Der 271-Lücken-Schock: Anthropics Kontrollverlust

Das offene Archiv

Die Existenz von Claude Mythos offenbarte sich zunächst durch ein banales Konfigurationsproblem: Am 26. März 2026 stießen Sicherheitsforscher auf unveröffentlichte Anthropic-Dokumente, die durch eine fehlerhafte CMS-Standardkonfiguration öffentlich zugänglich waren – rund 3.000 Assets lagen hinter erratbaren URLs frei. Darunter befand sich die detaillierte Beschreibung eines Modells, das intern als „Capybara" lief. Anthropic sprach von menschlichem Versagen und einem Quantensprung in der Leistungsfähigkeit. Die Börsenkurse von Cybersecurity-Firmen brachen ein – CrowdStrike verlor rund 7%, der iShares Cybersecurity ETF 4,5%. Regierungen beriefen Krisensitzungen ein. Am 7. April 2026 kündigte Anthropic das Modell und Project Glasswing dann planmäßig und koordiniert an – das Unternehmen hatte ein Modell trainiert, das es selbst als zu gefährlich für eine Veröffentlichung einstufte, und die Welt sah nun live dabei zu.

Architektur des Angriffs

Mythos etabliert eine neue Leistungsklasse oberhalb der bisherigen Spitzenmodelle. Seine entscheidende Fähigkeit ist die agentenbasierte Cybersicherheit: Das Modell listet Schwachstellen nicht nur auf, sondern verkettet sie autonom zu funktionierenden Angriffen. Es identifiziert Fehler in altem Code, schreibt eigene Werkzeuge, um sich in Netzwerken zu bewegen, und rekonstruiert Quellcode aus fertiger Software.

Das britische AI Security Institute (AISI) testete diese Behauptungen an einem 32-stufigen simulierten Netzwerkangriff. Mythos absolvierte die Sequenz als erstes KI-Modell vollständig. In Hacker-Wettbewerben auf Expertenniveau erreichte das System eine Erfolgsquote von 73 Prozent. Die britische Regierung zog in einem offenen Brief an Unternehmensleiter ein nüchternes Fazit: Die offensiven Cyber-Fähigkeiten von KI-Modellen verdoppeln sich derzeit alle vier Monate – zuvor waren es alle acht Monate.

Mozilla und die Mathematik der Schwachstellen

Anthropic startete das geschlossene „Project Glasswing", um Mythos exklusiv ausgewählten Partnern für defensive Zwecke zur Verfügung zu stellen. Einer der ersten Tester war Mozilla. Das Ergebnis war ein Schock: Ein einziger Prüflauf der Firefox-Codebasis förderte 271 Schwachstellen zutage.

Mozilla behob alle Fehler in einem beispiellosen Patch. Die offizielle Sicherheitswarnung MFSA 2026-30 bündelte diese Flut in 41 CVE-Einträgen, von denen drei offiziell Claude zugeschrieben werden – viele der 271 Einzelfehler wurden in diesen Einträgen zusammengefasst oder galten als geringere Schweregrade. Firefox-CTO Bobby Holley fasste das Ergebnis zusammen: „So far we've found no category or complexity of vulnerability that humans can find that this model can't" – ergänzte aber auch: „We also haven't seen any bugs that couldn't have been found by an elite human researcher." Die Maschine findet demnach alles, was auch ein menschlicher Experte finden könnte – bislang aber nicht mehr. Holley argumentiert, dass Verteidiger nun erstmals die Chance haben, Code vollständig zu bereinigen, bevor Angreifer die Lücken ausnutzen. Die Kehrseite dieser Logik: In den falschen Händen automatisiert dasselbe Werkzeug die Zerstörung.

Der Einbruch am ersten Tag

Noch am Tag der Ankündigung von Project Glasswing verschafften sich Unbefugte Zugang. Sie knackten nicht die Kerninfrastruktur, sondern nutzten die bestehenden Zugriffsrechte eines Mitglieds, das bereits für einen Drittkontrahenten von Anthropic arbeitete, kombinierten dies mit Details aus einem Datenleck bei dem KI-Startup Mercor und erschlossen darüber die wahrscheinliche URL des Modells anhand bekannter Anthropic-Namenskonventionen. Die Gruppe organisierte sich über einen privaten Discord-Server. Anthropic bestätigte die Untersuchung des Vorfalls, betonte aber, es gebe keine Hinweise auf eine Kompromittierung der eigenen Kernsysteme.

Der Vorfall offenbart eine absurde Diskrepanz. Ein Unternehmen baut eine KI, die komplette Firmennetzwerke übernehmen kann – und der Zugangsschutz scheitert an erratbaren URL-Mustern und missbrauchten Drittzugängen. Die britische und europäische Finanzaufsicht reagierten mit Notfallsitzungen.

