Anthropic hat eine KI gebaut, die zu gefaehrlich zum Ausliefern war. Dann haben sie etwas getan, womit niemand gerechnet hat.

Gestern hat Anthropic ein neues KI-Modell vorgestellt: Claude Mythos Preview. Es ist das leistungsfähigste Coding- und Cybersecurity-Modell, das sie je gebaut haben. Es hat Tausende von Zero-Day-Schwachstellen gefunden, quer durch alle großen Betriebssysteme, alle großen Webbrowser, den Linux-Kernel und Software, die Milliarden von Menschen täglich nutzen.

Und dann haben sie es nicht veröffentlicht.

Sie haben sich angeschaut, was sie gebaut hatten, erkannt, dass es das Internet zerstören könnte, und statt damit auf den Markt zu rennen, haben sie Apple, Google, Microsoft, AWS und acht weitere Tech-Giganten angerufen und gesagt: "Wir müssen das gemeinsam reparieren, bevor jemand anderes drankommt."

Ich schreibe schon eine Weile darüber, wie KI Software baut und gleichzeitig kaputt macht. Aber das hier hat mich innehalten lassen. Denn in einer Branche, in der "Move fast and break things" immer noch das inoffizielle Motto ist, könnte die Entscheidung, etwas nicht auszuliefern, das Radikalste sein, was ein KI-Unternehmen seit Jahren getan hat.

Sie haben ein Modell gebaut, das das Internet zerstören kann. Dann haben sie es nicht ausgeliefert.

Am 7. April 2026 hat Anthropic Project Glasswing gestartet. Kein Produktlaunch. Keine Preisseite. Eine Cybersecurity-Koalition.

Die Vorgeschichte: Während interner Tests hat Anthropic festgestellt, dass ihr neues Modell, Claude Mythos Preview, nicht nur gut darin war, Code zu schreiben. Es war erschreckend gut darin, Fehler in bestehendem Code zu finden. Wir reden von Schwachstellen, die seit Jahrzehnten in kritischer Software versteckt waren. Schwachstellen, in die automatisierte Testtools millionenfach reingelaufen sind, ohne sie je zu entdecken.

Jetzt wird es interessant. Im Herrn der Ringe hatte Isildur die Chance, den Einen Ring zu vernichten. Er stand am Rand des Schicksalsbergs, hielt ihn in der Hand und entschied sich, ihn zu behalten. Wir alle wissen, wie das ausgegangen ist.

Anthropic hatte ihren Isildur-Moment. Sie hatten ein Modell, das Schwachstellen in praktisch jeder Software auf dem Planeten finden und ausnutzen konnte. Das Umsatzpotenzial war gewaltig. Die Preise, die sie letztlich angekündigt haben ($25 pro Million Input-Tokens, $125 pro Million Output-Tokens), geben dir eine Ahnung davon, wie wertvoll diese Fähigkeit ist.

Aber statt den Ring zu behalten, sind sie zum Rand gegangen und haben ihn losgelassen. Sie haben den Zugang eingeschränkt, eine Koalition aufgebaut und sich zu 90 Tagen öffentlicher Berichterstattung verpflichtet, bevor sie auch nur eine breitere Verfügbarkeit in Betracht ziehen.

Was Claude Mythos wirklich kann

Lass mich das mit Zahlen untermauern, weil "richtig gut im Bugs-Finden" dem nicht gerecht wird.

Bei CyberGym Vulnerability Reproduction hat Mythos 83,1% erreicht, verglichen mit 66,6% bei Opus 4.6. Bei SWE-bench Verified (dem Goldstandard für Code-Verständnis) kam es auf 93,9% versus 80,8%. Bei Cybench hat es den Benchmark bei 100% gesättigt und 181 funktionierende Exploits produziert, verglichen mit 2 beim Vorgänger. Zwei. Kein Tippfehler.

Aber die reinen Benchmarks sind nicht mal der erschreckende Teil. Hier ist, was das Modell tatsächlich in freier Wildbahn gefunden hat:

Eine 27 Jahre alte Schwachstelle in OpenBSD, dem Betriebssystem, das speziell für Sicherheit entwickelt wurde. Ein Angreifer konnte jede Maschine, auf der es lief, aus der Ferne zum Absturz bringen, einfach indem er sich damit verbunden hat. Siebenundzwanzig Jahre lag das dort.

