Blog
Am 7. April 2026 veröffentlichte Anthropic eine Ankündigung, die die Cybersicherheitswelt nachhaltig verändert hat: Claude Mythos Preview, ein allgemeines KI-Modell, das in der Lage ist, selbstständig Sicherheitslücken in Software zu finden und auszunutzen – in einer Geschwindigkeit und Tiefe, die alles bisher Dagewesene übertrifft. Dieses Modell wurde nicht als Sicherheitswerkzeug entwickelt, sondern als leistungsfähiges Coding- und Reasoning-Modell. Die sicherheitsrelevanten Fähigkeiten sind ein emergentes Nebenprodukt dieser Entwicklung.
Dieser Artikel beleuchtet, was der „Mythos-Moment" für Unternehmen in den nächsten sechs bis zwölf Monaten bedeutet – aus sicherheitsrelevanter Perspektive. Welche konkreten Auswirkungen sind zu erwarten? Wo liegen die realen Risiken, und wo wird gerade mehr Hype gemacht, als sachlich gerechtfertigt ist?
TL;DR: Claude Mythos ist ein echter Gamechanger für die Sicherheitslandschaft. Die Fähigkeit, Zero-Day-Lücken autonom zu entdecken, ist real und von unabhängigen Stellen bestätigt. Die größte Gefahr für Unternehmen ist jedoch weniger der direkte Missbrauch von Mythos, sondern die bevorstehende „Vulnerability Tsunami" – eine Flut von Schwachstellen-Meldungen, auf die die meisten Sicherheitsteams personell und prozessual nicht vorbereitet sind.
Anthropic hat Mythos nicht leise gestartet. Das Unternehmen veröffentlichte detaillierte Ergebnisse eines internen Red-Team-Assessments. Die Kernaussagen sind durch das britische AI Security Institute (AISI) unabhängig bestätigt worden:
Anthropic hat sich bewusst entschieden, Mythos nicht öffentlich zugänglich zu machen. Stattdessen wurde Project Glasswing ins Leben gerufen: ein Konsortium aus AWS, Apple, Google, Microsoft, CrowdStrike, Palo Alto Networks, JPMorgan Chase und über 40 weiteren Organisationen, die Mythos defensiv einsetzen – um Schwachstellen zu finden und zu schließen, bevor Angreifer sie ausnutzen können.
Wichtig: Anthropic selbst schätzt, dass innerhalb von 12 bis 18 Monaten vergleichbare Fähigkeiten auch von anderen KI-Labors entwickelt werden. OpenAI arbeitet nachweislich an einem Modell mit ähnlichen Fähigkeiten. Das Zeitfenster für Vorbereitungen ist eng.
Die unmittelbarste Auswirkung von Claude Mythos ist nicht, dass Angreifer plötzlich Zugriff auf das Modell haben (obwohl es Berichte über unbefugten Zugriff gibt, die Anthropic derzeit untersucht). Die viel realistischere und bereits spürbare Konsequenz ist eine dramatische Zunahme des Schwachstellen-Volumens.
Schon heute sind über 99 % der von Mythos entdeckten Schwachstellen von den jeweiligen Maintainern noch nicht gepatcht. Die Koordination, Priorisierung und Behebung tausender neuartiger, hochkritischer Funde zieht sich über Monate und Jahre – nicht Tage.
Gleichzeitig ist die Zeit von der Entdeckung bis zum funktionsfähigen Exploit drastisch gesunken: von durchschnittlich 771 Tagen im Jahr 2018 auf unter vier Stunden im Jahr 2024. Für Ende 2026 wird eine weitere Verkürzung auf unter eine Stunde prognostiziert.
Die Konsequenz für Unternehmen: Die Anzahl der kritischen CVEs, die das eigene Sicherheitsteam erreichen, wird massiv steigen. Gleichzeitig schrumpft das Zeitfenster für Reaktionen. Ein Vulnerability-Management-Prozess, der auf manuelle Priorisierung, wöchentliche Scans und ticketbasierte Weiterleitung setzt, ist für diese neue Realität nicht ausgelegt.
