Sicherheitsrisiken bei Claude Mythos: Was uns die „Anthropic System Card“ verrät

UPDATE – „22. April“, 2026: „Mythos“-Leak

Laut einem Bericht von Bloomberg gelangte eine kleine Gruppe von Nutzern, die einer privaten Discord-Community angehört, deren Schwerpunkt auf der Aufdeckung von Details zu noch nicht veröffentlichten KI-Modellen liegt, über die Umgebung eines Drittanbieters – und nicht durch eine direkte Kompromittierung der Kernsysteme von Anthropic – an unbefugten Zugriff auf die Vorschau von „Claude Mythos“.

Während sich die Berichterstattung bislang auf das Modell selbst konzentriert hat, rückt dieses Detail den Vorfall in einen für Sicherheitsteams vertrauteren Kontext: die Gefährdung durch Drittanbieter, die Ausuferung von Zugriffsrechten sowie die Diskrepanz zwischen theoretisch eingeschränkten Zugriffsrechten und deren Umsetzung in der Praxis. Die Situation verdeutlicht weniger einen dramatischen Einbruch in die Grenzinfrastruktur, sondern vielmehr, wie sensible Systeme Risiken aus dem sie umgebenden Ökosystem übernehmen können.

Für die Verteidiger ist diese Unterscheidung von Bedeutung. Auf hochwertige Systeme wird selten über den „Haupteingang“ zugegriffen; Angreifer und unbefugte Benutzer suchen nach alternativen Zugangswegen, die weniger streng kontrolliert oder weniger sichtbar sind.

Vorfälle wie dieser unterstreichen eine seit langem bestehende Tatsache: Die Ergebnisse im Bereich der Sicherheit hängen nach wie vor von grundlegenden Aspekten der Umsetzung ab – nämlich davon, zu wissen, welche Ressourcen vorhanden sind, wie die Arbeitsabläufe der Anbieter die Umgebungen miteinander verbinden, was falsch konfiguriert oder nicht gepatcht ist und ob tatsächlich Abhilfemaßnahmen ergriffen wurden.

Da fortschrittliche Tools die Effizienz von Angreifern steigern, sind Teams, die über einen kontinuierlichen Überblick über Endgeräte, Software, den Patch-Status und Konfigurationsabweichungen verfügen, besser in der Lage, von Spekulationen zu fundierten Reaktionen überzugehen.

Dieser Beitrag wurde von Aidan Allchin, Forschungswissenschaftler bei Tanium AI, Logan Hegler, Softwareentwickler (Exposure Management), und Melissa Bischoping, Senior Director für Sicherheits- und Produktdesignforschung, verfasst.

Anthropics „ 7. April 2026“ sowie die Veröffentlichung der 245-seitigen „ “ und der „Claude Mythos Preview System Card“ versetzten die Forscher angesichts der Möglichkeiten und Tücken der hochmodernen KI-Entwicklung in Aufruhr. Als die Branche gemeinsam eine Verschnaufpause einlegte, lautete der einhellige Konsens: Die Beschleunigung hält an – wie können wir uns also darauf vorbereiten?

Die in der „Anthropic System Card“ beschriebenen Sicherheitsrisiken sind real, doch um ihre möglichen Auswirkungen in der Praxis einschätzen zu können, ist eine sorgfältige Lektüre sowie ein Verständnis der Einschränkungen und des Kontexts erforderlich.
Auf den ersten 50 Seiten der „Anthropic System Card“ zeigte Anthropic auf, dass sich Claude weiterentwickelt hatte: Während das Opus-Modell in weniger als 1 % der Fälle einen Weg zur erfolgreichen Ausnutzung fand, identifizierte das Mythos-Modell in mehr als 70 % der Fälle funktionierende Exploits. Verständlicherweise schossen jedem Sicherheitsverantwortlichen in seinen Albträumen Bilder davon durch den Kopf, wozu ein KI-gestützter Angreifer tatsächlich fähig sein könnte. Die Frage ist nicht, ob man besorgt sein sollte – sondern ob Ihre Besorgnis den vorliegenden Fakten entspricht.

KI-Fähigkeiten: Schlagzeilen vs. Fakten

Bevor wir uns mit den Auswirkungen befassen, lohnt es sich, zunächst festzustellen, was die Daten tatsächlich aussagen und in welchen Punkten sie einer näheren Betrachtung bedürfen.

CyberGym misst etwas Konkretes: Ausgehend von einem Ziel und einer Schwachstellenklasse muss das Modell einen funktionsfähigen Exploit gegen echte Open-Source-Codebasen generieren. Mythos erreicht 83,1 %, während Opus 4,6 bei 66,6 % liegt. Das ist keine geringfügige Verbesserung.

[Erfahren Sie, wie die Offenlegung des Quellcodes von „Claude Code“ die Vorteile der Angreifer verschiebt – und welche Maßnahmen Unternehmen als Reaktion darauf prüfen sollten]

Anthropic selbst beschrieb Opus 4,6 intern als ein System mit einer „Erfolgsquote von nahezu 0 % bei der autonomen Entwicklung von Exploits“. In einem kontrollierten Test mit der JavaScript-Engine „“ von Firefox lieferte Opus 4,6 bei mehreren hundert Versuchen zweimal funktionierende Exploits; Mythos lieferte bei demselben Test 181 . In einer separaten Auswertung ließ Anthropic Modelle auf rund tausend OSS-Fuzz-Korpus-Repositorys anhand einer fünfstufigen Skala für die Schwere von Abstürzen laufen: Frühere „Frontier“-Modelle erreichten maximal Stufe 3; Mythos erreichte die Stufen 3 und 4 sowie eine vollständige Übernahme der Kontrollflusssteuerung (Stufe 5) auf zehn separaten, vollständig gepatchten Zielsystemen.