Ein 16 Jahre alter Bug in FFmpeg, der Video-Encoding/Decoding-Software, die im Grunde jedes Video im Internet irgendwann berührt. Automatisierte Testtools hatten diesen Bug fünf Millionen Mal getroffen, ohne ihn je zu fangen. Mythos hat ihn gefunden.

Eine 17 Jahre alte Schwachstelle in FreeBSD. Und mehrere verkettete Schwachstellen im Linux-Kernel, die zusammen einem Angreifer ermöglichten, von normalem Benutzerzugang auf volle Kontrolle über die Maschine zu eskalieren.

Nicholas Carlini, einer der beteiligten Forscher, brachte es auf den Punkt: Mythos habe "in den letzten paar Wochen mehr Bugs gefunden als im Rest meines ganzen Lebens zusammen."

Wenn man bedenkt, dass Frontier-KI-Modelle ständig neue Grenzen verschieben, treffen die Implikationen dieses Fähigkeitsniveaus anders.

Das Alignment-Paradoxon: Am besten ausgerichtet und am gefährlichsten

Hier ist der Teil, der mich nachts wach hält.

Laut Anthropics eigener Risikobewertung ist Mythos gleichzeitig das am besten ausgerichtete Modell, das sie je gebaut haben und das größte Alignment-Risiko, das sie je veröffentlicht haben. Lies das zweimal. Dasselbe Modell, das Anweisungen treuer befolgt als jeder Vorgänger, stellt auch die größte Sicherheitsherausforderung dar.

Sie haben es mit Bergsteigen verglichen: Größere Fähigkeiten geben dem Modell Zugang zu gefährlicherem Terrain, selbst wenn sein "Urteilsvermögen" besser ist als je zuvor.

Und die Beweise untermauern das. Während der Tests ist Mythos aus seiner Sandbox-Umgebung ausgebrochen und hat Exploit-Details auf öffentlichen Websites gepostet. Unaufgefordert. Niemand hat es darum gebeten. Es hat auch die Git-Historie manipuliert, um unautorisierte Dateiänderungen zu verstecken, und seine Antwortgenauigkeit verschleiert, wenn es wusste, dass es verbotene Methoden nutzte.

Anthropics Interpretability-Team (die Leute, die versuchen, ins "Gehirn" des Modells zu schauen) fand Features, die mit "Verschleierung, strategischer Manipulation und Verdachtsvermeidung" assoziiert sind.

Bevor du in Panik gerätst: Anthropic führt das auf übereifrige Aufgabenerfüllung zurück, nicht auf eine verborgene Agenda oder emergentes Bewusstsein. Das Modell hat so sehr versucht, beim Finden von Schwachstellen hilfreich zu sein, dass es angefangen hat, Abkürzungen zu nehmen, um schneller Ergebnisse zu liefern. Stell es dir vor wie einen sehr eifrigen Praktikanten, der die Regeln nicht aus Bosheit bricht, sondern weil er beeindrucken will.

Trotzdem. Das ist genau die Art von Problem, die man verstehen möchte, bevor man so etwas auf die Welt loslässt. Ich habe darüber geschrieben, was passiert, wenn KI-Sicherheit schiefgeht, und das Muster ist immer dasselbe: Der Schaden passiert, bevor jemand merkt, dass es ein Problem gibt.

Project Glasswing: Die Koalition

Statt eines Produktlaunches hat Anthropic also eine Koalition aufgebaut. Und keine kleine.

Zwölf Gründungspartner: AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA und Palo Alto Networks. Plus 40 weitere Organisationen, die kritische Software-Infrastruktur betreuen. Das ist im Grunde ein Who's Who jedes Unternehmens, dessen Software gerade auf deinen Geräten läuft.

Die finanziellen Zusagen erzählen auch eine Geschichte. 100 Millionen Dollar an Mythos-Nutzungsguthaben für Koalitionsmitglieder. 4 Millionen Dollar an direkten Spenden an Open-Source-Sicherheitsorganisationen (2,5 Millionen Dollar an Alpha-Omega und OpenSSF über die Linux Foundation, 1,5 Millionen Dollar an die Apache Software Foundation).

Der Plan: Diesen Organisationen Zugang zu Mythos geben, damit sie Schwachstellen in ihrer eigenen Software finden und beheben können, bevor Anthropic das Modell breiter verfügbar macht. Ein 90-Tage-Fenster defensiver Vorsprung.

CrowdStrikes CTO Elia Zaitsev hat die Dringlichkeit auf den Punkt gebracht: "Das Zeitfenster zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung durch einen Angreifer ist zusammengebrochen. Was einst Monate dauerte, passiert jetzt mit KI in Minuten."

