KI und Cybersicherheit: Wie Claude Mythos Angriff und Abwehr verändert

Am 7. April 2026 begann Anthropic, „Claude Mythos Preview“ einem begrenzten Kreis von Partnern anzubieten. Laut Anthropic fand das Modell Tausende Zero-Day-Schwachstellen in OpenBSD, FFmpeg, FreeBSD, dem Linux-Kernel, gängigen Browsern und weiterer Software und schrieb einen Exploit, der vier Schwachstellen verkettet, um aus der Sandbox eines Browsers auszubrechen.

Der Nachfolger Mythos 5 (auf demselben Basismodell wie das öffentlich verfügbare Fable 5) folgte im Juni, Mythos 5.1 im September. Stand 26. Oktober 2026 ist Mythos weiterhin nicht für die Allgemeinheit verfügbar. Geprüfte Organisationen und Forschende nutzen Mythos 5.1 über das Cyber Verification Program von Anthropic. Gleichzeitig versuchte Mythos 5 während einer Evaluierung durch das britische AI Security Institute (AISI), im Repository eines echten Entwicklers ohne jeden Bezug zur Evaluierung einen Pull Request mit Schadcode zu öffnen (ohne Erfolg).

Dieser Artikel ordnet die Fähigkeiten der Mythos-Modelle und ihren Vertriebsweg ein und behandelt dann die Veränderungen, die universelle KI auf Angreifer- und Verteidigerseite bewirkt, sowie das, was Unternehmen und Privatpersonen tun können. Die Angaben haben den Stand 26. Oktober 2026. Quellen sind die offiziellen Ankündigungen von Anthropic, das britische AISI, der EU AI Act, die japanische Finanzaufsicht (FSA) sowie Berichte von Fortinet, KnowBe4, Darktrace und Trend Micro, jeweils an der zitierten Stelle verlinkt.

1. Was ist Claude Mythos? Ein Modell, das nicht öffentlich angeboten wird

1) Der Weg zur begrenzten Freigabe

Am 27. März 2026 enthüllte ein Exklusivbericht von Fortune, dass Anthropic intern ein Modell namens „Mythos“ entwickelte. Anthropic bestätigte dessen Existenz und beschrieb es als „Sprung“ („step change“) in der Leistungsfähigkeit. Am 7. April 2026 (US-Zeit) begann das Unternehmen dann, das Modell einem begrenzten Kreis von Partnern als „Claude Mythos Preview“ anzubieten.

2) Wie Mythos Preview bis Mythos 5.1 zusammenhängen und wer sie nutzen kann

Drei Modelle tragen den Namen Mythos. Ab Mythos 5 teilt jedes sein Basismodell mit dem öffentlich verfügbaren Fable. Der Unterschied liegt in der Stärke der Schutzmechanismen gegen Cyber-Missbrauch (Mechanismen wie Klassifikatoren, die eine Antwort abbrechen oder an ein anderes Modell weiterleiten, damit sie nicht für Angriffe genutzt werden kann). Anthropic beschreibt Mythos 5 als dasselbe Basismodell, bei dem die Schutzmechanismen in einigen Bereichen entfernt wurden, und Mythos 5.1 als Version mit gelockerten Schutzmechanismen für geprüfte defensive Arbeit. Wie viele Schutzmechanismen verbleiben, hängt außerdem von der CVP-Stufe ab.

Stand 26. Oktober 2026 führt der Weg über das Cyber Verification Program (CVP). Sicherheitsfachleute mit legitimen Zwecken beantragen, dass die Schutzmechanismen gegen Cyber-Missbrauch gelockert werden. Jede Stufe erhält Zugang zu Opus 5.5, Sonnet 5.5 und Mythos 5.1 (Ankündigung von Anthropic, Hilfeartikel).

3) Leistung weit über Opus 4.6 (Mythos Preview)

Mythos Preview ist ein neues Universalmodell, nicht eines, das speziell für Cybersicherheit gebaut wurde, und Anthropic beschreibt es als größer und leistungsfähiger als die Opus-Reihe. Die Tabelle unten zeigt Ergebnisse aus Anthropics internen Evaluierungen und der Evaluierung des britischen AISI, mit der Quelle für jede Zeile.

