Das KI-gesteuerte Vulnerability-Scanning wird zur neuen Normalität in der Cybersicherheit — mit unerwarteten Konsequenzen. Anthropic setzt mit seinem Mythos-Modell einen Maßstab, der die gesamte Sicherheitsbranche unter Druck setzt.
Bislang haben externe Sicherheitsfirmen 1.726 der 23.000 entdeckten Lücken überprüft und bestätigt. Anthropics eigene Schätzungen deuten darauf hin, dass letztendlich etwa 3.900 kritische und hochgradige Schwachstellen verifiziert werden könnten — möglicherweise sogar bis zu 6.200, wenn die noch laufenden Scans abgeschlossen sind.
Doch trotz dieser beeindruckenden Zahlen zeigt sich ein fundamentales Problem: Das Sicherheitsökosystem ist nicht darauf vorbereitet, mit dieser Flut umzugehen. Nur 75 der schwerwiegendsten Lücken wurden bereits gepatcht. Anthropic nennt drei Gründe: Erstens sind die meisten Schwachstellen noch innerhalb des 90-Tage-Fensters ihrer Koordinierten Offenlegungspolitik — weitere Patches sollten folgen. Zweitens werden Patches oft ohne öffentliche Sicherheitsankündigung veröffentlicht, was die tatsächliche Quote erhöht. Drittens — und das ist die besorgniserregendste Aussage — überfordert Mythos bereits ein überbelastetes System.
Die bisherigen Zugriffe auf Mythos Preview sind begrenzt: Etwa 50 Organisationen haben Zugang durch Anthropics Projekt Glasswing. Mozilla berichtete von 271 entdeckten Firefox-Anfälligkeit, Palo Alto Networks fand dutzende Fehler, und sogar die UK-Regierung testete das Modell erfolgreich. Google erhielt ebenfalls Zugang, doch es bleibt unklar, ob die jüngsten Chrome-Schwachstellen von Mythos, Googles eigenen KI-Tools oder beiden stammen.
Allerdings waren nicht alle Ergebnisse überzeugend: Bei der populären curl-Bibliothek fand Mythos nur eine Low-Severity-Lücke — was Sicherheitsexperten diskutieren lässt, ob dies ein Versagen des Modells oder ein Beweis für die Sicherheitsreife des Projekts ist.
Für deutsche Unternehmen und Behörden ergeben sich praktische Implikationen: Wer Open-Source-Komponenten einsetzt, sollte die neuen Findings proaktiv prüfen und in seine Patch-Management-Strategie integrieren. Das BSI könnte hier als Koordinationsstelle fungieren. Gleichzeitig muss Anthropic seine Sicherheitsvorkehrungen gegen Missbrauch verstärken — bislang hält das Unternehmen Mythos bewusst begrenzt verfügbar, um Missverhältnisse zu verhindern.