Die von Mythos und seinen Nachfolgern entdeckten Schwachstellen werden nach und nach in öffentlichen CVE-Datenbanken veröffentlicht. Jedes Unternehmen, das gängige Open-Source-Bibliotheken, Linux-Distributionen oder Webtechnologien einsetzt, wird einen spürbaren Anstieg kritischer Meldungen erleben. Das betrifft nicht „nur" Sicherheitsteams, sondern auch Entwicklungsabteilungen, die Patches einspielen müssen.
Auch wenn Mythos selbst nicht öffentlich ist: Die zugrundeliegenden Techniken – insbesondere agentische KI mit langen Kontextfenstern und mehrstufiger Reasoning-Fähigkeit – werden sich verbreiten. Open-Source-Modelle holen auf. Angreifer, die heute manuell Schwachstellen suchen, werden innerhalb von 12 Monaten KI-gestützte Werkzeuge mit ähnlicher Effektivität nutzen können.
Auf der positiven Seite: Claude Security (öffentliche Beta seit April 2026) und vergleichbare Produkte nutzen genau diese Fähigkeiten defensiv. Sie scannen Codebasen, validieren Funde und schlagen gezielte Patches vor – immer mit menschlicher Entscheidungshoheit. Unternehmen, die solche Werkzeuge frühzeitig einführen, können ihre Reaktionszeit von Wochen auf Tage oder Stunden verkürzen.
Anthropic hat im Mai 2026 28 Integrationen mit führenden Sicherheitsplattformen (CrowdStrike, Palo Alto, Microsoft Purview, Wiz, Zscaler u. v. a.) veröffentlicht und eine Compliance API bereitgestellt, die Echtzeit-Überwachung von KI-Nutzung ermöglicht. Das senkt die Einstiegshürde für regulierte Branchen. Unternehmen sollten prüfen, ob ihre bestehenden Security-Tools bereits Claude-Integrationen unterstützen – das reduziert spätere Umstellungsaufwände.
Nicht jede Behauptung rund um Mythos hält einer unabhängigen Prüfung stand. Eine differenzierte Betrachtung ist wichtig:
| Behauptung | Realität |
|---|---|
| Mythos findet tausende Zero-Days | ✅ Bestätigt durch AISI und Anthropic-Red-Team |
| Mythos kann jedes System kompromittieren | ⚠️ AISI: Mythos scheiterte an OT-Umgebungen („Cooling Tower") und an gut verteidigten Unternehmensnetzwerken |
| Mythos ist das erste Modell mit diesen Fähigkeiten | ⚠️ Teilweise. Andere, günstigere Modelle fanden einige der gleichen Lücken – Mythos ist breiter und tiefer |
| Angreifer haben bereits Zugriff | 🔶 Unbestätigt. Anthropic untersucht Berichte über unbefugten Zugriff, hat aber keine Bestätigung gegeben |
| Alle entdeckten Lücken sind kritisch | ❌ Wie bei jedem Scanner gilt: Ein Teil der Funde ist nicht in der realen Nutzung ausnutzbar. Priorisierung bleibt essenziell |
Die folgenden Maßnahmen lassen sich in drei Handlungsfelder unterteilen: Prozesse, Technologie und Strategie.
Empfehlung: Starten Sie mit einem AI Security Gap Assessment. Prüfen Sie, wo Ihr Unternehmen aktuell in den Bereichen Prozesse, Technologie und Strategie steht. Die nächsten sechs Monate sind das Zeitfenster, um Strukturen aufzubauen, bevor die Welle der KI-generierten Schwachstellen und Angriffe den Alltag bestimmt.
Claude Mythos markiert einen echten Wendepunkt. Die Fähigkeit, Software auf dem Niveau eines menschlichen Sicherheitsforschers zu analysieren und dabei tausende Jahre altes Code-Erbe zu durchdringen, ist real. Die Frage ist nicht, ob diese Fähigkeiten den Sicherheitsalltag verändern werden, sondern wie schnell Unternehmen ihre Abläufe anpassen.
Die gute Nachricht: Die Grundlagen der Sicherheit gelten weiterhin. Defense-in-Depth, gehärtete Systeme, sauberes Patch-Management, Zugriffskontrollen und Monitoring sind wirkungsvoller denn je – sie müssen nur schneller und automatisierter werden. Unternehmen, die jetzt in Continuous Exposure Management, KI-gestützte Abwehr und klare AI Governance investieren, werden von der Entwicklung profitieren. Alle anderen laufen Gefahr, von der Vulnerability Tsunami überrollt zu werden.