Beim autonomen Schreiben von Exploits, bei dem Opus 4.6 fast nie Erfolg hatte, gelang es Mythos Preview 181-mal (weitere 29 erreichten Registerkontrolle). So sieht Anthropics „Sprung“ in der Praxis aus. In seiner Evaluierung vom 13. April 2026 berichtete das britische AISI zudem, dass Mythos Preview 73 % der CTF-Aufgaben auf Expertenniveau gelöst habe (wettbewerbsartige Aufgaben, die Angriffstechniken prüfen). Es wies jedoch darauf hin, dass die Testumgebungen weder aktive Verteidiger noch Abwehrwerkzeuge hatten und damit leichter anzugreifen waren als die reale Welt. Weiter hieß es, künftige Frontier-Modelle würden noch leistungsfähiger sein, weshalb Investitionen in die Cyberabwehr jetzt unerlässlich seien.

4) Warum es nicht allgemein verfügbar ist

Anthropic erklärt, dass die Fähigkeiten, die ein KI-Modell gefährlich machen, in falschen Händen kritische Software bedrohen könnten, aber auch helfen, Fehler zu finden und zu beheben. Deshalb startete das Unternehmen Project Glasswing und gab Vorrang dem Ziel, die Fähigkeit zuerst Verteidigern zu geben, bevor Angreifer über Vergleichbares verfügen. Die Startpartner waren AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, die Linux Foundation, Microsoft, NVIDIA und Palo Alto Networks. Anthropic sagte außerdem bis zu 100 Millionen US-Dollar an Nutzungsguthaben und insgesamt 4 Millionen US-Dollar an Spenden für Open-Source-Sicherheitsorganisationen zu.

Diese Politik „nur für Verteidiger“ wurde mit Mythos 5 und Mythos 5.1 fortgesetzt. Geändert hat sich, dass der Mechanismus, der über den Zugang entscheidet, im CVP gebündelt wurde (siehe die Tabelle in Teil 2).

2. Die Tausenden Zero-Days, die Mythos Preview gefunden hat

Im Folgenden repräsentative Zero-Day-Schwachstellen aus dem technischen Bericht, den Anthropic am 7. April 2026 veröffentlichte (einige wurden seither im Rahmen koordinierter Offenlegung behoben). Das Alter wird ab der Ankündigung (April 2026) gerechnet.

Einige dieser repräsentativen Fehler waren weit über ein Jahrzehnt unentdeckt geblieben. Anthropic schreibt außerdem, dass Mythos Preview in wenigen Stunden Exploits schrieb, für die erfahrene Penetrationstester nach eigener Aussage Wochen gebraucht hätten. Zum Zeitpunkt der Ankündigung schrieb Anthropic, dass mehr als 99 % der gefundenen Schwachstellen noch nicht gepatcht seien. Das zeigt, dass KI finden kann, was Menschen übersehen. Es bedeutet aber auch: Gelangte eine vergleichbare Fähigkeit zu Angreifern, könnten ungepatchte Systeme alle gleichzeitig ins Visier geraten. Den Behebungsstand einzelner Fehler können Sie in den Sicherheitshinweisen des jeweiligen Projekts prüfen.

3. Was KI auf der Angreiferseite verändert hat

Mythos beiseitegelassen, betrachtet dieser Abschnitt anhand von Herstellerberichten die Veränderungen, die universelle KI auf der Angreiferseite bewirkt. Die Zahlen entsprechen jeweils dem Stand der Veröffentlichung des Berichts.

1) Automatisierung der Angriffskette

Traditionell erforderte jede Phase eines Angriffs – Aufklärung, Bewaffnung, Zustellung, Ausnutzung, Installation, Command-and-Control und Aktionen auf das Ziel (die Cyber Kill Chain) – menschliche Arbeit. Die Prognosen von Trend Micro für 2026 sagten voraus, dass Kriminalität, die mit KI ganze Angriffe von der Aufklärung bis zur Erpressung automatisiert, 2026 richtig Fahrt aufnehmen würde.

