Wie Claude Mythos die IT-Sicherheit verändert

Geleakte Details zu Claude Mythos sorgten schon vorab für Furore – nun wird die Preview-Version des Frontier-Modells von namhaften Organisationen getestet.Anthropic | Screenshot



KI-Riese Anthropic hat „Project Glasswing“ vorgestellt. Im Rahmen der Initiative sollen ausgewählte Organisationen Zugriff auf die Preview-Version von Claude Mythos erhalten.



Erste Details zu dem neuen, Security-fokussierten KI-Modell waren bereits durch einen Leak bekanntgeworden. So soll Claude Mythos (unter anderem) Software-Schwachstellen in großem Umfang autonom identifizieren können. Die durchgesickerten Informationen zu dem Foundation-Modell schickten die Aktien großer Cybersecurity-Unternehmen auf Tauchstation.



Wie gut Anthropics neue Security-KI tatsächlich ist, dürfen die im Konsortium vertretenen Unternehmen und Organisationen nun selbst austesten. Zum erlesenen Kreis gehören unter anderem:




Microsoft,



Amazon Web Services,



Google,



Nvidia,



Apple,



Cisco,



Broadcom,



die Linux Foundation,



Crowdstrike, sowie



Palo Alto Networks.




Laut Anthropic besteht das Ziel der Initiative darin, die Fähigkeiten von Claude Mythos in einem kontrollierten, defensiven Umfeld einzusetzen. In diesem Rahmen sollen die teilnehmenden Organisationen die Sicherheit populärer Software- und Infrastrukturlösungen testen und optimieren.




Introducing Project Glasswing: an urgent initiative to help secure the world’s most critical software.It’s powered by our newest frontier model, Claude Mythos Preview, which can find software vulnerabilities better than all but the most skilled humans.https://t.co/NQ7IfEtYk7— Anthropic (@AnthropicAI) April 7, 2026




Security-Backlog vor dem Aus?



Diese Entscheidung hat Anthropic nicht ohne Grund getroffen: In der ersten, frühen Testphase war Claude Mythos laut dem KI-Anbieter in der Lage, tausende schwerwiegende Schwachstellen in Betriebssystemen, Browsern und anderer weit verbreiteter Software zu identifizieren. Einige dieser Lücken waren demnach trotz umfangreicher vorheriger Reviews unentdeckt geblieben – etwa eine Vulnerability im quelloffenen Betriebssystem OpenBSD. Diese konnte sich offenbar ganze 27 Jahre lang unentdeckt halten.



Auch wenn sich einige dieser Aussagen derzeit nur schwer unabhängig überprüfen lassen: Der Trend ist unverkennbar. Die Vulnerability Discovery wird zunehmend automatisiert – und skalierbar. Dieser Wandel wirft Fragen auf. Etwa darüber, wie Security-Tasks organisiert und wertgeschätzt werden. Für Jeff Williams, Gründer von OWASP und CTO von Contrast Security, beginnt die Umwälzung bei wirtschaftlichen Aspekten: „Sobald fortschrittliche KI in der Lage ist, groß angelegtes Bug Hunting zu betreiben, bricht die Logik, Menschen für routinemäßige Discovery-Aufgaben zu bezahlen, zusammen.“



Allerdings gehe dieser Wandel weit über Bug-Bounty-Programme hinaus, wie der OWASP-Experte erklärt: „Diese Entwicklung untergräbt die Vorstellung, dass Security eine nachträgliche ‚Find and Fix‘-Maßnahme bleiben kann. Die Ära des Security-Backlog sieht damit ihrem wohlverdienten Ende entgegen.“



Traditionelles Schwachstellenmanagement fußt auf Priorisierung: Probleme werden nach Schweregrad, Exploitability sowie potenziellem Business Impact kategorisiert und anschließend sukzessive behoben. Der limitierende Faktor liegt dabei laut Williams jedoch nicht mehr darin, wie gut Unternehmen priorisieren: „Claude Mythos macht eines schmerzlich deutlich: Priorisierung ist nicht das Problem, sondern wie Schwachstellen gemanagt werden – sprich das Zeitfenster der Exposure.“



Deshalb rät er Unternehmen dringend, sowohl ihre Tools als auch ihre Annahmen darüber weiterzuentwickeln, wie schnell sich sicherheitsrelevante Bedingungen ändern können.



Gleichzeitig bleibt die Frage offen, wie schnell sich die neuen KI-Fähigkeiten verbreiten werden. Schließlich könnte sich Claude Mythos in den falschen Händen auch dazu nutzen lassen, Schwachstellen schneller auszunutzen. Dass es dazu kommen wird, daran hat OWASP-Experte Williams wenig Zweifel: „Es ist höchst fraglich, ob Anthropic in der Lage sein wird, der schadhaften Nutzung von Claude Mythos einen Riegel vorzuschieben.“



Auch Claudia Plattner, Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI) hat sich inzwischen zur “Causa Claude Mythos” geäußert. Das BSI nehme Anthropics Ankündigung sehr ernst und erwarte diesbezüglich Umwälzungen im Umgang mit Sicherheitslücken und der Schwachstellenlandschaft insgesamt, so Plattner. Konsequent zu Ende gedacht, könne es mittelfristig dazu kommen, dass klassische, unbekannte Software-Schwachstellen künftig wegfielen. Das würde laut der BSI-Chefin zu einer Verschiebung bei den Angriffsvektoren und einem Paradigmenwechsel mit Blick auf die Cyberbedrohungslage führen. Allerdings, so Plattner, stelle sich die Frage, ob und wenn ja wie lange derart wirkmächtige Tools auf dem freien Markt verfügbar sein werden: “Daraus ergeben sich wiederum Fragen für die europäische Sicherheit und Souveränität”, wird die BSI-Chefin zitiert.



Für „Project Glasswing“ stellt Anthropic Modell-Credits in Höhe von insgesamt 100 Millionen Dollar bereit. Allerdings erwartet der KI-Anbieter im Rahmen der Research Preview zusätzliche Investitionen von den teilnehmenden Organisationen. (fm)