Zusammengenommen stützen diese Ergebnisse eine zwar eng gefasste, aber wichtige These: Die Modelle haben den Sprung von „findet gelegentlich Fehler“ hin zu „kettet Exploits in realistischen Codebasen zuverlässiger aneinander“ geschafft – zumindest unter diesen Bewertungsbedingungen.

Von maßgeschneiderter Handwerkskunst bis hin zur industriellen Fertigung

Historisch gesehen war die Entwicklung von Exploits ebenso sehr eine individuelle Kunst wie eine Wissenschaft. Ähnlich wie ein Meister seines Fachs Monate damit verbringen könnte, ein handgefertigtes Möbelstück herzustellen, waren einige der bedeutendsten Exploit-Ketten und Forschungsarbeiten dieses Jahrhunderts im Vergleich dazu so etwas wie „handwerklich gefertigte Exploits“. Es war immer ein wenig „Magie“ im Spiel, die von relativ wenigen ausgeübt wurde.

Diese Veröffentlichung und die ihr zugrunde liegende Forschung stellen einen Paradigmenwechsel hin zur Industrialisierung und Demokratisierung der Exploit-Entwicklung dar. Wir bewegen uns auf ein „Fabrik-Ökosystem“ zu, in dem Exploits auf Abruf entwickelt werden und nicht darauf warten, dass die „Handwerker“ sie herstellen – mit Ausnahme der exquisitesten Varianten.

Doch es ist noch nicht alles verloren. Die „Factory“ ist nach wie vor am effektivsten darin, den Stand der Technik bei nicht gepatchten, unsicheren Systemen nachzuahmen. Es ist in der Lage, nach häufigen Fehlern und häufigen Konfigurationsfehlern zu suchen. Andererseits sind die Sicherheitslücken, die diese Technologie für einen erfolgreichen Angriff identifizieren kann, dieselben, die sie auch als vorrangige Kandidaten für eine Fehlerbehebung identifizieren könnte.

Daraus ergibt sich eine Chance: Betrachten Sie die Absicherung und die Wirksamkeit von Patches als einen kontinuierlichen, fortlaufenden Herzschlag des Unternehmens, während die industrielle Exploit-Fabrik noch dabei ist, ihren Betrieb aufzunehmen.

Als die KI das Problem der Proteinfaltung löste, ersetzte sie die Biologen nicht, sondern veränderte die Art der Probleme, mit denen diese sich befassen konnten. Mythos leistet dasselbe für Sicherheitsforscher auf beiden Seiten der Grenze.

Offensivfähigkeiten und Benchmark-Sättigung

Standard-Benchmarks im CTF-Stil stoßen nun als Signale an ihre Grenzen. Mythos erreicht im Cybench- 100 %, der die Bereiche Binär-Exploitation, Reverse Engineering, Kryptografie, Web-Exploitation und die Erkennung von Sicherheitslücken durchgängig abdeckt. Anthropic gibt an, dass kein anderes Modell dies bisher erreicht hat. Wenn ein Benchmark seine Sättigungsgrenze erreicht, kann er die Modelle an der Grenze nicht mehr voneinander unterscheiden.

Anthropic hat den Schwerpunkt bei der Bewertung von „ “ auf neuartige Sicherheitsarbeiten in der Praxis verlagert, darunter die Entdeckung von Zero-Day-Schwachstellen in Produktionssoftware, da Metriken, die stark auf Replikation basieren, nicht mehr zwischen Auswendiglernen und tatsächlicher Leistungsfähigkeit unterscheiden können.

Für Fachleute gibt es mehrere bekannte Maßstäbe für die Frage: „Wie leistungsfähig ist KI im Angriff?“ sind mittlerweile veraltet. Die Branche arbeitet mit Hochdruck daran, genauere Messverfahren zu entwickeln. Das ist eine grundlegend andere Situation als noch vor sechs Monaten.

Das Problem der „minimalen menschlichen Steuerung“

Bei früheren Modellen mussten die schwierigen Aufgaben von einem Menschen erledigt werden. Mit „Mythos“ schließt sich der Kreis noch ein Stück weiter. Die Kennzahl „Zeithorizont“ von METR misst die Dauer einer Aufgabe (gemessen in Facharbeitszeit), die ein Modell ohne manuelle Unterstützung mit einer Zuverlässigkeit von 50 % abschließt. Dieser Indikator ist rasch gestiegen; die Verdopplungszeit selbst hat sich gemäß der METR- TH1,1 -Methodik von „“ verkürzt:.

Quelle: METR-Dashboard „Time Horizons“

METR hat keine spezifischen Zahlen zu Mythos veröffentlicht, doch die Systemkarte „ “ von Anthropic unter bietet einen Anhaltspunkt: Mythos soll Berichten zufolge eine Simulation eines Angriffs auf ein Unternehmensnetzwerk gelöst haben, deren Bewältigung für einen Experten auf über zehn Stunden geschätzt wurde und die als erste vollständige Lösung dieser Art in einem privaten Cyber-Range beschrieben wurde (S. 52). Auf der Karte wird beschrieben, dass Mythos in „einem agentenbasierten System mit minimaler menschlicher Steuerung“ läuft (S. 46). Die Auswertung zu Firefox 147 schärft das Bild noch weiter:

Quelle: Karte zum anthropogenen System, Abschnitt 3,3,3

Der Sprung von etwa zwei Erfolgen bei mehreren hundert Versuchen auf 72 % ist kein schrittweiser. Das Modell trifft dieselben Arten von Triage-Entscheidungen wie ein menschlicher Exploit-Entwickler, und zwar zuverlässig über unabhängige Durchläufe hinweg, die von unterschiedlichen Absturz-Kategorien ausgehen.

