Claude Mythos: Ist das neue KI-Modell ein Sicherheitsrisiko oder ein PR-Gag?

Anthropic kündigt mit „Claude Mythos“ ein neues KI-Modell an. Das System ist laut Entwicklern so mächtig, dass es eine akute Gefahr für die öffentliche Sicherheit und für die Wirtschaft darstellt. Der Tech-Konzern hält die Technologie daher vorerst unter Verschluss und gewährt nur ausgewählten Großunternehmen Zugang. Ist alles nur ein Marketing-Gag?

Was ist Claude Mythos eigentlich?

Claude Mythos ist ein hochentwickeltes KI-Modell des Unternehmens Anthropic. Es zeichnet sich durch die enorme Fähigkeit aus, tiefliegende Schwachstellen in komplexen Software-Codes zu finden.

Die Anthropic-Entwickler warnen vor der enormen Geschwindigkeit, mit der das Modell bisher unentdeckte Softwarefehler aufspürt. Die KI findet diese hochgefährlichen Schwachstellen angeblich fast schon automatisiert auf Knopfdruck. Das würde potenziellen Angreifern einen massiven Zeitvorteil gegenüber den eigentlichen Softwareentwicklern verschaffen, wenn Claude Mythos in die falschen Hände gerät.

Welche Schwachstellen findet die künstliche Intelligenz?

Während der internen Testphase entdeckte Mythos zahlreiche schwerwiegende Sicherheitslücken in etablierten Systemen:

• Einen 16 Jahre alten Fehler in FFmpeg, der fatale Systemabstürze verursacht
• Einen 27 Jahre alten Bug in OpenBSD, der Server direkt über das Netzwerk angreift
• Fehler in JavaScript-Engines. Diese erlauben es Hackern, gezielt aus der Browser-Sandbox auszubrechen
• Einen kritischen Fehler im Linux-Kernel. Dieser verschafft Angreifern sofortige und volle Root-Rechte

Wie reagieren Behörden und Wirtschaft?

Die US-Regierung warnt bereits massiv vor den Gefahren. Finanzminister Scott Bessant und Notenbankchef Jerome Powell riefen Banken-CEOs kurzfristig zu einer Krisensitzung zusammen.

Anthropic selbst reagiert mit dem sogenannten „Project Glasswing“. Das Programm gibt einer Handvoll billionenschwerer Unternehmen und Banken exklusiven Zugriff auf das Modell. Das Ziel: Die Unternehmen patchen die kritischste Software der Welt, bevor Cyberkriminelle ähnliche Modelle für Angriffe nutzen.

Gibt es Zweifel an der echten Gefahr?

Ja, Kritiker äußern Bedenken an der tatsächlichen Bedrohungslage. Die Entdeckung der OpenBSD-Lücke erforderte 1.000 parallele Agentenläufe. Das verursachte enorme Rechenkosten von fast 20.000 US-Dollar. Zudem testeten die Entwickler die hohe Erfolgsquote von 84 % bei Firefox-Exploits komplett ohne aktive Sicherheitsmechanismen. Einige Kritiker vermuten daher einen PR-Trick des KI-Anbieters.

Was bedeutet das rechtlich für Unternehmen?

Unternehmen tragen die volle Verantwortung für die Sicherheit ihrer IT-Systeme. Die Datenschutz-Grundverordnung fordert in Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen. Betreiber Kritischer Infrastrukturen (KRITIS) verpflichtet § 8a BSIG zu besonderen IT-Sicherheitsstandards.

Vier Maßnahmen gegen KI-gesteuerte Angriffe

• Netzwerk-Segmentierung (Microsegmentation): Teilen Sie Ihr Netzwerk in kleine, streng isolierte Bereiche auf. Bricht ein Angreifer in ein System ein, verhindert diese Barriere die unkontrollierte Ausbreitung im Firmennetz.
• Verhaltensbasierte Anomalieerkennung: Nutzen Sie datenschutzkonforme Monitoring-Tools. Diese erkennen ungewöhnliche Systemaktivitäten in Echtzeit – etwa wenn eine harmlose Datei plötzlich Root-Rechte anfordert.
• Strict Least Privilege (Zero Trust): Gewähren Sie Nutzern und Programmen immer nur die minimal notwendigen Rechte. Ein kompromittierter Browserprozess richtet deutlich weniger Schaden an, wenn er keinen Zugriff auf das tiefere Betriebssystem hat.
• Notfallpläne etablieren (Incident Response): Definieren Sie klare, automatisierte Abläufe für den Ernstfall. Trennen Sie kompromittierte Systeme bei auffälligem Verhalten sofort vom restlichen Netzwerk.

Fazit

Das neue KI-Modell Claude Mythos zeigt eindrucksvoll den rasanten Fortschritt der künstlichen Intelligenz. Das hat massive Auswirkungen auf die IT-Sicherheit. Auch bei Zweifeln an den genauen Testbedingungen bleibt die Bedrohung durch KI-gesteuerte Cyberangriffe hochaktuell und real.