Schnelle Entdeckung von Software-Schwachstellen durch KI und die Herausforderungen bei der Behebung

Die rapide Entwicklung von künstlicher Intelligenz (KI) hat weitreichende Auswirkungen auf zahlreiche Branchen, wobei der Bereich der Cybersicherheit eine besonders dynamische Transformation erlebt. Anthropic, ein führendes KI-Forschungsunternehmen, hat mit seinem jüngsten Projekt, der "Claude Mythos Preview", eine beachtliche Fähigkeit zur Aufdeckung von Software-Schwachstellen demonstriert. Die Ergebnisse, die im Rahmen des "Project Glasswing" erzielt wurden, werfen jedoch auch kritische Fragen hinsichtlich der menschlichen Kapazitäten zur Behebung dieser Mängel auf.

KI-gestützte Schwachstellenanalyse: Eine neue Ära der Cybersicherheit

Anthropic, bekannt für seine fortschrittlichen KI-Modelle, hat vor Kurzem die ersten Erkenntnisse aus dem "Project Glasswing" veröffentlicht. Dieses Projekt nutzt das noch unveröffentlichte KI-Modell Claude Mythos Preview, um kritische Software auf Sicherheitslücken zu überprüfen. Die Ergebnisse sind bemerkenswert: Innerhalb eines Monats wurden in Zusammenarbeit mit rund 50 Partnerorganisationen über 10.000 Schwachstellen mit hoher oder kritischer Priorität in systemrelevanten Softwareprodukten identifiziert.

Die Leistungsfähigkeit von Claude Mythos Preview

Das Claude Mythos Preview-Modell stellt einen signifikanten Fortschritt in der Fähigkeit von KI-Modellen dar, Code zu analysieren, logische Fehler zu erkennen und potenzielle Sicherheitsrisiken zu identifizieren. Laut Anthropic hat das Modell in internen Tests und bei Partnern eine Präzision gezeigt, die menschliche Tester übertrifft. Beispielsweise hat Cloudflare, einer der Partner, rund 2.000 Fehler gemeldet, von denen 400 als hoch oder kritisch eingestuft wurden. Die Fehlerrate von Cloudflare wurde dabei als geringer als die menschlicher Tester beschrieben. Mozilla entdeckte und behob 271 Schwachstellen in Firefox 150, was mehr als dem Zehnfachen der Funde mit dem Vorgängermodell Claude Opus 4.6 in Firefox 148 entspricht. Diese Zahlen unterstreichen die exponentielle Steigerung der Erkennungsfähigkeiten durch KI.

Extern bestätigte Ergebnisse

Die Ergebnisse werden durch externe Bewertungen untermauert. Das britische AI Security Institute hat bestätigt, dass Claude Mythos Preview das erste Modell ist, das beide hauseigenen Cyber-Range-Simulationen – die komplexe, mehrstufige Cyberangriffe simulieren – vollständig lösen konnte. Die unabhängige Sicherheitsplattform XBOW bezeichnete das Modell als einen "signifikanten Fortschritt gegenüber allen bestehenden Modellen" und hob seine "beispiellose Präzision" hervor. Claude Mythos Preview belegt zudem Spitzenpositionen in akademischen Benchmarks wie ExploitBench und ExploitGym, die die Fähigkeiten von KI im Bereich der Exploit-Entwicklung messen.

Die Herausforderung der Behebung: Menschliche Kapazitäten am Limit

Während die KI-Modelle die Entdeckung von Schwachstellen revolutionieren, zeigt sich eine wachsende Diskrepanz zwischen der Geschwindigkeit der Fehlerfindung und der Fähigkeit, diese zu beheben. Anthropic weist darauf hin, dass der Fortschritt in der Softwaresicherheit nicht länger durch die Entdeckung neuer Schwachstellen begrenzt ist, sondern durch die Geschwindigkeit, mit der diese verifiziert, offengelegt und gepatcht werden können.

Der Engpass in Open-Source-Projekten

Ein besonders deutliches Bild dieser Herausforderung zeigt sich in der Analyse von Open-Source-Software. Anthropic hat über 1.000 Open-Source-Projekte mit Claude Mythos Preview gescannt und dabei schätzungsweise 6.202 Schwachstellen mit hoher oder kritischer Priorität aus insgesamt 23.019 gefunden. Eine unabhängige Überprüfung von 1.752 dieser schwerwiegenden Fehler ergab eine Trefferquote von 90,6 % als echte Schwachstellen, von denen 62,4 % als tatsächlich hoch oder kritisch eingestuft wurden. Basierend auf diesen Raten schätzt Anthropic, dass Mythos Preview fast 3.900 bestätigte hoch- oder kritische Schwachstellen in Open-Source-Code aufgedeckt hat.

Die Realität der Behebung ist jedoch ernüchternd. Von den bisher an Maintainer gemeldeten 530 schwerwiegenden Fehlern wurden lediglich 75 gepatcht und 65 öffentlich bekannt gemacht. Der durchschnittliche Zeitaufwand für die Behebung eines hoch- oder kritischen Fehlers beträgt etwa zwei Wochen. Einige Open-Source-Maintainer haben Anthropic sogar gebeten, die Offenlegung neuer Schwachstellen zu verlangsamen, da sie mehr Zeit für die Entwicklung von Patches benötigen. Dies verdeutlicht, dass die menschlichen Kapazitäten und Ressourcen in vielen Fällen überlastet sind, insbesondere da Maintainer bereits mit einer Flut von qualitativ minderwertigen, KI-generierten Fehlerberichten konfrontiert sind.

