Dass eine Bank ein Offensive‑Security‑Tool unter Apache 2.0 veröffentlicht, hat niemand erwartet. Aber VulnHunter (Capital One) ist genau das: ein agentisches KI‑Tool, das Ihren Quellcode so liest, wie ein Angreifer es tun würde, nicht wie ein Linter.
Was es eigentlich ist
Kein weiterer SAST‑Scanner, der Ihnen Muster‑Matches aufdrängt. VulnHunter beginnt an echten Einstiegspunkten — APIs, Dateiuploads, Netzwerknachrichten — und schlussfolgert vorwärts durch Ihre Anwendungslogik, um zu prüfen, ob ein Fehler tatsächlich erreichbar ist. Es ist ein Agent, der auf Claude Opus 4.8 innerhalb einer Claude Code‑Umgebung läuft.
Warum es beobachtenswert ist
Der Trick liegt im Falsifizierungs‑Engine. Nachdem es eine Schwachstelle gefunden hat, versucht es, sich selbst zu widerlegen — es sucht nach fehlerhaften Annahmen und Lücken im Exploit‑Pfad. Nur Erkenntnisse, die bestehen bleiben, werden gemeldet, mit einem abgebildeten Angriffsweg und einem gezielten Patch. Das stoppt die Flut an Fehlalarmen, die Menschen dazu bringt, Sicherheitstools zu ignorieren. Capital One hat es bereits intern über tausende Repositories hinweg eingesetzt.