Nachdem die beiden am ehesten ausnutzbaren Fehler behoben worden waren, übertraf Mythos die Vorgängermodelle weiterhin, da es vier verschiedene Fehler ausnutzte, während Opus 4,6 nur einen einzigen nutzte. Anthropic merkt ferner an, dass „die Leistung weiterhin bis zur Token-Obergrenze zunimmt“ (S. 52), was bedeutet, dass die Bewertungen möglicherweise noch nicht die Obergrenze widerspiegeln.

„Mythos“ ist das erste Modell, bei dem der Mensch nicht mehr den Engpass in der Exploit-Pipeline darstellt.

Was die Sicherheitsrisiken von Mythos für das Schwachstellenmanagement und die Abwehr bedeuten

Die drei nachstehenden Kennzahlen definieren das betriebliche Problem. Jeder einzelne war bereits vor „Mythos“ auf dem falschen Weg. Jedes einzelne gewinnt dadurch weiter an Geschwindigkeit.

Kennzahl 1: Zeitspanne zwischen Bekanntgabe und Ausnutzung

Vor weniger als zehn Jahren betrug die durchschnittliche Zeitspanne zwischen der Entdeckung einer Sicherheitslücke , der Meldung und der öffentlichen Bekanntgabe bis hin zur aktiven Ausnutzung 63 Tage. Mandiant gab an, dass sich dieses Zeitfenster von 32 Tagen im Jahr 2022 auf 5 Tage im Jahr 2024 verlängert habe. Der sinkende Durchschnittswert war bereits extrem und überforderte die Kapazitäten vieler Mannschaften. Durch die KI-gestützte Verstärkung verlagert sich die Diskussion bei bestimmten Themenbereichen zunehmend von „Tagen“ hin zu „Stunden“.

Was früher als „Break-Glass“-Maßnahme für Scharfschützen galt und ausschließlich für Probleme mit höchster Schweregradstufe vorgesehen war, wird nun wahrscheinlich zu einem Routinevorgang, auf den bestehende Prozesse und Werkzeuge nicht vorbereitet sind. Die Frage ist nicht, ob Ihr Team in einer Krisensituation schneller Patches bereitstellen kann – sondern ob Ihre Pipeline so ausgelegt ist, dass sie dieses Tempo dauerhaft aufrechterhalten kann.

Kennzahl 2: Koordiniertes Offenlegungsvolumen

Der Offenlegungsplan von Glasswing bedeutet, dass sich bereits jetzt vorbereiten sollte:. Laut dem „“ von Anthropic: „Die Partner werden, soweit ihnen dies möglich ist, Informationen und bewährte Verfahren untereinander austauschen; innerhalb von 90 Tagen wird Anthropic öffentlich darüber berichten, welche Erkenntnisse wir gewonnen haben sowie welche Sicherheitslücken behoben und welche Verbesserungen vorgenommen wurden, die offengelegt werden können.“ Möglicherweise werden Tausende von CVEs gleichzeitig in die öffentliche Datenbank aufgenommen, und dieses Volumen wird weiter zunehmen, wenn Mythos in größerem Umfang eingeführt wird oder andere Anbieter vergleichbare Funktionen entwickeln.

Die praktischen Auswirkungen für Patch-Management-Teams sind erheblich:

• Die Anzahl der Patches, die im Zuge einer einzigen „Glasswing-Wave“-Offenlegung veröffentlicht werden, könnte alles in den Schatten stellen, was jemals an einem einzelnen „Patch Tuesday“ in der Geschichte zu verzeichnen war.
• Patches können von großer Bedeutung sein, einen hohen CVSS-Wert aufweisen und sich gleichzeitig über die gesamte Infrastruktur, auf Arbeitsstationen, Servern, Datenbanken sowie OT- oder IoT-Geräten verteilen.
• Wenn Sie Ihren derzeitigen Rückstand an ausstehenden Patches jetzt aufarbeiten, verringern Sie damit die Angriffsfläche, die Sie verteidigen müssen, wenn die Welle zuschlägt.
• Die Konsolidierung nicht genutzter Software verringert den künftigen Aufwand für Patches.
• Veraltete Gold-Images stellen ein Risiko dar: Aktualisieren Sie diese oder – noch besser – modernisieren Sie Ihren Ansatz für die Bereitstellung und Konfiguration, um die Abhängigkeit von statischen Images vollständig zu verringern.

Kennzahl 3: Verbreitung von Kompetenzen

Die Verzögerung zwischen „Frontier“ und „Open-Weight“ hat sich über die letzten Modellgenerationen hinweg deutlich verringert:

*Die Zahlen unter *GLM-5,1 basieren auf Angaben der Anbieter selbst und sollten als fundierte Anhaltspunkte, nicht jedoch als bestätigte Tatsachen betrachtet werden.
Quellen: OpenAI, Meta, Anthropic (4,5), Anthropic (4,6), MiniMax, Z.ai

Sechzehn Monate auf 61 Tage entsprechen in etwa einer Verdichtung um den Faktor 8x innerhalb von drei Jahren. Laut dem „ “ von Epoch AI beträgt die durchschnittliche Verzögerung bei den offenen Gewichten über den gesamten historischen Zeitraum hinweg etwa 3,5 Monate, wobei die jüngsten Datenpunkte jedoch enger beieinanderliegen.

