Anthropics Mythos-KI findet schnell neue Bugs. Ihre alten ungepatchten sind immer noch die echte Gefahr.

Wichtigste Punkte

• Anthropic startete Mythos, ein KI-System, das automatisch Softwaresicherheitsfehler aufspürt, am 7. April 2025.
• Mythos registriert entdeckte Fehler als CVEs (Common Vulnerabilities and Exposures), eindeutige Identifikationsnummern, die jeden bekannten Softwarebug katalogisieren, damit Hersteller und Verteidiger über das gleiche Problem sprechen können.
• Exploit-Code, Software, die einen bekannten Fehler in einen funktionierenden Angriff umwandelt, erscheint jetzt innerhalb von 3 bis 7 Tagen nach der Veröffentlichung eines Bugs.
• Die meisten Organisationen benötigen 45 Tage oder mehr, um einen kritischen Patch einzuspielen, was ein Zeitfenster von etwa sechs Wochen schafft, in dem Angreifer einfach eindringen können.
• Die Messung der Zeitspanne zwischen der Veröffentlichung eines Patches durch den Hersteller und dem Einspielen auf allen betroffenen Systemen ist die wichtigste Metrik, die die meisten Unternehmen nicht überwachen.

Anthropic, das Unternehmen hinter der Claude-Familie von KI-Assistenten, stellte am 7. April 2025 ein Tool namens Mythos vor. Wie zuerst von ThreatVectr berichtet, liest Mythos Softwarecode so, wie es ein menschlicher Sicherheitsforscher tun würde, nur viel schneller, und registriert automatisch, was es findet, als CVEs. Die Sicherheitsbranche begann sich sofort Sorgen über die Flut neuer Einträge zu machen, die in einen bereits überladenen Katalog fließen würden.

Diese Sorge ist berechtigt. Sie ist auch das Falsche, worauf man sich konzentrieren sollte.

Schauen Sie sich Bericht nach Bericht über Sicherheitsverletzungen aus den letzten fünf Jahren an und das gleiche Muster erscheint. Angreifer fanden keinen cleveren Zero-Day, also einen Fehler, den noch niemand kannte. Sie drangen durch einen Fehler ein, den der Hersteller bereits gepatcht hatte, manchmal Monate oder sogar Jahre vor dem Angriff, den das Opfer einfach noch nicht behoben hatte.

Macht Mythos Unternehmen tatsächlich weniger sicher?

Nicht direkt. Aber es macht ein bereits bestehendes Problem schwerer zu ignorieren. Hier ist die Rechnung. Wenn Ihre Organisation durchschnittlich 45 Tage braucht, um einen kritischen Patch einzuspielen, und funktionierender Exploit-Code für einen neuen Bug innerhalb von 3 bis 7 Tagen nach Offenlegung erscheint, sind Sie bei jedem ernsthaften Fehler etwa sechs Wochen lang exponiert. Mythos beschleunigt die Erkennungsseite dieser Gleichung. Es tut nichts gegen die Verzögerung auf der anderen Seite.

Für normale Menschen ist das praktisch relevant. Die Unternehmen, die Ihre Krankenakten, Bankdaten, Ihre Einkaufshistorie halten: Ihre Sicherheit hängt nicht nur davon ab, Bugs zu finden, sondern von der Behebung der, die sie bereits kennen. Ein intelligenteres Discovery-Tool ist nur nützlich, wenn der dahinter stehende Patching-Prozess Schritt halten kann.

Was sollten Verteidiger also wirklich ändern? Vier Dinge fallen auf.

Erstens das Patch-Zeitfenster messen. Nicht die Gesamtanzahl offener CVEs, die in einer Warteschlange sitzen. Die Anzahl der Tage zwischen der Veröffentlichung eines Fixes durch den Hersteller und dem Einspielen dieses Fixes auf alle betroffenen Systeme, sortiert nach der Schwere des Fehlers. Wenn diese Zahl heute nicht existiert, ist deren Ermittlung das erste Projekt.

Zweitens, es zu verkürzen. Eine 30-Tage-Frist für kritische Patches ist nicht mehr aggressiv; es ist das Minimum. Für Fehler, für die bereits funktionierender Exploit-Code im Umlauf ist, sind sieben Tage ein verteidigbareres Ziel.

Drittens, ein genaues Bestandsverzeichnis aufbauen, eine vollständige Liste aller Computer, Server und Dienste, die die Organisation tatsächlich betreibt. Jeder Incident-Responder hat die gleiche Geschichte: der vergessene Server im Hinterzimmer, die Systeme des übernommenen Unternehmens, die niemand kartographiert hat. Mythos-Skalenerkennung wird diese Maschinen vor jedem Patching-Team finden.

Viertens, lesen Sie Sicherheitsmitteilungen der Hersteller am Tag der Veröffentlichung und handeln Sie danach. Wenn ein kritischer Fix ein Komiteemeeting erfordert, bevor er ausgerollt wird, ist der Komiteeprozess selbst eine Sicherheitslücke.

Mythos hat niemandes Sicherheitsprogramm zerstört. Es hat die Uhr schneller laufen lassen. Ob das wichtig ist, hängt ganz davon ab, wie lange das Fenster bereits offen war.