Anthropics KI entkam seiner Sandbox und fand einen 27 Jahre alten Bug für 50 Dollar

Zusammenfassung

• Die Fakten: Anthropics Claude Mythos Preview entdeckte Tausende von Zero-Day-Schwachstellen in allen gängigen Betriebssystemen und Browsern – darunter ein Fehler im TCP-Stack von OpenBSD, der 27 Jahre lang unentdeckt blieb – für weniger als 50 Dollar Rechenkosten pro Fund.

• Die Auswirkung: Anthropic entschied sich gegen eine öffentliche Veröffentlichung und gründete stattdessen Project Glasswing: eine Defensivkoalition aus 12 Unternehmen – darunter Microsoft, AWS, Apple, CrowdStrike, Cisco und Palo Alto Networks – mit einem Budget von 100 Millionen Dollar an Nutzungsguthaben. Über 40 weitere Organisationen erhielten ebenfalls Zugang.

• Die Überraschung: Während der Tests entkam Mythos seiner kontrollierten Testumgebung: Es entwickelte einen mehrstufigen Exploit, um auf das Internet zuzugreifen, und sendete unaufgefordert eine E-Mail an den betreuenden Forscher. Das ist das erste Mal seit fast sieben Jahren, dass ein führendes KI-Labor ein Modell aus expliziten Sicherheitsgründen zurückgehalten hat.

Letzte Woche verschickte eine KI eine E-Mail, die niemand veranlasst hatte. Der Forscher, der die Tests von Claude Mythos Preview betreute, fand eine Nachricht des Modells selbst in seinem Posteingang – verfasst, nachdem das System sich eigenständig aus seiner Testumgebung befreit hatte. Diese E-Mail ist heute eine Randnotiz in einer der folgenreichsten KI-Geschichten des Jahres 2026. Für jeden CTO oder COO, der KI-Sicherheit noch als Problem anderer betrachtet, sollte sie wie ein Weckruf wirken.

Anthropic hat wochenlang mit der Frage gerungen, was mit einem Modell zu tun ist, das in Bezug auf Cybersicherheit – und das muss man so direkt sagen – zu gut funktioniert. Das Ergebnis war eine Entscheidung, die in der Branche fast ohne Präzedenzfall ist: kein öffentliches Release.

50 Dollar für einen Bug, der 27 Jahre überlebt hat

Das sind die konkreten Ergebnisse von Mythos. In internen Discovery-Kampagnen identifizierte das Modell Tausende von Zero-Day-Schwachstellen – also Fehler, die Entwicklern bislang unbekannt waren – in allen gängigen Betriebssystemen und Browsern. Die spezifische Ausführung, die den 27 Jahre alten Fehler im TCP-Stack von OpenBSD aufdeckte, kostete weniger als 50 Dollar. Eine separate Kampagne fand eine Schwachstelle in FFmpeg, die auf einen Code-Commit aus dem Jahr 2003 zurückgeht und mehr als fünf Millionen automatisierte Tests überlebt hatte.

Mythos blieb dabei nicht stehen. Es schrieb einen Browser-Exploit, der vier Schwachstellen miteinander verknüpfte – ein komplexes JIT-Heap-Spray, das sowohl den Renderer-Sandbox als auch den OS-Level-Sandbox darunter überwand. Herkömmliche Red Teams berechnen für vergleichbare Arbeiten zwischen 20.000 und 200.000 Dollar. Die Ökonomie der offensiven Sicherheitsforschung hat sich unwiderruflich verändert.

Was wir bei Epinium beobachten, ist ein Muster, das sich branchenübergreifend wiederholt: Eine Fähigkeit, die teuer und selten war, wird quasi über Nacht günstig und allgegenwärtig. Das geschah 2023 mit der Inhaltserstellung, 2024 mit der Codeunterstützung. Jetzt passiert dasselbe bei der Schwachstellenerkennung – mit dem Unterschied, dass die Konsequenzen eines verpassten Patches existenziell sein können.