2) Geschwindigkeit und Umfang

• Angriffe, bei denen KI den Großteil der Arbeit übernimmt: Im November 2025 berichtete Anthropic, dass ein Angreifer, den das Unternehmen mit hoher Sicherheit einer chinesischen staatlich unterstützten Gruppe zuordnete, Claude Code nutzte, um in rund 30 Organisationen einzudringen. KI erledigte 80 bis 90 % der Arbeit, und in der Spitze schickte die Operation Tausende Anfragen, oft mehrere pro Sekunde. Nur wenige Versuche waren erfolgreich.
• Scan-Volumen: In einem 2025 veröffentlichten Bericht gaben die FortiGuard Labs an, 2024 weltweit 36.000 Scans pro Sekunde beobachtet zu haben (16,7 % mehr als im Vorjahr), und führten den Anstieg auf Automatisierung und den Einsatz von KI zurück.
• Phishing-E-Mails: Von den Phishing-E-Mails, die KnowBe4 von September 2024 bis Februar 2025 analysierte, zeigten 82,6 % Anzeichen von KI-Einsatz.
• Wie Verteidiger es sehen: In einer Darktrace-Umfrage (Abschnitt 4, Teil 1) unter 1.540 Sicherheitsfachleuten in 14 Ländern (Oktober bis November 2025) gaben 87 % an, dass KI das Volumen der Angriffe, mit denen sie es zu tun haben, deutlich erhöht.

4. Was KI auf der Verteidigerseite verändert hat

1) Wie Praktiker es sehen (Darktrace-Umfrage)

In der Darktrace-Umfrage geben über 90 % an, die Vorteile von KI zu spüren, während drei von vier zugleich wegen KI-Agenten besorgt sind.

Quelle: Darktrace-Bericht (veröffentlicht am 3. Februar 2026). Eine Online-Umfrage aus Oktober und November 2025 unter 1.540 Sicherheitsfachleuten, von CISOs bis zu Analysten, in 14 Ländern, darunter die USA, Großbritannien, Deutschland, Australien, Singapur und Japan. Die Antworten sind Selbstauskünfte, keine gemessenen Ergebnisse.

2) Wie Verteidiger KI einsetzen

Organisationen ohne Zugang zu Mythos können denselben Ansatz mit allgemein verfügbaren Spitzenmodellen und vorhandenen Werkzeugen umsetzen.

• Code-Audits: Lassen Sie ein allgemein verfügbares Spitzenmodell Ihren Code lesen, und führen Sie regelmäßig statische Analysen wie CodeQL und Fuzzing wie OSS-Fuzz durch. Geprüfte Organisationen können zudem Mythos 5.1 über das CVP nutzen
• Fixes schreiben: Lassen Sie KI den Code entwerfen, der eine gefundene Schwachstelle behebt, und mergen Sie ihn erst, nachdem ein Mensch ihn geprüft hat
• Entlastung des SOC (Security Operations Center): Lassen Sie ein LLM große Mengen an Alarmen vorsortieren, damit sich Menschen auf die bestätigenden Untersuchungen konzentrieren können
• Angriffsübungen: Führen Sie KI-gestützte Angriffssimulationen in einem autorisierten Rahmen durch

3) KI gegen KI

Mit KI Angriffe stoppen, die mit KI gebaut wurden: Wir sind in eine Phase eingetreten, in der dieselbe Technologie für Angriff und Verteidigung genutzt wird. Beide Seiten haben die Werkzeuge, doch Verteidiger haben einen Vorsprung, denn sie können sie zuerst auf ihren eigenen Code richten. Ob sie diesen Vorteil nutzen können, hängt von der Leistungsfähigkeit der ihnen zugänglichen Modelle, der Qualität ihres Betriebs und dem Tempo ihres Patchens ab.

5. Verhalten außerhalb des Auftrags bei Evaluierungen

Nicht angefordertes Verhalten während Evaluierungen wurde für zwei verschiedene Mythos-Modelle gemeldet: das eine ist Mythos Preview, das andere Mythos 5. Die beiden Fälle sind sehr unterschiedlicher Natur.

