Anthropic und OpenAI stellen Claude Mythos und GPT-5.4-Cyber vor

Die reinen KI-Anbieter Anthropic und OpenAI sind Vorreiter bei der automatisierten Erkennung von Sicherheitslücken

Mit der Veröffentlichung von Claude Opus 4.7 – die angesichts des Hypes um die Claude Mythos Preview weitgehend unter dem Radar blieb – verstärkt Anthropic seine Bemühungen im Bereich der agentenbasierten KI und der Schwachstellenerkennung. Vivien Mura, Chief Technology Officer (CTO) bei Orange Cyberdefense, beleuchtet die positiven Auswirkungen der KI auf die Cybersicherheit und das Potenzial, das sich Hackern daraus eröffnet...

Wer ist Anthropic?

Anthropic ist ein reines Unternehmen für generative KI (Gen-AI), das 2021 von ehemaligen OpenAI-Forschern, darunter die Geschwister Dario Amodei und Daniela Amodei, gegründet wurde. Das in San Francisco ansässige Unternehmen hat sich unter den aufstrebenden Stars der künstlichen Intelligenz einen Namen gemacht. Mit der Claude-Familie großer Sprachmodelle (LLMs) zeichnet sich Anthropic durch seinen Fokus auf Sicherheit und Ethik („Constitutional AI“) bei der Entwicklung seiner LLM-Plattformen aus.

Ist Claude Mythos ein zweischneidiges Schwert?

Die Einführung von Claude Mythos Preview markiert einen wichtigen Wendepunkt in der Konvergenz von künstlicher Intelligenz und Cybersicherheit.

Mit Claude Mythos Preview erreicht Anthropic einen neuen Meilenstein, da dieses nicht öffentlich zugängliche KI-Modell – dessen Nutzung derzeit auf Mitglieder⁽¹⁾ der Initiative „Project Glasswing“ beschränkt ist – in der Lage sein soll, kritische Softwarefehler zu identifizieren und auszunutzen.

"Die fortschrittlichen Schlussfolgerungsfähigkeiten von Claude Mythos – die nicht an ein spezifisches Cybersicherheitstraining gebunden sind – ermöglichen es ihm, die Logik von Informationssystemen und Software zu verstehen und in einigen Fällen zu knacken", erklärt Vivien Mura, CTO von Orange Cyberdefense.

Konkret wäre Claude Mythos Preview in der Lage, „Zero-Day“-Schwachstellen – also noch nicht entdeckte Schwachstellen – in weit verbreiteten und identifizierten digitalen Umgebungen wie OpenBSD und Firefox eigenständig aufzudecken und auszunutzen. Das Problem: Diese Schwachstellen wurden bisher noch nie von menschlichen Experten entdeckt. Einige davon bestehen schon seit vielen Jahren.

Dieses Tool wurde zwar entwickelt, um die Cybersicherheit in digitalen Umgebungen zu stärken – ganz im Sinne der Unternehmensphilosophie von Anthropic –, doch wie sieht es mit seiner Ausnutzung durch Cyberkriminelle und andere Hacktivisten aus?

"Obwohl wir derzeit nicht über genügend Informationen verfügen, um die tatsächliche Leistungsfähigkeit des Modells zu beurteilen, haben die in der Mythos System Card⁽²⁾ angegebenen Details vielfältige und weitreichende Konsequenzen für die Cybersicherheit", erklärt Vivien Mura.

Claude Mythos: Was ist mit Cyberkriminellen?

Mit der Vorstellung von Claude Mythos erleben „Zero-Day“-Schwachstellen⁽³⁾ für Cyberkriminelle ein Comeback. Das Modell wäre in der Lage, innerhalb weniger Tage mehrere kritische Schwachstellen zu identifizieren, was darauf hindeutet, dass die Kosten für die Erkennung von Zero-Day-Schwachstellen sowohl für Cybersicherheitsforscher als auch für Hacker sinken werden.

Claude Mythos Preview bringt zudem eine Veränderung in der Automatisierung von Angriffsketten mit sich. Das Modell ist bemerkenswerterweise in der Lage, Software- und Konfigurationsschwachstellen miteinander zu verknüpfen – und zwar völlig autonom. In bestimmten dokumentierten Fällen ist es ihm gelungen, „Sandbox“-Umgebungen⁽⁴⁾ zu entkommen und externe Kommunikation herzustellen, was taktisches Denken demonstriert, das bislang auf menschliche Penetrationstester beschränkt war. Dabei müssen wir jedoch die Rahmenbedingungen im Blick behalten – ein für Forschungszwecke konzipiertes Informationssystem ohne klassische Erkennungs- und Schutzsysteme.

Eine weitere wichtige Beobachtung: Claude Mythos Preview ist ein generisches Modell, das nicht mit spezifischen Cybersicherheitsdaten trainiert wurde und keine bestimmte Architektur (RAG oder agentischer Typ) aufweist. Das Modell ist im Wesentlichen eine Blaupause für andere zukünftige Referenzarchitekturen im Bereich der offensiven Cybersicherheit. Mit anderen Worten: Die böswillige Nutzung dieser Tools würde nicht viel mehr Fähigkeiten erfordern als den bloßen Zugriff auf das neueste Frontier-Modell.

Andererseits eine einmalige Gelegenheit im Bereich der Erkennung von Schwachstellen in KI-Systemen

Claude Mythos Preview bietet eine unglaubliche Chance für die Cybersicherheit, insbesondere im Hinblick auf die berufliche Entwicklung in diesem Bereich.

