Defending Code: eine Referenzimplementierung zum Finden und Patchen von Schwachstellen mit Claude

Für wen es geeignet ist

Dieses Material richtet sich an Menschen, die mit Claude autonome Schwachstellenfindung und das Patchen wollen, besonders Sicherheitsleute, die schon Claude Code nutzen und zuerst eine Referenzimplementierung sehen wollen. Es beruht auf der Zusammenarbeit des Autors mit Sicherheitsteams mehrerer Organisationen. Die passende Seite ist https://www.anthropic.com/glasswing Das Repository positioniert sich als Referenzimplementierung, nicht als Produkt mit zugesicherter Fortschreibung.

Interaktiv stellt es /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize bereit und deckt Orientierung, Scan, Triage und Patchen. Wollen Sie zuerst den Umfang klären und dann entscheiden, ob Sie am Ziel handeln, gehen Sie zuerst /quickstart, nicht einen autonomen Weg, der Zielcode ausführt.

Es passt nicht als weiterhin gepflegtes offizielles Produkt: das Repository sagt, es werde nicht mehr gepflegt und nehme keine Beiträge an. Es passt auch nicht, vuln-pipeline, dnr-pipeline oder /patch auf solche Ergebnisse zu starten, wenn Sie keine isolierte Umgebung vorbereitet haben, weil diese Wege Zielcode ausführen.

Ersten Versuch in 3 Minuten abschließen

Der offizielle Eingang ist: dieses Repository öffnen und in Claude Code /quickstart ausführen, um die Richtung zu lernen. Die Adresse ist https://github.com/anthropics/defending-code-reference-harness Die Notizen geben keinen anderen Installer und keinen Marktplatzbefehl; nicht erfinden.

Voraussetzung: Dieser Rechner kann schon Claude Code ausführen, und Sie öffnen dieses Referenzrepository nur zur schreibgeschützten Orientierung. Der Installationsort ist, jenes Repository als Arbeitsbereich zu öffnen, nicht ein weiteres globales Paket zu installieren. Nach dem Öffnen zuerst bestätigen, dass Slash-Befehle wie /quickstart sichtbar sind.

Risikoarme erste Aufgabe: nur /quickstart ausführen. Das ist interaktive Orientierung zum Klären des Umfangs, kein Scan oder Patch gegen ein externes System. Vor dem Auslösen den Sandbox-Override-Schalter nicht ändern und vuln-pipeline oder dnr-pipeline nicht starten. Erfolgssignal: Claude Code gibt Orientierungsnotizen, und in der Befehlsliste sind /threat-model, /vuln-scan, /triage, /patch, /customize sichtbar.

Wollen Sie nach der Orientierung einen nächsten Schritt, bevorzugen Sie das umkehrbare /threat-model zur Umfangsdiskussion, nicht /patch. Das Repository schreibt nicht, welche Dateien /quickstart ändern würde; genehmigen Sie keine Dateiänderung, bis Sie eine klare Schreibaufforderung sehen.

Anwendungsfälle

Fall 1: Interaktive Orientierung und Bedrohungsmodellierung in Claude Code. Zuerst /quickstart, um die Nutzung des Materials zu verstehen, dann bei Bedarf /threat-model oder /vuln-scan. Die Notizen fassen diese Befehle als interaktive Orientierung, Scan, Triage und Patchen zusammen, schreiben aber keine schrittweisen Parameter. Fehlt ein Befehl, zurück zu https://github.com/anthropics/defending-code-reference-harness und bestätigen, dass das Repository als Arbeitsbereich offen ist.

Fall 2: Den autonomen Entdeckungs- und Patchweg nachvollziehen. Das Repository nennt vuln-pipeline, dnr-pipeline und /patch gegen solche Ergebnisse. Diese Wege führen Zielcode aus und verweigern standardmäßig die Ausführung außerhalb einer gVisor-Sandbox, sofern Sie nicht ausdrücklich überschreiben. Passt zu Menschen, die schon eine isolierte Umgebung haben und studieren wollen, wie die Referenzimplementierung automatisch findet und patched. Die Notizen geben keinen konkreten Override-Befehl und garantieren nicht, dass Ergebnisse live gehen können; nicht starten, bevor die Sandbox bereit ist.

Nutzungsgrenzen

Pflege: Das Repository wird nicht mehr gepflegt und nimmt keine Beiträge an; nur Referenz. Ausführungsrisiko: vuln-pipeline, dnr-pipeline und /patch auf solche Ergebnisse führen Zielcode aus und verlangen standardmäßig eine gVisor-Sandbox. Installationsweg: Offiziell steht nur, das Repository in Claude Code zu öffnen und /quickstart auszuführen; keinen nie verzeichneten Installer nutzen. Prüfbarer Befehlsrahmen: /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize; keine anderen Operationen erfinden. Das Material ist eine Referenzimplementierung; es schreibt nicht, dass es jede Codesprache oder jeden Organisationsprozess weiter anpassen wird.