KI von Anthropic findet Microsoft-Bugs schneller, als Ingenieure sie beheben können

Wichtigste Punkte

• Anthropic gab ausgewählten Softwareunternehmen Mitte Mai 2025 Zugang zu einem neuen KI-Modell namens Mythos, um Sicherheitslücken zu finden, bevor Hacker könnten.
• Microsoft startete eine interne Initiative mit Codenamen Project Glasswing, um gezielt die von Mythos aufgedeckten Schwachstellen zu beheben.
• Die Initiative wird als defensives Rennen gerahmt: Die Lücken schließen, bevor China oder andere gegnerische Akteure ähnliche KI-Tools nutzen, um sie auszunutzen.
• Ingenieure am Microsoft-Hauptquartier in Redmond stellten öffentlich in Frage, ob Mythos so gut funktionierte, wie Anthropic behauptete.

Dutzende von Microsoft-Ingenieuren drängten sich Mitte Mai in einem Konferenzraum in Redmond, Washington, oder schalteten sich per Video dazu, an einem Nachmittag. Die Sitzung hatte eine ungewöhnliche Agenda: Eine KI hatte ihre eigene Software beschädigt, und sie mussten besprechen, wie sehr.

Die fragliche KI ist Mythos, ein Modell des Unternehmens Anthropic, des sicherheitsorientierten KI-Unternehmens aus San Francisco hinter der Claude-Familie von Chatbots. Anthropic gab Mythos einer kleinen Gruppe von Organisationen Zugang, die Software für normale Menschen, Unternehmen und Regierungen entwickeln. Die Idee war einfach: Lassen Sie eine fortschrittliche KI nach Sicherheitslücken suchen – schwache Stellen im Code, durch die Angreifer eindringen können – bevor echte Hacker sie finden.

Microsofts interne Reaktion bekam einen Namen: Project Glasswing.

Warum ist das für normale Menschen wichtig?

Microsoft-Software läuft auf hunderten Millionen von Computern weltweit. Eine nicht behobene Sicherheitslücke ist eine offene Tür. Wenn eine von der Regierung unterstützte Hackergruppe oder eine Verbrecherbande dieselben Fehler zuerst findet, reichen die Folgen von gestohlenen Daten bis zur Störung der Infrastruktur.

Das ist genau die Bedrohung, der Anthropic und Microsoft zuvorkommen wollen. Wie von Ars Technica berichtet, war die Besorgnis in den Glasswing-Sitzungen explizit: Gegnerische Regierungen, darunter China, könnten bald ihre eigenen KI-Tools einsetzen, um Schwachstellen in großem Maßstab zu scannen.

KI-Modelle werden schon lange verwendet, um beim Schreiben von Code zu helfen. Was neu ist und Mythos bemerkenswert macht, ist die Geschwindigkeit, mit der es anscheinend Fehler in bestehendem Code identifiziert. Das Beheben von Software-Sicherheitslücken war schon immer ein Rennen gegen Entdeckung. Mythos scheint die Uhr auf beiden Seiten zu verkürzen.

Waren die Ingenieure überzeugt?

Nicht ganz, zumindest am Anfang. Als die Glasswing-Sitzung begann, stellte ein Ingenieur die Frage, die im Raum stand: Entsprach Mythos tatsächlich dem „Hype, den Anthropic behauptete zu haben"?

Diese Skepsis ist gesund. KI-Systeme werden regelmäßig übertrieben dargestellt. Ein Modell, das zehn kleinere, bereits bekannte Probleme findet, sieht anders aus als eines, das echte, gefährliche, bisher unbekannte Schwachstellen offenbart. Der Quellenbericht sagt noch nicht, in welche Kategorie die Ergebnisse von Mythos fallen oder wie viele Sicherheitslücken gefunden und behoben wurden.

Was kommt als Nächstes?

Die Details dessen, was Mythos fand, bleiben unveröffentlicht, was gängige Praxis ist: Man kündigt nicht an, wo die Lücken waren, bis die Patches live sind.

Was diese Geschichte insgesamt signalisiert, ist eine Verschiebung in der Arbeitsweise der Sicherheitsindustrie. Unternehmen beginnen, KI offensive, aber kontrolliert einzusetzen und auf ihre eigenen Produkte auszurichten, um echte Angreifer zuvorzukommen. Dieser Ansatz wird sich ausbreiten. Die Frage ist, ob die Verteidiger das Tempo halten können.

Für alltägliche Benutzer hat sich der praktische Rat nicht geändert: Halten Sie Ihre Software aktuell. Wenn Updates ankommen, könnten sie ihre Existenz einer KI verdanken, die das Problem zuerst gefunden hat.

Häufig gestellte Fragen

Was ist eine Software-Sicherheitslücke genau?

Eine Sicherheitslücke ist ein Fehler oder eine schwache Stelle im Code eines Programms, die ein Angreifer ausnutzen kann, um dorthin zu gelangen, wo er nicht sollte. Stellen Sie sich das wie ein offenes Fenster in einem ansonsten verschlossenen Gebäude vor.

Sollte ich mir Sorgen machen, dass KI diese Fehler so schnell finden kann?

Die gleiche Geschwindigkeit, die Verteidiger beunruhigt, könnte Sie schützen. Wenn Unternehmen KI nutzen, um Fehler zu finden und zu beheben, bevor Angreifer es tun, wird Ihre Software sicherer. Das Risiko besteht darin, dass feindselige Akteure die gleichen Tools erhalten und schneller als die Verteidiger voranschreiten.