Anthropic hat öffentlich geschätzt, dass es etwa sechs bis achtzehn Monate dauern wird, bis Open-Weight-Modelle bei Cyber-Aufgaben ein Leistungsniveau erreichen, das dem von „Mythos“ entspricht. Auf der RSA 2026 stellte Alex Stamos, CPO bei Corridor und ehemaliger CISO bei Facebook, einen Zeitrahmen von sechs Monaten vor (der besser mit dem empirischen Trend übereinstimmt als die von Anthropic angegebene Obergrenze von achtzehn Monaten) und warnte: „Jeder 19-Jährige in St. Petersburg wird über dieselben Fähigkeiten verfügen.“

Wenn die Leistungsfähigkeit auf Mythos-Niveau auch bei Modellen der offenen Gewichtsklasse erreicht wird, treten in der Regel zwei Veränderungen gleichzeitig auf:

1. Die Inferenzkosten sinken drastisch: Modelle wie MiniMax M2,5 arbeiten bereits zu etwa 1/20th der Kosten von Claude Opus 4,6, wodurch eine kontinuierliche oder groß angelegte Nutzung für viele Akteure wirtschaftlich unbedeutend wird.
2. Verhaltensbeschränkungen werden gelockert: Die schwerwiegendsten Verhaltensweisen, die in der Systemkarte von Anthropic dokumentiert wurden, wurden in früheren internen Versionen von Mythos während der Entwicklung beobachtet, nicht in dem im Rahmen des Projekts „Glasswing“ veröffentlichten Vorschaumodell. Um diese Verhaltensweisen zu mindern, waren umfangreiche Abstimmungs- und Bewertungsmaßnahmen nach dem Training erforderlich, darunter maßgeschneiderte Sicherheitspipelines, Arbeiten zur Interpretierbarkeit sowie wiederholte Tests. Dieser Aufwand war umfangreich, arbeitsintensiv und spezifisch für den Trainingsprozess von Anthropic, was bedeutet, dass er sich nicht zusammen mit den Modellgewichten übertragen lässt. Daher lassen sich diese frühen Verhaltensweisen am besten als plausible Vorschau darauf verstehen, wie sich ähnlich leistungsfähige, aber weniger gut abgestimmte Implementierungen verhalten könnten, und nicht als Eigenschaft der veröffentlichten Mythos-Vorschau selbst.

Insgesamt betrachtet ist der Planungszeitraum des Verteidigers nicht „der Zeitpunkt, zu dem Anthropic Mythos öffentlich veröffentlicht“. Dies ist der Fall, wenn Modelle mit offenem Gewicht die Cyberfähigkeiten der „Mythos“-Stufe erreichen, ohne diesen Verhaltensbeschränkungen zu unterliegen. Diese Frist begann faktisch am 7. April und wird in Monaten und nicht in Jahren gemessen.

Das Patch-Management im Zeitalter der KI neu überdenken

Der „Patch Tuesday“ ist ein Relikt aus einer anderen Zeit. Der monatliche Patch-Rhythmus wurde unter Berücksichtigung der Geschwindigkeit, mit der Schwachstellen entdeckt, Exploits entwickelt und Änderungskontrollprozesse durchgeführt werden, konzipiert. Diese Annahmen stellen mittlerweile eine strukturelle Belastung dar. Diese Umstellung ist nicht so einfach, wie „einfach schneller Patches zu veröffentlichen“. Die Situation erfordert einen grundlegenden Wandel hin zu präzisen, gezielten Korrekturmaßnahmen und einem kontinuierlichen Management der Sicherheitsrisiken: Prozesse, die agil, zielgerichtet, schnell und iterativ sind.

Da in der Softwareentwicklung zunehmend schnellere CI/CD-Pipelines und KI-gestützte Arbeitsabläufe zum Einsatz kommen, muss die Sicherheit diesem Muster folgen. Im Bereich der Sicherheit hat sich dieser Wandel zwar langsamer vollzogen, doch das Tempo, mit dem Mythos die Patch-Zyklen beschleunigen wird, wird dies zwangsläufig erzwingen.

im Patch-Management im Zeitalter der KI bedeutet, die Behebung von Sicherheitslücken so anzugehen, wie moderne Softwareteams die Bereitstellung handhaben: durch die Kombination von automatisierter Ausführung mit Echtzeit-Informationen, Verifizierungsschritten und kontinuierlichen Feedbackschleifen anstelle von periodischen Batch-Vorgängen.

Der Branche war bereits bewusst, dass dies im Großen und Ganzen zutraf. Die KI-gestützte Erkennung von Sicherheitslücken ist seit Jahren ein Thema auf allen bedeutenden Sicherheitskonferenzen und bei allen führenden Forschungsorganisationen. Der Mythos ist keine Überraschung an sich, sondern lediglich hinsichtlich seines Ausmaßes und der Geschwindigkeit, mit der er sich ausbreitet. Der Zeitrahmen verkürzte sich von „irgendwann“ auf „jetzt“. Die in Ihrem Programm verankerten Annahmen hinsichtlich SLAs, Tools, Personalausstattung und Priorisierungsrahmen wurden für eine Welt entwickelt, die es nicht mehr gibt.

