerlegen, sie sucht nach fehlerhaften Annahmen, Logiklücken oder vorhandenen Sicherheitskontrollen, die den Angriffspfad blockieren würden. Findings, die die Falsifizierung überstehen, kommen mit einer Beweiskette, die den kompletten Exploit-Pfad vom Einstiegspunkt bis zur Auswirkung abbildet. Die zweite ist die Attacker-First-Vorwärtsanalyse, die die Sink-First-Konvention klassischer statischer Analyse umkehrt: Statt von gefährlichen Funktionsaufrufen rückwärts zu arbeiten, simuliert der Agent einen Angreifer, der von extern erreichbaren Oberflächen startet und vorwärts denkt, so, wie ein menschlicher Red-Teamer eine Codebasis liest.

Das Repository enthält zudem Produktions-Infrastruktur. vulnhunter-agent/ ist eine Headless-Laufzeit für CI/CD-Pipelines, die automatisch GitHub-Issues anlegt; harness/ liefert Batch-Werkzeuge, um Repository-Listen im großen Maßstab über die Anthropic-API zu scannen. Die Voraussetzungen sind konkret: die Claude-Code-CLI mit Opus-Zugang, Python 3.12+, Git und die GitHub-CLI für den Fix-Workflow. Die Codebasis besteht zu 98,9 % aus Python, und die README erklärt offen, dass das Framework von mehrstufigem Reasoning der Frontier-Klasse abhängt: Die Skills sind für Modelle der Opus-Klasse innerhalb von Claude Code gebaut und optimiert.

Die Installation folgt dem Skill-Modell von Claude Code: Repository klonen, Installationsskript ausführen, das die Skills nach ~/.claude/skills/ kopiert, Claude Code mit dem Opus-Modell starten und /vulnhunt gegen ein autorisiertes Ziel aufrufen. Die Distribution als Skill ist ein Schlüsselpunkt: Die Sicherheitslogik lebt in versionierten Paketen aus Prompts und Werkzeugen, Zeile für Zeile lesbar, eine Eigenschaft, die Regulatoren und interne Risikoteams schätzen werden.

Die Architektur-Implikation: Agenten-Output ist Material für Falsifizierung

Die tiefste Idee in VulnHunter ist eine Sicherheitshaltung gegenüber dem Agenten selbst. Scanner auf Basis großer Modelle haben Teams historisch mit spekulativen Findings überschwemmt; die Antwort von Capital One ist strukturell: Finder, Fixer und Verifier werden in getrennte Rollen aufgeteilt, der Verifier bekommt eine harte Sandbox, Dateizugriff im Lesemodus, null Shell, null Netzwerk, und jede Behauptung muss einen adversarialen Falsifizierungs-Durchlauf überstehen, bevor ein Mensch sie sieht. Das ist Separation of Duties, aus den Finanzkontrollen in die Agentenarchitektur übertragen. Teams, die interne Agenten für risikoreiche Workflows bauen, Code-Review, Infrastrukturänderungen, Datenzugriff, können dieses Drei-Rollen-Muster direkt übernehmen, und es trägt weit über Security-Scanning hinaus.

Das Release markiert außerdem einen Referenzpunkt für die Adoption in regulierten Branchen. Eine Bank, die Produktionswerkzeuge auf Basis eines kommerziellen Coding-Agenten veröffentlicht, beantwortet im Code eine Frage, die Compliance-Teams seit zwei Jahren stellen: die Fähigkeit agentischer Systeme, innerhalb audit-tauglicher Change-Management-Prozesse zu operieren. Offene Fragen bleiben, und dieses Desk benennt sie. Die Dokumentation lässt Falsch-Positiv-Benchmarks und Genauigkeitszahlen aus; die Validierungsaussage, Tausende Repositories, Dutzende Geschäftsbereiche, kommt frei von publizierter Methodik. Reasoning der Opus-Klasse hat reale Kosten pro Scan, die die README offen lässt. Das Projekt ist explizit Dual-Use: Dieselbe Vorwärtsanalyse, die Exploit-Pfade für Verteidiger findet, beschreibt sie für Angreifer, Capital One empfiehlt die Anmeldung im Cyber Verification Program von Anthropic plus eine explizite Autorisierung für jede gescannte Codebasis.

Die Entscheidung für die Engineering-Führung

Fahren Sie ein begrenztes, messbares Pilotprojekt vor jeder Plattform-Entscheidung. Wählen Sie zwanzig Repositories mit bekannten historischen Findings, lassen Sie /vulnhunt dreißig Tage parallel zur bestehenden SAST-Baseline laufen, Semgrep, CodeQL oder der kommerzielle Scanner im Einsatz, und verfolgen Sie drei Zahlen: bestätigte Exploit-Pfade, die die Baseline übersehen hat, die Überlebensrate der Roh-Findings in der Falsifizierung und die Triage-Minuten pro gemeldetem Finding. Nehmen Sie die API-Ausgaben pro Repository in den Bericht auf, denn die Ökonomie des Scannings der Opus-Klasse entscheidet zwischen Ausführung bei jedem Commit und wöchentlicher Kadenz. Entscheiden Sie auf Basis dieser Daten.

Übernehmen Sie parallel das Muster, unabhängig vom Produkt: Finder, Fixer und lesender Verifier als getrennte Agenten mit getrennten Privilegien, plus Falsifizierung als verpflichtendes Gate, bevor Agenten-Output Menschen erreicht. Capital One hat einen funktionierenden Bauplan für verantwortliche Agentenarchitektur in einer regulierten Umgebung publiziert, das Nützlichste, was eine Engineering-Führung dieses Quartal tun kann, ist, ihn am eigenen Stack zu messen.