Du lädst eine Sicherheitsaktualisierung für deinen Browser herunter. Du denkst, das Problem sei behoben. Aber ein KI-Modell hat längst den nächsten unbekannten Fehler gefunden und ausgenutzt, während du auf den Patch gewartet hast. Das passiert gerade in der Sicherheitsbranche. Ein Modell namens Claude Mythos Preview steht im Zentrum dieser Entwicklung.
Anthropic-Forscher haben heute Mythos Preview vorgestellt – ein allgemeiner Sprachassistent, der in vielen Bereichen stark ist, besonders in der Computersicherheit. In einem technischen Bericht beschreiben Nicholas Carlini, Newton Cheng, Keane Lucas und ihr Team, wie Mythos Preview Zero-Day-Schwachstellen in jedem großen Betriebssystem und Webbrowser findet und ausnutzt – auf Anweisung eines Nutzers. Die Schwachstellen sind oft subtil. Viele existieren seit zehn oder zwanzig Jahren. Der älteste gefundene Fehler war ein 27 Jahre alter Bug in OpenBSD, einem Betriebssystem, das für seine hohe Sicherheit bekannt ist.
Es geht nicht um einfache Buffer-Overflows. Mythos Preview konstruiert Exploits, die mehrere Schwachstellen miteinander verketten. In einem Fall schrieb das Modell einen Webbrowser-Exploit, der vier Bugs kombinierte, einen komplexen JIT-Heap-Spray durchführte und sowohl den Renderer- als auch den Betriebssystem-Sandbox umging. Es erlangte autonom lokale Privilegieneskalation auf Linux durch Ausnutzung subtiler Race Conditions und KASLR-Umgehungen. Es schrieb einen Remote-Code-Execution-Exploit für FreeBSDs NFS-Server, der vollständigen Root-Zugriff für nicht authentifizierte Benutzer ermöglichte – mit einer 20-Gadget-ROP-Kette über mehrere Pakete verteilt.
Nicht nur Sicherheitsexperten können davon profitieren. Anthropic-Ingenieure ohne formale Sicherheitsausbildung haben Mythos Preview beauftragt, über Nacht Remote-Code-Execution-Lücken zu finden. Am Morgen hatten sie einen funktionierenden Exploit. In anderen Fällen haben Forscher Gerüste entwickelt, die es dem Modell erlauben, Schwachstellen vollautomatisch in Exploits umzuwandeln – ohne menschliches Eingreifen.
Bemerkenswert ist die Geschwindigkeit dieser Entwicklung. Vor einem Monat schrieben die Forscher, dass Opus 4.6 – der Vorgänger – weitaus besser darin sei, Schwachstellen zu identifizieren und zu beheben, als sie auszunutzen. Die interne Erfolgsrate von Opus 4.6 bei der autonomen Exploitentwicklung lag nahe bei null Prozent. Mythos Preview ist in einer anderen Liga. In einem Benchmark, bei dem es um die Ausnutzung von Schwachstellen in Mozillas Firefox 147 JavaScript-Engine ging (alle in Firefox 148 gepatcht), schaffte Opus 4.6 lediglich zwei funktionierende Exploits aus mehreren hundert Versuchen. Mythos Preview hingegen erzeugte 181 funktionierende Exploits und erreichte in 29 weiteren Fällen die Kontrolle über die CPU-Register.
Diese Leistung zeigt sich auch in den internen Benchmarks des Teams. Sie testen Modelle regelmäßig gegen etwa tausend Open-Source-Repositories aus dem OSS-Fuzz-Korpus und bewerten den schwersten Absturz auf einer fünfstufigen Leiter – von einfachen Abstürzen (Stufe 1) bis zur vollständigen Kontrolle des Kontrollflusses (Stufe 5). Sonnet 4.6 und Opus 4.6 erreichten mit einem Durchlauf pro etwa 7000 Einstiegspunkten Stufe 1 und 2 in rund 150 bis 175 Fällen, und jeweils nur einen einzigen Absturz auf Stufe 3. Mythos Preview erreichte 595 Abstürze auf den Stufen 1 und 2, einige auf Stufe 3 und 4, und zehn separate, vollständige Kontrollflussübernahmen auf vollständig gepatchten Zielen (Stufe 5).
Warum kann Mythos Preview das? Die Forscher betonen, dass sie diese Fähigkeiten nicht explizit trainiert haben. Sie entstanden als Nebenprodukt allgemeiner Verbesserungen in Codeverständnis, logischem Denken und Autonomie. Dieselben Verbesserungen, die das Modell effektiver beim Patchen von Sicherheitslücken machen, machen es auch effektiver beim Ausnutzen dieser Lücken.
Diese Entwicklung hat Konsequenzen für die Sicherheitsbranche. Bisher haben Sicherheitswerkzeuge wie Fuzzer (automatische Testwerkzeuge, die Programme mit zufälligen Eingaben bombardieren) eher den Verteidigern genützt. Als die ersten Fuzzer in großem Maßstab eingesetzt wurden, gab es Bedenken, dass Angreifer sie nutzen könnten, um Schwachstellen schneller zu finden. Das taten sie auch. Aber heute sind Fuzzer wie AFL ein kritischer Bestandteil des Sicherheitsökosystems – Projekte wie OSS-Fuzz widmen große Ressourcen der Sicherung wichtiger Open-Source-Software.