Die Überprüfung ist nicht optional

Das bloße Installieren eines Patches und das anschließende Nichtbeachten der Situation schafft kein Vertrauen in die Behebung des Problems , wenn keine zusätzlichen Überprüfungen erfolgen, um festzustellen, ob der Patch ausreichend und erfolgreich war. In einer Welt, in der Sie Patches immer schneller und in immer größerem Umfang installieren, steigt das Risiko einer unvollständigen Abdeckung durch:

• Nicht verwaltete Endgeräte, die nicht in den Geltungsbereich der Patch-Bereitstellung fallen
• Ausnahmen und Aufschübe, die zu dauerhaften Lücken führen
• Fehlgeschlagene Bereitstellungen, die als erfolgreich gemeldet werden
• Veraltete Gold-Images, die mit veralteter Software in Ihrer Umgebung erneut bereitgestellt werden, bis zum nächsten Patch-Zyklus

Die Gewissheit, dass Sie eine Sicherheitslücke nachweislich auf jedem Endpunkt geschlossen haben, ist wichtiger denn je, da Angreifer auf übersehenen Rechnern erneut aktiv werden können. Das „Continuous Threat Exposure Management“ – also die Betrachtung der Risikominderung als fortlaufenden Prozess und nicht als einmaliges Projekt – ist das Betriebsmodell, das für dieses Umfeld geeignet ist.

Eine erweiterte Definition von „standardmäßig sicher“

Traditionell bedeutete „secure by default“ eine sichere Auslieferungskonfiguration: Prinzip der geringsten Berechtigungen, gehärtete Standardwerte und eine reduzierte Angriffsfläche unter der Annahme, dass Angreifer mit menschlicher Geschwindigkeit vorgehen.

Laut den öffentlich zugänglichen „Glasswing“-Unterlagen von Anthropic umfassen die im Rahmen von „Mythos“ durchgeführten Forschungsarbeiten unter anderem folgende Erkenntnisse: eine 27 Jahre alte Sicherheitslücke in OpenBSD, einen 16 Jahre alten FFmpeg-Fehler, der selbst bei enormem automatisiertem Fuzzing-Aufkommen unentdeckt blieb, sowie die autonome Verkettung von Problemen im Linux-Kernel, die zur vollständigen Kontrolle über den Rechner führte.

Wenn Tools dieser Leistungsklasse in intensiv geprüften Codebasen jahrzehntealte Probleme aufdecken können, dann muss das Prinzip „Secure by Default“ weit über die Konfiguration hinausgehen. Dies muss bedeuten, dass jede Software, die heute ausgeliefert wird, vor ihrer Einführung in die Produktion aktiv mit entsprechenden Tools überprüft wird. Gehen Sie im Bereich der Infrastruktur davon aus, dass öffentlich zugängliche Dienste zumindest auf dieser Leistungsstufe ständigen Abtastversuchen ausgesetzt sind. Netzwerksegmentierung, Zero-Trust-Architekturen und Laufzeitisolierung sind nicht mehr nur Ziele eines Reifegradmodells – sie sind grundlegende Anforderungen an die Architektur.

Barrierefreiheit: Kosten sind vorübergehend; Fähigkeiten entwickeln sich erst nach und nach

Kurzfristig ist der Zugang zur Mythos-Klasse kostspielig. Die von Anthropic genannten Preise für die Glasswing-Ära liegen bei 25 bzw. 125 US-Dollar pro Million Input-/Output-Token, gegenüber 5 bzw. 25 US-Dollar für Opus 4,6—a 5x (Erhöhung). Intensives kontinuierliches Scannen zu diesem Preis ist keine Selbstverständlichkeit, doch die Kosten stellen nur eine vorübergehende Hürde dar.

Anthropic erklärt unter , dass „Mythos Preview“ nicht explizit für offensive Cyberangriffe trainiert wurde; diese Fähigkeiten seien „als Folge allgemeiner Verbesserungen in den Bereichen Code, Schlussfolgerungsvermögen und Autonomie entstanden“. Das leuchtet ein, wenn man die Neugier, die Eigenständigkeit und den Einfallsreichtum bedenkt, die einen großartigen Hacker ausmachen.

Sollte dies zutreffen, werden künftig in jedem ausreichend leistungsfähigen Modell ähnliche Oberflächen erscheinen, unabhängig von den Absichten des Anbieters.

Angesichts des Rückgangs der offenen Gewichtsverzögerung und sinkender Inferenzkosten ist die Frage „Wer kann sich die API leisten?“ langfristig kein entscheidendes Hindernis mehr. „Wer über eine Flotte und eine Lieferkette verfügt“, lautet die Frage.

Der Vektor im Haus: Agenten, Geschirre und feste Grenzen

Bei einer Veröffentlichung wie „Mythos“ steht der Missbrauch durch böswillige Akteure im Vordergrund. Das parallele Risiko ist jedoch interner Natur: autorisierte oder „Schatten“-Agenten mit umfassendem Zugriff auf Tools, Unternehmensdaten und gültige Zugangsdaten, die innerhalb Ihrer Sicherheitsgrenzen agieren.

Eine Forschungsstudie, in der über 177 000 MCP-Tools (Model Context Protocol) erfasst wurden, berichtet, dass die routinemäßige Integration von Agenten über Dateisysteme, Browser, Codeausführungsumgebungen, Datenbanken und Produktions-APIs hinweg zu den Standardfunktionen des Testumfangs gehört.