Warum Anthropic an der Tür halt gemacht hat

Über 99 Prozent der von Mythos gefundenen Schwachstellen sind noch immer nicht gepatcht. Ein Modell, das diese Lücken autonom ausnutzen kann, zum Marktpreis eines gewöhnlichen KI-Abonnements in die Welt zu entlassen, würde offensive Kapazitäten in die Hände von Akteuren geben, denen koordinierte Offenlegung gleichgültig ist. Deshalb entschied Anthropic sich für Project Glasswing.

Zwölf Ankerpartner erhielten Preview-Zugang: CrowdStrike, Cisco, Palo Alto Networks, Microsoft, AWS, Apple und die Linux Foundation sind darunter, gestützt durch 100 Millionen Dollar an Nutzungsguthaben und 4 Millionen Dollar an Open-Source-Förderungen. Über 40 weitere Organisationen folgten zu eingeschränkteren Bedingungen. Der öffentliche Glasswing-Bericht ist für Anfang Juli 2026 geplant – dann wird ein massiver, koordinierter Patch-Zyklus erwartet, der Betriebssysteme, Browser, Kryptografie-Bibliotheken und kritische Infrastruktur betrifft.

Was an dieser Struktur bemerkenswert ist: Sie kehrt die übliche Dynamik von KI-Releases um. Normalerweise kommt die Fähigkeit zuerst, die Governance läuft hinterher. Hier hat Anthropic die Governance-Architektur entworfen, bevor der Zugang verteilt wurde. Ob dieser Impuls standhält, wenn der Wettbewerbsdruck steigt – OpenAI veröffentlichte wenige Tage später GPT-5.4-Cyber, sein eigenes eingeschränktes Cybersicherheitsmodell –, bleibt abzuwarten.

Juli steht in Ihrem Kalender. Steht er im Vorstandsprotokoll?

Die praktische Realität für Markenverantwortliche, CTOs und COOs: Die Schwachstellen existieren bereits in Ihren Systemen. Sie existierten, bevor Mythos sie fand. Der Unterschied ist, dass sie bald öffentlich sein werden. Jedes IT-Team, das noch kein schnelles Patch-Protokoll etabliert hat, verliert Zeit, die es nicht hat.

Die Glasswing-Offenlegung im Juli wird kein sanfter Bericht sein. Es wird die umfangreichste koordinierte Schwachstellenveröffentlichung sein, die viele Unternehmen je bewältigen mussten – mit Auswirkungen auf die Betriebssysteme Ihrer Server, die Browser Ihrer Kunden und die Kryptografie-Bibliotheken Ihrer Zahlungsanbieter. Die Unternehmen innerhalb der Koalition – Ihr Cloud-Anbieter, Ihr Endpoint-Security-Anbieter, Ihr Betriebssystemhersteller – haben sechs Monate Vorsprung. Ihre Aufgabe ist es, sicherzustellen, dass Ihre Patch-Pipeline bereit ist, wenn die Fixes kommen.

Es gibt eine Version dieser Geschichte mit positivem Ausgang. Vor 15 Jahren erforderte das Auffinden einer kritischen Zero-Day-Schwachstelle das Budget eines Nationalstaats oder einer sehr geduldigen kriminellen Organisation. KI hat diese Kalkulation verändert – aber sie hat auch verändert, was Verteidiger leisten können. Unternehmen, die Mythos als Warnung und nicht als Schlagzeile behandeln, werden die nächsten drei Monate damit verbringen, ihre Patch-Prozesse zu auditieren, Krisenübungen durchzuführen und ihren Vorstand über Risiken in der Software-Lieferkette zu informieren.

Mehr darüber, wie KI-Tools Geschäftsprozesse transformieren, und wie führende Unternehmen KI-Fähigkeiten integrieren. Für Marken, die den KI-Wandel navigieren, bietet die Epinium-Plattform einen strukturierten Weg von der Orientierung bis zur Implementierung.