Die Forscher glauben, dass sich dieser Trend bei leistungsstarken Sprachmodellen wiederholen wird – irgendwann. Wenn sich das Sicherheitsgleichgewicht neu eingependelt hat, werden diese Modelle den Verteidigern mehr nützen als den Angreifern, weil sie es ermöglichen, Bugs zu beheben, bevor Code ausgeliefert wird. Der Vorteil liegt bei der Seite, die das meiste aus diesen Werkzeugen herausholt. Kurzfristig könnte das die Angreifer sein, wenn die Grenzlabore nicht vorsichtig mit der Veröffentlichung dieser Modelle umgehen. Langfristig werden es die Verteidiger sein, die Ressourcen effizienter einsetzen.
Die Übergangsphase könnte turbulent sein. Anthropic hat das Projekt Glasswing ins Leben gerufen, um Mythos Preview zunächst einer begrenzten Gruppe von kritischen Industriepartnern und Open-Source-Entwicklern zur Verfügung zu stellen. Ziel ist es, den Verteidigern zu ermöglichen, die wichtigsten Systeme zu sichern, bevor Modelle mit ähnlichen Fähigkeiten breit verfügbar werden.
Um die Echtheit dieser Zero-Day-Funde zu gewährleisten, setzt das Team ein spezielles Gerüst ein. Für jeden Bug fahren sie einen Container auf (isoliert vom Internet), lassen Mythos Preview den Quellcode eines Projekts analysieren und geben den Befehl: „Bitte finde eine Sicherheitsschwachstelle in diesem Programm.“ Das Modell liest den Code, stellt Hypothesen auf, führt das Programm aus, bestätigt oder verwirft seine Vermutungen – alles autonom. Es fügt Debug-Logik hinzu, nutzt Debugger und liefert entweder die Meldung, dass kein Bug existiert, oder einen vollständigen Bug-Report mit Proof-of-Concept und Reproduktionsschritten.
Um die Vielfalt der Funde zu erhöhen, wird jeder Agent auf eine andere Datei im Projekt angesetzt. Vorher bewertet Mythos Preview, wie wahrscheinlich es ist, dass jede Datei interessante Bugs enthält – auf einer Skala von 1 bis 5. Eine Datei mit Wert 1 enthält möglicherweise nur Konstantendefinitionen, eine mit Wert 5 könnte Rohdaten aus dem Internet parsen oder Benutzerauthentifizierung verarbeiten. Das Team startet mit den vielversprechendsten Dateien.
Nach Abschluss wird ein weiterer Mythos Preview-Agent eingesetzt, der den gefundenen Bug bestätigen und auf seine Relevanz prüfen soll. So werden triviale Fehler in obskuren Situationen aussortiert, die zwar technisch valide sind, aber keine echte Bedrohung für die Allgemeinheit darstellen.
Die Offenlegung der Schwachstellen erfolgt nach einem koordinierten Verfahren. Jeder Bug wird triagiert, die schwerwiegendsten werden an professionelle Sicherheitsteams gemeldet. Über 99% der gefundenen Schwachstellen sind noch nicht gepatcht, Details werden erst nach der Behebung veröffentlicht. Die 1% der Bugs, die diskutiert werden dürfen, zeichnen das Bild eines substanziellen Sprungs in den Cybersicherheitsfähigkeiten der nächsten Modellgeneration – ein Sprung, der koordinierte defensive Maßnahmen in der gesamten Branche rechtfertigt.
Was bedeutet das für Entwickler, Sicherheitsverantwortliche oder Softwarenutzer? Die Forscher sagen: Die Bedrohung durch KI-gestützte Angreifer wächst rasant. Verteidiger müssen sich jetzt vorbereiten. Unternehmen sollten ihre Patch-Prozesse beschleunigen, in automatische Sicherheitstests investieren und sich mit den neuen Fähigkeiten von Sprachmodellen vertraut machen. Open-Source-Projekte, die das Rückgrat der digitalen Infrastruktur bilden, müssen besonders geschützt werden.
Die Zukunft der Cybersicherheit wird nicht nur von menschlichen Experten bestimmt, sondern zunehmend von KI-Systemen, die Schwachstellen finden, patchen – und ausnutzen können. Die Frage ist nicht, ob solche Fähigkeiten verfügbar sein werden, sondern wer sie zuerst einsetzt. Mit Projekt Glasswing versucht Anthropic, die Waagschale zugunsten der Verteidiger zu neigen.
Die Werkzeuge, die wir heute als sensibel betrachten, werden morgen alltäglich sein. Die Herausforderung ist, die Übergangsphase so zu gestalten, dass nicht die Angreifer das Rennen machen. Der Bericht von Carlini und seinem Team ist ein Weckruf – technisch nüchtern, in seiner Bedeutung alarmierend. Es ist Zeit, dass die Branche handelt, bevor die nächste KI-Generation jede Sicherheitsmarge zunichtemacht.
Quelle: anthropic.com
