Die auffälligste Einzelbehauptung betrifft CVE-2026-32190, eine als kritisch eingestufte Office-Schwachstelle. 360 zufolge identifizierte sie ein KI-Agent innerhalb weniger Minuten, nachdem die Lücke zuvor angeblich rund acht Jahre lang unentdeckt geblieben war. Zudem reklamiert die Firma eine Windows-Kernel-Schwachstelle (CVE-2026-24293) für sich — allerdings schreibt Microsoft diese Entdeckung Forschern aus Taiwan und Südkorea zu, was Zweifel an den Angaben von 360 aufkommen lässt.

Benincasa mahnt zur Vorsicht: Auch wenn die KI-Fähigkeiten von 360 beachtlich erscheinen, reichten sie bislang nicht an die für Claude Mythos beschriebenen Schlussfolgerungsfähigkeiten heran. Als treffenderen Vergleich nennt der Experte Googles Big Sleep, das einzelne Phasen der Schwachstellenforschung beschleunigt, statt als vollständig autonomer Agent zu arbeiten.

Entscheidender als jeder technische Vergleich könnten nach Einschätzung von Benincasa jedoch andere Faktoren sein. Die chinesische Gesetzgebung verpflichtet private Unternehmen und Forscher, Schwachstellen an staatliche Stellen zu melden, bevor sie öffentlich gemacht werden — wodurch hochkarätige Sicherheitsforschung faktisch in die staatlichen Geheimdienstkanäle geleitet wird. Das verschaffe China einen Vorteil gegenüber den USA, Europa und anderen demokratischen Staaten, so Benincasa.

Den Hintergrund bilden die Angaben rund um Claude Mythos selbst. Anthropics Geschäftsführer hat die Ansicht geäußert, dass quelloffene Modelle und chinesische Entwickler innerhalb von 6 bis 12 Monaten eine Leistung auf Mythos-Niveau erreichen könnten — eine Einschätzung, die auch Forscher des Cloud-Sicherheitsunternehmens Wiz teilen. Die Behauptungen von 360 fielen in die Wochen rund um die Vorstellung von Claude Mythos.

Über Anthropics eigene Angaben hinaus berichtete Mozilla, die KI habe geholfen, mehr als 270 Firefox-Schwachstellen zu finden, und Palo Alto Networks meldete einen deutlichen Zuwachs bei der Schwachstellensuche. Andere wiesen allerdings darauf hin, dass Anthropic bislang nur einige Dutzend öffentliche CVEs zugeschrieben werden und lediglich eine einzige speziell dem Project Glasswing.