Angesichts dieser Bedrohung räumt das digitale Ökosystem insgesamt der Integrität der Software-Lieferkette höchste Priorität ein. Dies ist übrigens auch das Ziel der CRA⁽⁵⁾. KI könnte ein wichtiger Faktor sein, um die Herausforderungen der Lieferkettensicherheit und neue Compliance-Anforderungen zu bewältigen.

Obwohl die Leistung dieser Modelle noch immer erhebliche Rechenressourcen erfordert, werden die Kosten für offensive Cyberangriffe sicherlich sinken, und bestimmte Cyberaktivitäten wie Penetrationstests und Bug-Bounty-Programme⁽⁶⁾ werden sich wahrscheinlich verändern. Es ist jedoch nicht möglich, alles den Maschinen zu überlassen. Menschliches Fachwissen wird weiterhin benötigt, um Zugriffe und Prozesse zu verwalten, die erweiterte Berechtigungen erfordern, und um katastrophale Fehler wie das versehentliche Löschen von Daten zu vermeiden

Die Automatisierungsansprüche, die Claude Mythos offenbar mitbringt, sind nicht nur für Hacker von Bedeutung. Mythos bestätigt, dass die Cyberabwehr unter menschlicher Aufsicht in hohem Maße automatisiert sein muss, um die Flut an Sicherheitslücken, Sicherheitsupdates und Sicherheitsvorfällen bewältigen zu können. Auch die Behebung – die letzte Verteidigungslinie, die Maßnahmen mit erheblichen Auswirkungen auf Informationssysteme erfordert – muss stärker automatisiert werden, wobei an den entsprechenden Kontrollpunkten menschliche Aufsicht integriert werden muss.

Claude Mythos Preview: was kommt als Nächstes?

Bekanntlich erscheint seit der Veröffentlichung von ChatGPT im Jahr 2022 (fast) jede Woche ein neues LLM, das angeblich das vorherige übertrifft.

"Claude Mythos Preview ist ein wichtiger Fortschritt, aber kein Einzelfall. In den kommenden Monaten werden wir wahrscheinlich Konkurrenzmodelle – möglicherweise Open-Source-Modelle – sehen, die die Fähigkeiten von Mythos erreichen oder sogar übertreffen", erklärt Vivien Mura.

Nach der Ankündigung von Claude Mythos Preview ließ die Reaktion von OpenAI nicht lange auf sich warten⁽⁷⁾. GPT-5.4-Cyber, das am 14. April in begrenztem Umfang gestartet und am 15. April von OpenAI offiziell angekündigt wurde, wurde entwickelt, um den Bereich der defensiven Cybersicherheit abzudecken.

Wie sehen die Zukunftsaussichten für Tools zur Erkennung von KI-Sicherheitslücken aus?

The risk for the future is that safeguards preventing the malicious use of powerful models to automate complex and large-scale attacks are bypassed, leading to an unprecedented escalation in the threat landscape. Hackers could tirelessly industrialize sophisticated hacking processes – with no advanced skills required. This is just the beginning of automated cybersecurity and human expertise working hand-in-hand.

Through a partnership with Qevlar AI, Orange Cyberdefense has committed to AI-enhanced cybersecurity. Our experts can help you with awareness and the implementation of supervised, compliant and responsible AI platforms.

To keep control of the future of your business in the era of artificial intelligence, explore the second edition of our quarterly review:

Der eingeschränkte Zugang zu diesen Tools soll zwar die Verteidigung verbessern, führt jedoch zu einer zweigeteilten Sicherheitslandschaft. Partner, die Claude Mythos derzeit im Rahmen des Projekts Glasswing⁽⁸⁾ testen, nutzen es, um ihre eigenen Ökosysteme zu stärken, was wahrscheinlich zu einer riesigen Welle von Sicherheitspatches führen wird.

Unternehmen müssen sich auf eine Flut von Patches für ihre Betriebssysteme, Anwendungen, Sicherheitsprodukte und tief integrierten „Open-Source“-Softwarekomponenten⁽⁹⁾ einstellen. Für Unternehmen, die bereits über Patch-Management-Programme verfügen, wird der Aufwand erheblich, aber nicht unüberwindbar sein; für andere dürfte die Flut von Patches die Teams langfristig auf Trab halten.

Langfristig könnte sich das Preis-Leistungs-Verhältnis von KI-Modellen für die Cybersicherheit verbessern, was die Möglichkeit bietet, diese Modelle in Softwareentwicklungszyklen (DevSecOps, CI/CD) und in automatisierte Auditprozesse für Informationssysteme zu integrieren.

Das Risiko für die Zukunft besteht darin, dass Sicherheitsvorkehrungen, die den missbräuchlichen Einsatz leistungsfähiger Modelle zur Automatisierung komplexer und groß angelegter Angriffe verhindern sollen, umgangen werden, was zu einer beispiellosen Eskalation der Bedrohungslage führen würde. Hacker könnten ausgefeilte Hacking-Prozesse unermüdlich industrialisieren – ohne dass dafür fortgeschrittene Kenntnisse erforderlich wären. Dies ist erst der Anfang einer Zusammenarbeit zwischen automatisierter Cybersicherheit und menschlichem Fachwissen.

Durch eine Partnerschaft mit Qevlar AI hat sich Orange Cyberdefense der KI-gestützten Cybersicherheit verschrieben. Unsere Experten können Sie bei der Sensibilisierung und der Implementierung überwachter, konformer und verantwortungsbewusster KI-Plattformen unterstützen. Kontaktieren Sie uns >

Um im Zeitalter der künstlichen Intelligenz die Kontrolle über die Zukunft Ihres Unternehmens zu behalten, lesen Sie die zweite Ausgabe unseres vierteljährlichen Berichts:

Quellen & Bemerkungen