- Claude Mythos Preview hat Tausende kritischer Fehler in grundlegender Software aufgedeckt und damit die Erkennungsfähigkeiten von Menschen und herkömmlichen Werkzeugen weit übertroffen.
- Project Glasswing ist ein geschlossenes Bündnis von 50 Technologie- und Finanzgiganten, die diese KI nutzen, um Sicherheitslücken zu schließen, bevor sie ausgenutzt werden können.
- Das Modell unterliegt aufgrund seines ASL-4-Risikolevels weiterhin kontrolliertem Zugriff, da es die Fähigkeit besitzt, selbstständig funktionale Exploits zu generieren.
Stellen Sie sich vor, die Software, die dem Internet zugrunde liegt – von den Browsern, mit denen Sie dies lesen, bis hin zu den Betriebssystemen der leistungsstärksten Server –, hätte unsichtbare Sicherheitslücken, die jahrzehntelang unbemerkt geblieben sind. Nun hat Anthropic mit einem Tool einen Durchbruch erzielt , das diese Sicherheitslücken nicht nur aufspürt, sondern sie auch präzise ausnutzt. Dies zwingt die gesamte Branche, ihre Datenschutzstrategien grundlegend zu überdenken.
Es geht hier nicht um ein einfaches Update einer Chat-App, sondern um einen kompletten Paradigmenwechsel. Mit dem Start von Project Glasswing hat sich das Unternehmen für einen proaktiven, defensiven Ansatz entschieden und die Schwergewichte der Technologie- und Finanzbranche zusammengebracht, um die globale Codebasis zu bereinigen, bevor jemand mit böswilligen Absichten dieselbe Technologie missbrauchen kann, um digitales Chaos zu stiften.
Der Drahtzieher der Operation: Claude Mythos Vorschau
Die eigentliche Triebkraft hinter diesem Projekt ist Claude Mythos Preview , ein KI-Modell, das seine Vorgänger in puncto Sicherheitsanalyse in den Schatten stellt. Anders als kommerzielle Modelle verfügt Mythos über ein tiefgreifendes Denkvermögen, das es ihm ermöglicht, Tausende von Zero-Day-Schwachstellen zu identifizieren – Sicherheitslücken, die selbst den ursprünglichen Entwicklern unbekannt waren.
Was dieses Modell so leistungsstark macht, ist seine Fähigkeit, Schwachstellen zu verketten . In der Praxis nutzt ein Hacker in der Regel nicht nur eine einzelne Sicherheitslücke, sondern kombiniert mehrere kleinere Schwachstellen, um vollen Zugriff zu erlangen. Mythos kann ableiten, wie diese einzelnen Teile miteinander verknüpft werden, und – noch beeindruckender – es ist in der Lage, Testcode zu schreiben und auszuführen, um zu beweisen, dass die Schwachstelle real und ausnutzbar ist. Dadurch werden die vielen Fehlalarme eliminiert, die Cybersicherheitsanalysten und ihre Tools so oft frustrieren.
Figuren, die einem die Haare zu Berge stehen lassen
Wer glaubte, ausgereifte Software sei sicher, dem werden die Daten von Glasswing schlaflose Nächte bereiten. Innerhalb von nur 30 Tagen entdeckten die Programmpartner über 10.000 schwerwiegende oder kritische Sicherheitslücken. Allein Cloudflare, bereits ein führendes Unternehmen im Bereich IT-Sicherheit, fand 2.000 Fehler in seinen eigenen Systemen, davon 400 kritische . Dies zeigt, dass selbst die bestvorbereiteten Unternehmen nicht vor Fehlern gefeit sind.
Die Situation bei Open Source ist noch alarmierender. Anthropic analysierte rund 1.000 für das Netzwerk essenzielle Projekte und fand über 23.000 potenzielle Schwachstellen, von denen 6.202 als kritisch eingestuft wurden . Zum Vergleich: Das Modell entdeckte eine 27 Jahre lang unentdeckte Schwachstelle in OpenBSD sowie 16 bzw. 17 Jahre alte Fehler in FFmpeg und FreeBSD. Software, die unzählige Audits bestanden hat und dennoch eine Sicherheitslücke aufweist.
Warum können wir Mythos nicht zu Hause verwenden?
Sie fragen sich wahrscheinlich, warum Anthropic dieses Modell nicht öffentlich zugänglich macht. Die Antwort ist einfach: Es ist zu gefährlich. Mythos wurde intern als ASL-4 (KI-Sicherheitsstufe 4) eingestuft , was bedeutet, dass es katastrophale Schäden anrichten kann, wenn es in die falschen Hände gerät. Ein Modell, das einen Fehler mit solch hoher Präzision findet, kann im Handumdrehen die perfekte Sicherheitslücke für Angriffe auf kritische Infrastrukturen generieren.
Der Zugang ist daher auf einen geschlossenen Kreis von 50 ausgewählten Organisationen beschränkt , darunter Giganten wie Microsoft, Google, Apple, Amazon und JPMorgan Chase. Die Idee ist, dass diese Unternehmen KI nutzen, um die Software massenhaft zu patchen , bevor Angreifer eigene Tools auf Basis ähnlicher Modelle entwickeln können. Es ist im Grunde ein Wettrüsten, bei dem Anthropic den Guten die Oberhand verschaffen will.
Lehren für den Sektor und die Zukunft der Entwicklung
Diese Implementierung verdeutlicht, dass Sicherheit nicht länger vernachlässigt werden darf. Cloudflare hat darauf hingewiesen, dass der Einsatz von KI-Agenten eine sehr spezifische Testumgebung erfordert; es genügt nicht, das Modell einfach nur „nach Fehlern suchen“ zu lassen. Stattdessen müssen Aufgaben segmentiert und eine adversarielle Überprüfung (ein zweiter Agent, der die Ergebnisse des ersten infrage stellt) eingesetzt werden, um zu verhindern, dass die KI Informationen fälscht.
Zudem hat sich ein besorgniserregender Engpass in der menschlichen Arbeitskraft herausgebildet: KI findet Fehler schneller, als Programmierer sie beheben können. Obwohl Mythos Tausende von Fehlern erkennt, ist der Prozess der Priorisierung, Meldung und Behebung von Sicherheitslücken weiterhin von überlasteten Mitarbeitern abhängig. Dies hat einige Unternehmen dazu veranlasst, ihre Reaktionszeiten (SLAs) auf bis zu zwei Stunden nach Veröffentlichung einer CVE zu verkürzen , obwohl dies das Risiko birgt, Patches ohne ausreichende Regressionstests zu veröffentlichen.
Um dem entgegenzuwirken, hat Anthropic Claude Security als Betaversion für Unternehmenskunden und das Cyber-Verifizierungsprogramm eingeführt, das es seriösen Fachleuten ermöglicht, die Modelle ohne die üblichen Einschränkungen zu nutzen. Zudem hat das Unternehmen Millionen von Dollar an Stiftungen wie die Linux Foundation und Apache gespendet, um Open-Source-Entwickler bei der Bewältigung der Flut an Sicherheitsmeldungen zu unterstützen.
Tatsächlich sind die Kosten für die Aufdeckung von Sicherheitslücken drastisch gesunken, und das Zeitfenster zwischen Entdeckung und Ausnutzung ist kürzer denn je. Der Erfolg von Project Glasswing beweist, dass Transparenz und branchenübergreifende Zusammenarbeit die einzige Überlebenschance in diesem neuen Ökosystem bieten – unter der Voraussetzung, dass KI heute das wichtigste Werkzeug sowohl für Angriffe als auch für die Verteidigung globaler digitaler Infrastrukturen ist.