Implikationen für die Industrie

Die Auswirkungen dieser Entwicklung sind bereits spürbar. Unternehmen wie Palo Alto Networks mussten die fünffache Menge an Patches in ihrer letzten Veröffentlichung ausliefern. Microsoft hat angekündigt, dass die Zahl der neuen Patches "auf absehbare Zeit weiter ansteigen" wird, und Oracle behebt Fehler in seinen Produkten und Cloud-Diensten um ein Vielfaches schneller als zuvor. Dies deutet auf eine branchenweite Anpassung an die neue Geschwindigkeit der Schwachstellenfindung hin.

Eine gefährliche Übergangsphase und notwendige Anpassungen

Anthropic warnt vor einer "gefährlichen Übergangsphase", in der KI-Modelle wie Claude Mythos Preview Schwachstellen viel schneller finden, als Organisationen sie beheben können. Diese Lücke schafft neue Risiken, da die Zeit und Kosten für die Entdeckung und Ausnutzung von Schwachstellen drastisch sinken. Das Unternehmen betont, dass derzeit kein Unternehmen, einschließlich Anthropic selbst, über ausreichende Schutzmaßnahmen verfügt, um den Missbrauch solcher Modelle zu verhindern und schwerwiegende Schäden abzuwenden.

Empfehlungen für Softwareentwickler und Netzwerkverteidiger

Um diesen Risiken zu begegnen, empfiehlt Anthropic dringend, dass Softwareentwickler ihre Patch-Zyklen verkürzen und Updates so einfach wie möglich für die Benutzer bereitstellen sollten. Netzwerkverteidiger sollten sich auf grundlegende, aber effektive Sicherheitsmaßnahmen konzentrieren, wie z.B. Multi-Faktor-Authentifizierung, gehärtete Konfigurationen und umfassende Protokollierung.

Langfristig sollen diese Modelle Entwicklern helfen, sicherere Software zu erstellen, indem Fehler bereits vor der Veröffentlichung des Codes entdeckt werden. In der Zwischenzeit ist jedoch eine schnelle Anpassung der bestehenden Sicherheitsprozesse unerlässlich.

Die Zukunft von Claude Mythos

Trotz der beeindruckenden Fähigkeiten hält Anthropic das Claude Mythos Preview-Modell der Öffentlichkeit noch vor. Dies geschieht aus der Überzeugung, dass die notwendigen Schutzmechanismen gegen Missbrauch noch nicht ausreichend entwickelt sind. Das Unternehmen plant jedoch, das Modell in Zukunft breiter zugänglich zu machen, sobald diese Schutzmaßnahmen implementiert sind. Die fortgesetzte Zusammenarbeit mit Partnern, einschließlich Regierungen, ist ein wichtiger Schritt in diese Richtung.

Die Ära, in der die Entdeckung von Schwachstellen der limitierende Faktor war, neigt sich dem Ende zu. Die neue Herausforderung liegt in der Geschwindigkeit und Effizienz der Behebung. Unternehmen und Entwickler sind nun gefordert, ihre Prozesse anzupassen, um mit der rasanten Entwicklung der KI Schritt zu halten und die digitale Infrastruktur weiterhin sicher zu halten.

Bibliographie

• Anthropic. (2026, 22. Mai). Project Glasswing: An initial update. Verfügbar unter: https://www.anthropic.com/research/glasswing-initial-update
• Anthropic. (2026, 22. Mai). Anthropic advises software developers to shorten patch cycles in the wake of Claude Mythos vulnerability discovery. techAU. Verfügbar unter: https://techau.com.au/anthropic-advises-software-developers-to-shorten-patch-cycles-in-the-wake-of-claude-mythos-vulnerability-discovery/
• The Indian Express. (2026, 23. Mai). Anthropic says Claude Mythos found 10,000 major software flaws in a month. Verfügbar unter: https://indianexpress.com/article/technology/artificial-intelligence/anthropic-claude-mythos-security-bugs-10703971/
• Engadget. (2026, 23. Mai). Anthropic Says Mythos Has Already Found More Than 10,000 Vulnerabilities. Verfügbar unter: https://www.engadget.com/2180028/anthropic-claude-mythos-preview-project-glasswing-update/
• International Business Times. (2026, 23. Mai). Anthropic's Claude Mythos Preview Uncovers 10,000+ High-Risk Software Vulnerabilities With 50 Partners. Verfügbar unter: https://www.ibtimes.sg/anthropics-claude-mythos-preview-uncovers-10000-high-risk-software-vulnerabilities-50-partners-86807
• IEEE Spectrum. (2026, 27. April). Claude Mythos Preview Exposes Hidden Code Flaws Fast. Verfügbar unter: https://spectrum.ieee.org/anthropic-claude-mythos-preview-code
• Martin Cid Magazine. (2026, 23. Mai). Claude found 10,000 critical bugs in a month — humans are now the bottleneck. Verfügbar unter: https://www.martincid.com/technology-sv/anthropic-claude-mythos-10000-vulns-2/
• LinkedIn Pulse. (2026, 23. Mai). Anthropic's AI Found Thousands of Software Flaws. Fixing Them Is Another Matter. Verfügbar unter: https://www.linkedin.com/pulse/anthropics-ai-found-thousands-software-flaws-fixing-them-machado-oaicc
• Singularity Moments. (2026, 23. Mai). Claude Mythos Preview is finding bugs faster than we can patch them. Verfügbar unter: http://singularitymoments.com/content/claude-mythos-preview-is-finding-bugs-faster-than-we-can-patch-them/
• XDA Developers. (2026, 16. April). Claude Mythos can exploit decades-old vulnerabilities, but Anthropic is keeping it locked down. Verfügbar unter: https://www.xda-developers.com/claude-mythos-can-exploit-decades-old-vulnerabilities-but-anthropic-is-keeping-it-locked-down/