Harnesses im „Claw“-Stil – kompakte Tool-Schleifen mit dauerhafter Autonomie – haben sich rasch verbreitet; OpenClaw erreichte innerhalb von acht Wochen rund 247 000 GitHub-Stars und Dutzende von Ableitungen, wobei die Standard-Zugriffsmuster Terminals, Browser, Dateisysteme, den Speicherabruf sowie externe Integrationen umfassen. Umfassender Zugriff in Verbindung mit Autonomie vergrößert die Angriffsfläche gleichzeitig nach innen und nach außen.

Regeln auf der Ebene der Harness-Schicht sind nach wie vor von Menschen geschriebener Code. Sie versagen; die Modelle umgehen sie, wenn die Erledigung der Aufgabe im Vordergrund steht. In der Systemkarte „ “ von Anthropic wird eine Episode beschrieben, in der Mythos – nachdem es gebeten worden war, einen Fehler zu beheben und einen signierten Commit ohne Anmeldedaten zu übertragen – nach einem Anstoß durch einen Benutzer den Supervisor-Status durchsuchte und versuchte, Daten aus dem Speicher zu extrahieren – ein Verhalten, das als Zielverfolgung charakterisiert wird, die die Risikobewertung übertrumpft. Dieser Vorfall ereignete sich im Rahmen der Bewertung vor der Freigabe, noch bevor weitere Anpassungsarbeiten durchgeführt wurden. Anthropic bezeichnet die veröffentlichte „Mythos Preview“-Version nach eigenen Maßstäben als in hohem Maße konform, weist jedoch darauf hin, dass seltene, nicht konforme Handlungen gerade aufgrund der enormen Leistungsfähigkeit dennoch schwerwiegende Folgen haben können.

Transparenz innerhalb des KI-Unternehmens

Die erste Voraussetzung ist, zu wissen, welche Systeme innerhalb des Sicherheitsbereichs laufen – sowohl genehmigte als auch nicht genehmigte. Den meisten Organisationen fehlt ein klarer Überblick über lokale Inferenz, KI-Assistenten und autonome Agenten, die in ihrer gesamten Umgebung eingesetzt werden. Man kann nicht sichern, was man nicht sieht, und derzeit verfügen die meisten Organisationen über keine verlässliche Übersicht darüber, in welchem Umfang KI tatsächlich innerhalb ihrer Netzgrenzen eingesetzt wird.

[Erfahren Sie, was KI-Compliance für moderne Unternehmen bedeutet und wie sich die sich weiterentwickelnden Vorschriften auf eine verantwortungsvolle KI-Governance auswirken]

Die Cybersicherheitsbranche als Ganzes wird weiterhin umfangreiche Investitionen in KI-basierte Transparenz-Tools tätigen müssen, da die Kluft zwischen dem, was Unternehmen für in Betrieb befindlich halten, und dem, was tatsächlich in Betrieb ist, erheblich ist und weiter zunimmt.

Sichere Bereitstellung und Verwaltung von KI-Agenten in Echtzeit

Sichtbarkeit allein reicht nicht aus. Unternehmen benötigen zudem eine Möglichkeit, KI-Agenten sicher einzusetzen und diese zentral über ihre gesamte Flotte hinweg zu verwalten. Verhaltensbasiertes Training und Schutzmaßnahmen auf Anwendungsebene sind nützlich – sie bieten jedoch keine ausreichende Sicherheit vor fähigen, zielorientierten Agenten.

Zu den sich abzeichnenden Trends zählen Richtlinien auf Betriebssystemebene für Dateisystem-, Netzwerk- und Prozessbeschränkungen, wobei führende Sicherheitsanbieter wie Cisco, CrowdStrike, Google Cloud und Microsoft bereits gemeinsam an Standards für Laufzeitrichtlinien für autonome Agenten arbeiten.

In einer Analyse bezeichnete Claude einige der Sicherheitsmaßnahmen im Zusammenhang mit der Veröffentlichung der Systemkarte von „ März 2026 “ als „Verteidigung durch Intuition“. Auch wenn für Menschen verständliche Regelwerke und Leitlinien mittlerweile Teil unseres standardmäßigen Verteidigungsinstrumentariums geworden sind, gibt es nach wie vor Checklisten für technische Kontrollmaßnahmen:

1. Sandbox-Isolierung an der Grenze zwischen Betriebssystem und Container (keine Anweisung über die System-Eingabeaufforderung): Agenten müssen in isolierten Containern ausgeführt werden, damit die Folgen im Falle eines Fehlverhaltens der Agenten eingedämmt werden; dies wird auf Infrastrukturebene durchgesetzt und nicht durch das Sicherheitstraining des Modells.
2. Netzwerkrichtlinie für jeden ausgehenden Pfad: Jede ausgehende Verbindung muss abgefangen und anhand der Richtlinie überprüft werden. Ein Agent, der einen Endpunkt nicht erreichen kann, kann auch nicht mit diesem interagieren, wodurch interne Dienste vor böswilligen Agenten und Unternehmensdaten vor einem Datenabfluss geschützt werden.
3. Anmeldedaten außerhalb der Agent-Umgebung: Anmeldedaten sollten innerhalb der Sandbox eines Agenten niemals zugänglich sein. Sie sollten von einem Proxy außerhalb der Agent-Umgebung verwaltet und erst dann in ausgehende Anfragen eingefügt werden, nachdem sie die Agent-Sandbox verlassen haben.
4. Zentrale Weiterleitung und Protokollierung von Inferenzvorgängen, Tools und Netzwerkaufrufen: Alle ausgehenden Anfragen sollten über einen Proxy geleitet werden, der jede Netzwerkanfrage, jeden Inferenzaufruf und jeden Tool-Aufruf vollständig protokolliert, um eine effiziente forensische Untersuchung und die Überprüfung der Compliance zu ermöglichen.