Der Quellcode ist frei

Kurz nach dem Vorfall tauchte ein öffentlicher Nachbau auf. Entwickler Kye Gomez veröffentlichte „OpenMythos", eine theoretische Rekonstruktion einer möglichen Architektur hinter dem Modell. Der Code enthält keine gestohlenen Daten und keine echten Modellgewichte, sondern basiert auf aktueller Forschung zu rekurrenten Transformern. Die Hypothese: Das Modell verarbeitet Denkprozesse in einer kontinuierlichen Schleife (Recurrent-Depth Transformer), wobei ein fester Gewichtsblock bis zu 16-mal pro Forward-Pass durchlaufen wird, ohne Zwischenschritte als Text auszugeben.

Das Projekt skizziert ein Setting mit 770 Millionen Parametern. Es kann Anthropics Rechenleistung nicht ersetzen und ist eine spekulative Architekturstudie, kein verifiziertes Reverse Engineering des echten Modells. Dennoch demokratisiert es die diskutierten architektonischen Prinzipien: Eine Diskussion über die Technologie, die eben noch exklusiv für ausgewählte Partnerunternehmen reserviert war, liegt nun offen auf GitHub.

Die deutsche Infrastrukturfrage

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Finanzaufsicht BaFin schlugen umgehend Alarm. BSI-Präsidentin Claudia Plattner erklärte, sie erwarte „Umwälzungen im Umgang mit Sicherheitslücken und in der Schwachstellenlandschaft insgesamt" – und ergänzte, das BSI habe das Modell bislang nicht selbst testen können. Die europäische Politik steht vor einem Kontrollverlust: Von acht europäischen Cyber-Behörden, die POLITICO kontaktierte, hatte lediglich das BSI überhaupt mit Anthropic gesprochen und Einblick in die Funktionsweise erhalten. Die rechtliche Anwendbarkeit des AI Act auf Mythos ist unter Juristen umstritten; solange keine Klärung erfolgt, sind die Aufsichtsbehörden faktisch auf die Kulanz eines US-Unternehmens angewiesen.

Für den deutschen Mittelstand ist diese Dynamik besonders brisant. Historisch gewachsene IT-Strukturen und der akute Mangel an IT-Fachkräften treffen hier auf Werkzeuge, die das Ausnutzen von Schwachstellen vollautomatisiert skalieren. Das Zeitfenster, in dem Unternehmen ihre Systeme proaktiv absichern können, schließt sich rasant.

Das Ende der Asymmetrie

Bisher galt in der Cybersicherheit ein ehernes Gesetz: Angreifer müssen nur eine Lücke finden, Verteidiger müssen alle schließen. Diese Ökonomie kippt gerade. Die automatisierte Fehlersuche wird zur Massenware.

Der Firefox-Browser hat heute weniger Angriffspunkte als je zuvor. Doch das eigentliche Problem sitzt tiefer: Wenn die nächste Modellgeneration ans Netz geht, wer wird das vergessene Administratoren-Passwort im Keller der deutschen Industrie zuerst finden – der Algorithmus der Verteidiger oder der Botnet-Betreiber?

Quellenindex (Auswahl der wichtigsten Referenzen):

1. System-Card / Leak- und Sandbox-Ausbruch-Berichte zu Claude Mythos (u. a. UnderstandingAI, Futurism, NBC, red.anthropic.com, Monday Momentum).
2. Berichte zum CMS-Leak, „Capybara“-Codename und den rund 3.000 geleakten Assets (u. a. AwesomeAgents, Mashable, LinkedIn-Analysen).
3. Marktreaktionen und Kursverluste von Cybersecurity-Werten (u. a. CNBC, Forbes, AInvest, Times of India).
4. Offizielle Ankündigungen von Claude Mythos Preview und Project Glasswing (Anthropic-Website, TechCrunch, CyberScoop, Flowhunt, DecodeTheFuture).
5. AISI-Evaluationsberichte und der britische Regierungsbrief zu Verdopplungsraten der KI-Cyberfähigkeiten.
6. Mozilla-, Ars-Technica-, Heise- und SecurityWeek-Artikel zu 271 Schwachstellen, Firefox 150, MFSA 2026-30 und den 41 CVEs.
7. Zitate und Einordnung von Bobby Holley (Simon Willison’s Weblog, Register, PC Gamer, Social-Media-Posts).
8. Berichte zum unberechtigten Mythos-Zugang, Discord-Gruppe, Drittanbieter-Umgebung und URL-Muster (u. a. BBC, Engadget, The Next Web, TechRadar, Mashable).
9. OpenMythos-Projektseiten und Berichterstattung (GitHub, MarktechPost, TechNewsDay, begleitende Blogposts zu Recurrent-Depth-Transformern).
10. Stellungnahmen und Analysen von BSI, BaFin, ZDF, Wirtschaftswoche, ComputerBase, Spiegel, Politico/EU-Blogger zum regulatorischen Umgang in Deutschland und der EU.