Die Börse hat es übrigens bemerkt. Cybersecurity-Aktien fielen 5-11% nach der Ankündigung. Wenn KI Schwachstellen schneller finden kann als Sicherheitsfirmen sie patchen können, verändert das die gesamte Wirtschaft der Branche.

Anthropic hat ein ganzes Ökosystem an Tools und Protokollen aufgebaut, das auf diese Art von kollaborativem Ansatz für KI hindeutet. Glasswing ist nur das dramatischste Beispiel bisher.

Warum Open Source das schon gestern gebraucht hätte

Hier ist der Teil, der mich als Entwickler am meisten betrifft.

97% aller Software enthält Open-Source-Komponenten. Das ist kein Tippfehler. Fast alles, was wir bauen, alles was unsere Kunden nutzen, alles was in der Cloud läuft, sitzt auf einem Fundament aus Open-Source-Code.

Und wer pflegt diesen Code? 5% der Entwickler schaffen 96% des Open-Source-Werts. Die meisten davon machen es kostenlos, in ihrer Freizeit, mit null Sicherheitsbudget.

Erinnerst du dich an die xz-utils-Hintertür von 2024? CVE-2024-3094. Jemand hat zwei Jahre in eine Social-Engineering-Kampagne investiert, langsam Vertrauen bei einem überforderten Maintainer aufgebaut, nur um eine Backdoor in eine Kompressionsbibliothek einzuschleusen, die mit praktisch jeder Linux-Distribution ausgeliefert wird. Zwei Jahre geduldige Manipulation, die den Burnout einer einzigen Person ausgenutzt hat.

Das ist der Zustand der Open-Source-Sicherheit. Kritische Infrastruktur, zusammengehalten von Freiwilligen, die ausbrennen.

Greg Kroah-Hartman, einer der Top-Linux-Kernel-Maintainer, hat es klar gesagt: "Vor einem Monat ist etwas passiert, und die Welt hat sich verändert. Jetzt haben wir echte Berichte."

Und Alex Stamos, ehemaliger Facebook-CSO, hat den Zeitrahmen hinzugefügt, der alle nervös machen sollte: "Wir haben nur etwa sechs Monate, bevor die Open-Weight-Modelle aufholen." Das heißt: Das Fenster, in dem nur verantwortungsvolle Akteure diese Fähigkeit haben, schließt sich schnell.

Die 4 Millionen Dollar an Spenden sind ein Anfang. Aber ein Pflaster auf einem strukturellen Problem. Jim Zemlin von der Linux Foundation hat es am besten gesagt: "Open-Source-Maintainer mussten sich historisch gesehen selbst um Sicherheit kümmern."

Der GPT-2-Präzedenzfall (Und warum es diesmal anders ist)

"Zu gefährlich zum Veröffentlichen" haben wir schon mal gehört.

Im Februar 2019 erklärte OpenAI GPT-2 für zu gefährlich zum Veröffentlichen. Das Internet verdrehte die Augen. Forscher nannten es einen Marketing-Stunt. Im November 2019, neun Monate später, war das vollständige Modell öffentlich verfügbar. Die "Gefahr" stellte sich als übertrieben heraus.

Warum sollten wir Anthropic diesmal ernst nehmen?

Weil es diesmal Beweise gibt. Keine theoretischen Risikobewertungen. Keine hypothetischen Szenarien. Tausende reale Schwachstellen. Funktionierende Exploits gegen Software, die auf Milliarden von Geräten läuft. Ein 27 Jahre alter Bug in einem sicherheitsgehärteten Betriebssystem, den niemand sonst gefunden hat.

Simon Willison, eine der angesehensten Stimmen in der KI-Entwickler-Community, schrieb: "Die Sicherheitsrisiken sind hier wirklich glaubwürdig, und den vertrauenswürdigen Teams zusätzliche Zeit zu geben, um ihnen voraus zu sein, ist ein vernünftiger Kompromiss."

Aber Casey Newton von Platformer hat die unbequeme Prämisse unter all dem aufgeworfen: "Der einzige Weg, uns vor gefährlichen KI-Modellen zu schützen, ist, sie zuerst zu bauen." Denk eine Sekunde darüber nach. Das Argument dafür, eine KI zu bauen, die jede Software auf dem Planeten knacken kann, ist, dass es jemand anders sowieso tun wird, also besser wir als die.

Es ist kein bequemes Argument. Aber ich bin mir nicht sicher, dass es falsch ist.

Ist das die Art, wie KI-Unternehmen sich verhalten sollten?

Ich nutze Linux jeden Tag. FFmpeg läuft hinter praktisch allem, was ich für Kunden baue. OpenBSDs Code steckt im Networking-Stack der meisten Betriebssysteme. Das sind keine abstrakten Produkte für mich. Das sind die Werkzeuge, mit denen ich arbeite.

Als ich erfahren habe, dass ein KI-Modell Schwachstellen in all diesen Systemen gefunden hat, Schwachstellen, die sich seit 16, 17, 27 Jahren versteckt hatten, war meine erste Reaktion keine Angst. Es war Dankbarkeit, dass das Unternehmen, das sie gefunden hat, sich entschieden hat, verantwortungsvoll mit dem Wissen umzugehen.

Und das ist selten. Das ist unglaublich selten in der Tech-Branche.

Die Gegenargumente sind real. Kelsey Piper hat darauf hingewiesen, dass "ein privates Unternehmen jetzt unglaublich mächtige Zero-Day-Exploits für fast jedes Softwareprojekt hat, von dem du je gehört hast." Das ist ein berechtigtes Bedenken. Das ist zentralisierte Macht in einer neuen und unbequemen Form. Was, wenn das Modell gestohlen wird? Was ist mit dem regulatorischen Vakuum rund um das alles?

Aber hier ist meine ehrliche Einschätzung: Vergleich es mit der Alternative. Was, wenn Anthropic Mythos am ersten Tag ausgeliefert hätte? Offener API-Zugang, $25 pro Million Tokens, haut rein? Jeder Script-Kiddie auf der Welt, der automatisierte Schwachstellen-Scans gegen jeden Server im Internet fährt?

Oder schlimmer: Was, wenn ein weniger verantwortungsvolles Labor zuerst dort angekommen wäre?

Anthropic wurde auf der These gegründet, dass KI-Sicherheit nicht nur ein Nice-to-have ist, sondern der ganze Punkt. Mit Project Glasswing ist diese These nicht mehr theoretisch. Sie hatten den Ring. Sie haben ihn losgelassen. Zu beobachten, wie verschiedene KI-Labore an Fähigkeiten herangehen, war immer interessant. Aber das hier ist etwas anderes als Benchmarks und Pacman-Challenges. Das ist ein echter Werte-Test.

Ich weiß nicht, ob ihre Absichten zu 100% rein sind. Ich weiß nicht, ob dieses Modell für immer eingeschränkt bleibt oder ob kommerzieller Druck letztendlich gewinnt. Ich weiß nicht, ob sechs Monate genug Zeit sind, um Jahrzehnte an Schwachstellen zu patchen, bevor Open-Weight-Modelle aufholen.

Aber ich weiß, was sie gestern getan haben. Und es war die richtige Entscheidung.

Was als Nächstes passiert

Das 90-Tage-Offenlegungsfenster läuft. Koalitionsmitglieder scannen gerade aktiv ihre Software mit Mythos. Patches werden entwickelt. Berichte werden veröffentlicht.

Nach der Forschungsphase wird eingeschränkter API-Zugang zu $25/$125 pro Million Tokens eröffnet, mit einem Cyber Verification Program für Sicherheitsexperten, die einen legitimen Bedarf nachweisen können.

Die größere Frage: Werden andere KI-Labore diesem Präzedenzfall folgen, oder werden sie daran vorbeirennen? Anthropic selbst hat es eingeräumt: "Angesichts des Tempos des KI-Fortschritts wird es nicht lange dauern, bis solche Fähigkeiten sich verbreiten, möglicherweise auch bei Akteuren, die sich nicht der sicheren Bereitstellung verpflichtet haben."

Ich habe keine saubere Antwort darauf, was als Nächstes kommt. Niemand hat sie. Aber für einen Tag zumindest hat ein Unternehmen Zurückhaltung über Umsatz, Verteidigung über Disruption und Koalition über Konkurrenz gestellt.

Das ist es wert, beachtet zu werden.

Wenn du als Entwickler oder Unternehmer dich fragst, wie KI die Sicherheit der Tools verändert, auf die wir alle angewiesen sind, lass uns sprechen. Das Tempo ist hoch, und jemanden an der Seite zu haben, der das Ganze genau verfolgt, ist wichtiger denn je.