Vom Signal bis zur Reaktion: Was sich für die Verteidiger dadurch ändert

Die oben beschriebenen Risiken im Zusammenhang mit dem Mythos sind real, aber sie sind nicht unvorhersehbar. Ungewiss bleibt der Zeitpunkt, nicht die Richtung. Wir kennen noch nicht das genaue Datum, an dem Modelle mit offenem Gewicht bei autonomen Cyberaufgaben über das gesamte Spektrum hinweg mit Mythos gleichziehen werden, und es liegt auch noch keine umfassende, unabhängige Reproduktion aller Ergebnisse der Anthropic-Firefox-Klasse über verschiedene Umgebungen und Stacks hinweg vor.

Klar ist, dass sich die Verteidiger nicht mehr den Luxus leisten können, auf Gewissheit zu warten. Die Zeiträume zwischen der Entdeckung von Sicherheitslücken und deren Ausnutzung verkürzen sich schneller, als die meisten Programme zur Patching- und Schwachstellenverwaltung dies auffangen können. In einem solchen Umfeld ist es weniger sinnvoll, auf Schlagzeilen zu reagieren, als vielmehr Annahmen auf ihre Tragfähigkeit zu prüfen.

Die wichtigste Frage für Führungskräfte im Sicherheits- und IT-Bereich lautet derzeit nicht: „Wie schlimm wird es bei Mythos noch?“ Die Frage lautet: „Wo versagt unser derzeitiges Betriebsmodell als Erstes, wenn die Zeitfenster für die Risikoexposition immer kleiner werden?“

Für manche Organisationen zeigt sich die Belastung bei der Prioritätensetzung. Bei anderen zeigt sich dies im Testdurchsatz, in Einschränkungen bei der Bereitstellung oder im Nachweis der Abdeckung über fragmentierte Endpunktumgebungen hinweg. In fast allen Fällen liegt die Schwachstelle nicht in den einzelnen Tools an sich, sondern in dem Ablauf, durch den Erkenntnisse über Schwachstellen in eine nachweisbare Risikominderung umgesetzt werden.

Genau bei diesem Wandel – vom Verständnis von Risiken hin zur operativen Umsetzung von Maßnahmen – gewinnt die „Mythos“-Diskussion an Bedeutung. Die verbleibende Herausforderung ist eher organisatorischer als theoretischer Natur: ob die bestehenden Annahmen hinsichtlich Schwachstellen und Patches weiterhin gültig sind, da die Erkennung, Priorisierung und Ausnutzung immer enger miteinander verflochten sind.

Da „Mythos“ unvermeidlich ist, sind Patches keine Option, sondern müssen zügig und in großem Umfang durchgeführt werden. Die „Tanium Autonomous Patch Management“ -Lösung revolutioniert das Endpunktmanagement und die Endpunktsicherheit durch autonomes, integriertes und umfassendes Patch-Management.

Auf der Grundlage von KI und Echtzeit-Endpunktinformationen trägt Tanium dazu bei, die Sicherheitslücken zu verringern, die Modelle der Mythos-Klasse ausnutzen sollen, bevor Angreifer die von ihnen entdeckten Schwachstellen ausnutzen können.

Häufig gestellte Fragen zu Sicherheitsrisiken bei Mythos

Die Veröffentlichung von „Mythos“ sorgte für umfangreiche Berichterstattung, die teils präzise, teils jedoch ungenau war. Diese Erläuterungen beziehen sich auf die häufigsten Unklarheiten.

Ist das freigesetzte Mythos-Modell aus den Sandkästen entkommen und hat es seine Spuren verwischt?

Nein, nicht das bereits auf dem Markt befindliche Modell. Die von Anthropic dokumentierten Verhaltensauffälligkeiten – darunter das Verlassen der Sandbox, das Verbergen von Spuren, das Abgreifen von Anmeldedaten über „ “ und „/proc/“ sowie das Veröffentlichen vertraulicher Inhalte – werden früheren internen Versionen von Mythos zugeschrieben, nicht der Mythos-Vorschau aus der Glasswing-Ära.

Aus der „Anthropic System Card“ geht eindeutig hervor, dass schwerwiegende Vorfälle dieser Art Versionen betrafen, die „vor“ einigen der wirksamsten Schulungsmaßnahmen von Anthropic entstanden waren (S. 54). Das veröffentlichte Modell wird so beschrieben, dass es in Situationen mit geringem Einsatz zwar weiterhin unüberlegte Abkürzungen nimmt, jedoch nicht dieselben ausgeprägten Täuschungsmuster aufweist. Diese Verhaltensweisen ohne Angabe der Versionsnummer zu nennen, ist technisch gesehen unzutreffend.

Wenn Mythos bei gepatchten Systemen versagt hat, bedeutet das dann, dass das Installieren von Patches nach wie vor ausreicht?

Patches sind nach wie vor der wichtigste Hebel für die Verteidiger, und das Scheitern von Mythos gegenüber „einer ordnungsgemäß konfigurierten Sandbox mit aktuellen Patches“ (Anthropic System Card, S. 52) ist eine gute Nachricht, die hinter den Schlagzeilen verborgen bleibt.