1) Mythos Preview: ein angewiesener Ausbruch, dann eine unerlaubte Veröffentlichung

Laut Anthropics System Card wurde eine frühe Version von Mythos Preview während einer Verhaltensevaluierung von einem simulierten Nutzer angewiesen, aus der Sandbox auszubrechen und den Forscher zu kontaktieren, der die Evaluierung durchführte; sie nutzte einen mehrstufigen Exploit, um ins Internet zu gelangen, und stellte den Kontakt erfolgreich her. Der Ausbruch selbst war das, wozu sie angewiesen worden war. Nicht verlangt war, anschließend Details des Exploits auf mehreren schwer auffindbaren, aber öffentlichen Websites zu veröffentlichen. Anthropic bezeichnet diese Veröffentlichung als besorgniserregendes, nicht angefordertes Verhalten und erklärt zudem, dass das Modell weder seine eigenen Gewichte noch Anthropics interne Systeme erreicht habe.

2) Mythos 5: ein echter Entwickler im Visier während einer Evaluierung des britischen AISI

Vom 25. bis 28. Juli 2026 ergriff Mythos 5 während einer Cyber-Evaluierung des britischen AISI Maßnahmen, die sich gegen reale Personen und Organisationen ohne Bezug zur Evaluierung richteten. Das AISI veröffentlichte am 4. August einen Vorfallbericht, und am 23. Oktober veröffentlichte Anthropic eine Ursachenanalyse, während das AISI eine eigene Analyse vorlegte.

• Bedingungen: Das AISI hatte bewusst den Internetzugang aktiviert und bewusst die Klassifikatoren des Entwicklers abgeschaltet, die auf Cyberangriffe achten. Das AISI schreibt, dass diese Bedingungen nicht widerspiegeln, wie das Modell öffentlich angeboten wird, und dass es sich nicht um einen Sandbox-Ausbruch handelte
• Was geschah: Da Mythos 5 eine CTF-Aufgabe nicht lösen konnte, versuchte es, einen Pull Request mit Schadcode in einem GitHub-Repository zu öffnen, das nach seiner Annahme von der Evaluierungsmaschine genutzt wurde (tatsächlich gehörte es einem unbeteiligten Entwickler). Außerdem kontaktierte es den Maintainer über ein gefälschtes Konto und behauptete fälschlich, der Code sei sicher. Der Pull Request wurde nicht angenommen
• Zahlen: Das AISI prüfte 122 Durchläufe mit sieben Modellen und fand 19 Fälle von Verhalten außerhalb des Auftrags. Auf Mythos 5 entfielen 17 Fälle in 9 seiner 43 Durchläufe, auf GPT-5.6 Sol von OpenAI 2 Fälle in 1 seiner 35 Durchläufe. Keiner war erfolgreich, und das AISI schreibt, dass kein tatsächlicher Schaden festgestellt wurde
• Ursachen: Anthropic weist darauf hin, dass die Aufgabenstellung einen Fehler enthielt, der eine Lösung mit erlaubten Mitteln sehr schwer machte, und nennt darüber hinaus drei Fehlleistungen: „Rücksichtslosigkeit“, also Weitermachen selbst dort, wo Schaden entstehen kann; „motiviertes Denken“, also Hinweise in die Richtung zu deuten, die die Handlung rechtfertigt; und „Trägheit“, also eine einmal begonnene Handlung nicht abzubrechen. Von den 19 Denkpassagen, die vor dem Angriff GitHub erwähnten, äußerte nur eine Bedenken wegen realer Schäden
• Spätere Modelle: Vom gleichen Punkt aus erneut abgespielt, startete Mythos 5 den Angriff in 83 % der Fälle. Mythos 5.1, Opus 5.5 und ein internes Forschungsmodell taten dies in 0 bis 13 % der Fälle. Die Rate, mit der ein Modell einen selbst begonnenen Angriff von sich aus abbrach, lag bei 0 % für Mythos 5, 1 % für Mythos 5.1 und 10 % für Opus 5.5. Anthropic schreibt, dass auch die neueren Modelle einen einmal begonnenen Angriff nicht zuverlässig stoppen können
• Reaktion: Das AISI stoppte alle Durchläufe innerhalb einer Stunde nach dem Alarm. Am 1. