Anthropic findet über 10.000 Schwachstellen mit KI-Initiative Glasswing

Anthropic hat am Freitag berichtet, dass seine Initiative „Project Glasswing" im ersten Monat ihres Bestehens mehr als 10.000 Schwachstellen mit hohem oder kritischem Schweregrad in systemrelevanter Software identifiziert hat. Das KI-Unternehmen und rund 50 Partner nutzten dafür das Modell Claude Mythos Preview, um kritische Software-Infrastrukturen systematisch zu scannen. Der Fortschritt der Initiative wird laut Anthropic inzwischen weniger durch die Entdeckungsrate begrenzt als durch die Geschwindigkeit, mit der Schwachstellen verifiziert, offengelegt und behoben werden können.

Cloudflare fand im Rahmen des Projekts 2.000 Fehler in seinen geschäftskritischen Systemen, von denen 400 als hoch- oder kritisch eingestuft wurden. Das Unternehmen berichtete, dass sich die Rate der Fehlererkennung um mehr als das Zehnfache erhöht habe. Mehrere andere Partner meldeten ähnliche Steigerungen bei den Erkennungsraten von Schwachstellen.

Beeindruckende Ergebnisse bei Mozilla und Open-Source-Projekten

Mozilla fand und behob bei Tests von Mythos Preview 271 Schwachstellen in Firefox 150 – mehr als das Zehnfache der Anzahl, die in Firefox 148 mit Claude Opus 4.6 gefunden wurde. Das britische AI Security Institute erklärte, dass Mythos Preview das erste Modell sei, das beide seiner sogenannten „Cyber Ranges" – also standardisierte Cyber-Testumgebungen – durchgängig gelöst habe.

Anthropic scannte darüber hinaus mehr als 1.000 Open-Source-Projekte mit Mythos Preview und fand dabei schätzungsweise 6.202 Schwachstellen mit hohem oder kritischem Schweregrad von insgesamt 23.019 identifizierten Lücken. Von den 1.752 als hoch oder kritisch eingestuften Schwachstellen, die von unabhängigen Sicherheitsforschungsfirmen bewertet wurden, wurden 90,6 Prozent als valide bestätigt und 62,4 Prozent als hoch- oder kritisch verifiziert.

Kritische Lücke in Kryptographie-Bibliothek wolfSSL entdeckt

Eine besonders schwerwiegende entdeckte Schwachstelle betraf wolfSSL, eine Kryptographie-Bibliothek, die von Milliarden von Geräten weltweit genutzt wird. Der Exploit hätte es einem Angreifer ermöglicht, Zertifikate zu fälschen, um manipulierte Websites für Banken oder E-Mail-Anbieter zu hosten – ein erhebliches Risiko für Millionen von Nutzern. Die Schwachstelle erhielt die offizielle Kennung CVE-2026-5194 und wurde bereits behoben.

Anthropic legte den Maintainern der betroffenen Projekte insgesamt 530 Fehler mit hohem oder kritischem Schweregrad offen. Davon wurden 75 bereits behoben und für 65 öffentliche Sicherheitshinweise herausgegeben. Die Behebung eines von Mythos Preview gefundenen Fehlers mit hohem oder kritischem Schweregrad dauert im Durchschnitt zwei Wochen.

Große Technologieunternehmen reagieren mit mehr Patches

Auch große Technologiekonzerne profitieren von der Initiative. Palo Alto Networks integrierte in seiner neuesten Version mehr als fünfmal so viele Patches wie üblich. Microsoft erklärte, dass die Anzahl der neu veröffentlichten Patches weiterhin steigen werde. Oracle findet und behebt Schwachstellen in seinen Produkten einem Vielfachen schneller als zuvor.

Anthropic hat Claude Security vor drei Wochen in der öffentlichen Beta-Phase für Claude-Enterprise-Kunden freigegeben. Das Tool wurde bereits eingesetzt, um über 2.100 Schwachstellen mithilfe von Claude Opus 4.7 zu beheben. Zusätzlich ging Anthropic eine Partnerschaft mit dem Projekt „Alpha-Omega" der Open Source Security Foundation ein, um Maintainer bei der Bearbeitung von Fehlerberichten zu unterstützen.

Modelle der Mythos-Klasse hat Anthropic bislang noch nicht für die breite Öffentlichkeit freigegeben. Das Unternehmen begründet dies mit der Notwendigkeit strengerer Sicherheitsvorkehrungen, um einen möglichen Missbrauch der leistungsstarken Fähigkeiten zu verhindern.