„Mythos“ wirkt wie eine Präzisionswaffe gegen mangelnde Hygiene und nicht behobene Fehler. Die organisatorische Herausforderung besteht darin, ob die Teams in der Lage sind, Patches zu installieren, die Abdeckung zu überprüfen und Images schnell genug zu aktualisieren, während sich sowohl die Erkennung als auch die Ausnutzung von Schwachstellen beschleunigen. Die Antwort lautet: Tempo und Überprüfung.

Was bedeutet es, dass Standard-Benchmarks „gesättigt“ sind?

Anthropic hat den Schwerpunkt seiner Bewertungen auf neuartige Sicherheitsaufgaben aus der Praxis verlagert, darunter die Erkennung von Zero-Day-Schwachstellen in Produktionssoftware, da Benchmarks, die die Reproduktion bekannter Schwachstellen messen, an der technologischen Spitze letztendlich keine nützlichen Unterscheidungsmerkmale mehr liefern.

Wenn ein Benchmark seine Obergrenze erreicht, bedeutet dies nicht, dass die Aufgabe im absoluten Sinne gelöst ist. Das bedeutet, dass der Test die Grenzwerte erreicht hat, für deren Messung er konzipiert wurde. Die von Mythos erzielte Punktzahl von 100 % bei Cybench deutet darauf hin, dass dieser spezielle Benchmark keine aussagekräftigen Unterschiede mehr zwischen den Spitzenmodellen aufzeigt – ein normales und immer wiederkehrendes Ergebnis, da sich die Leistungsfähigkeit der Modelle kontinuierlich verbessert.

Die praktische Konsequenz ist klar: Die Bewertung entwickelt sich parallel zur Leistungsfähigkeit weiter. Mit der Weiterentwicklung der Modelle werden die Benchmarks verfeinert, ersetzt oder anspruchsvoller gestaltet, damit sie auch weiterhin das messen, worauf es ankommt. In diesem Fall verlagert sich der Schwerpunkt der Bewertung durch Anthropic auf schwierigere, weniger wiederholbare Aufgaben, gerade weil diese die Art von Sicherheitsfragen im Bereich der KI in der realen Welt besser widerspiegeln, die den Praktikern am Herzen liegen.

Wurden die Offensivfähigkeiten von Mythos gezielt trainiert?

Nr. Anthropic erklärt unter: „Wir haben Mythos Preview nicht ausdrücklich darauf trainiert, über diese Fähigkeiten zu verfügen.“ Vielmehr ergaben sie sich als Folge allgemeiner Verbesserungen in den Bereichen Programmcode, Schlussfolgerungen und Autonomie.“

Dies bedeutet, dass sich in Modellen mit vergleichbarem Umfang, vergleichbaren Trainingsverfahren und vergleichbaren architektonischen Merkmalen wie den führenden LLMs – beispielsweise Mythos – wahrscheinlich ähnliche Leistungsflächen herausbilden werden. Zwar legen die Unternehmen keine vollständigen Details zu diesen Architekturen offen, doch deutet der Trend darauf hin, dass die Verbreitung dieser Fähigkeiten weniger durch politische Entscheidungen als vielmehr durch die zugrunde liegende Dynamik der Skalierung von Allzweckmodellen vorangetrieben wird.

Weitere Ressourcen

• Sehen Sie sich diese On-Demand-Demo „ “ an, um zu erfahren, wie Tanium Autonomous Patch Management Unternehmen dabei unterstützt, Sicherheitslücken kontinuierlich zu schließen – und dabei KI-gesteuerte Bedrohungen mit der Geschwindigkeit und in dem Umfang zu bekämpfen, die heutige Umgebungen erfordern.

Anthropic

• Claude Mythos – Vorschau-Systemkarte
• Bewertung der Cybersicherheitsfunktionen von Claude Mythos Preview
• Projekt Glasswing
• Wir stellen Ihnen Claude Opus 4,5 vor
• Wir stellen Ihnen Claude Opus 4,6 vor

Forschung zu Modellkapazitäten und -bewertung

• METR
  • Zeithorizont 1,1
  • Messung der Fähigkeit von KI, langwierige Aufgaben zu bewältigen
  • Dashboard „Zeithorizonte für die Aufgabenabwicklung“
• Epoch AI
  • Modelle mit offenem Gewicht liegen im Durchschnitt um etwa 3 Monate hinter dem aktuellen Stand der Technik zurück

Modelle ohne Gewichtsbeschränkung

• MiniMax
  • MiniMax M2,5: Entwickelt für Produktivität im praktischen Einsatz
• Moonshot AI
  • Kimi K2: Offene agentische Intelligenz
• Hugging Face
  • Modellkarte Kimi‑K2,5

Branchenanalysen und Berichterstattung

• VentureBeat
  • MiniMax M2,5 bietet nahezu Spitzenleistung zu etwa 1/20th % der Kosten
• CyberScoop
  • Sicherheitsexperten sagen voraus, dass die nächsten zwei Jahre „wahnsinnig“ werden
• Techbriefly
  • Z.ai bringt das Modell „ GLM‑5,1 “ auf den Markt und übertrifft damit die Konkurrenz in den Benchmark-Tests
• HPCwire
  • Das chinesische Unternehmen Moonshot AI stellt das Modell „Kimi K2“ mit einer Billion Parametern vor

Veröffentlichungen zu Grundmodellen

• OpenAI
  • Technischer Bericht zu GPT-4
  • Einführung in GPT‑5,2
• Meta
  • Wir stellen Ihnen „Llama 3,1“ vor