Anthropic enthüllt Mythos — ein KI-Modell, das Sicherheitslücken in jedem großen Betriebssystem und Browser fand
Claude Mythos — intern unter dem Codenamen „Capybara“ entwickelt und erstmals im März durch ein Datenleck bekannt geworden — markiert eine neue Leistungsklasse oberhalb der bisherigen Opus-Linie. Wie wir in unserer Ausgabe vom 27. März berichteten, hatte ein CMS-Konfigurationsfehler rund 3.000 interne Assets exponiert, darunter Blogpost-Entwürfe, die „überragende Cyber-Fähigkeiten“ beschrieben. Nun ist klar, was damit gemeint war.
In einer kontrollierten Evaluation identifizierte Mythos Preview tausende Zero-Day-Schwachstellen in jedem großen Betriebssystem und jedem großen Webbrowser. Die älteste davon: ein 27 Jahre alter Bug in OpenBSD — einem Betriebssystem, das für seine Sicherheit legendär ist. Besonders alarmierend: Das Modell verkettete autonom vier Schwachstellen zu einem komplexen JIT-Heap-Spray-Exploit, der sowohl Renderer- als auch OS-Sandboxes umging. Es kann 72,4 Prozent der identifizierten Schwachstellen selbständig in funktionierende Exploits überführen — in Stunden, wofür erfahrene Penetrationstester Wochen bräuchten.
Wegen dieser Fähigkeiten wird Mythos nicht öffentlich freigegeben. Stattdessen lanciert Anthropic Project Glasswing: eine Cybersecurity-Initiative mit zwölf Hauptpartnern — darunter Amazon, Apple, Microsoft, Google, NVIDIA, CrowdStrike und die Linux Foundation — sowie rund 40 weiteren Organisationen. Diese erhalten eingeschränkten Zugang zu Mythos Preview, ausschließlich für defensive Sicherheitsarbeit. Die Linux Foundation stellt den Zugang für Open-Source-Maintainer bereit, die ihre Projekte auf bisher unentdeckte Schwachstellen scannen können.
Die Zusammenarbeit mit direkten Konkurrenten — Google, Microsoft (OpenAI-Investor), Amazon — ist bemerkenswert und spiegelt die Dringlichkeit wider: Anthropic warnt intern, dass Mythos „eine kommende Welle von Modellen vorwegnimmt, die Schwachstellen auf eine Weise ausnutzen können, die den Verteidigern weit voraus ist.“ Anthropic befindet sich zudem in Gesprächen mit CISA, der US-Cybersecurity-Behörde. Über 99 Prozent der gefundenen Schwachstellen sind noch ungepatcht — eine koordinierte Offenlegung in diesem Ausmaß ist Neuland. Unsere heutige Reportage beleuchtet die Auswirkungen auf die Cybersecurity-Landschaft.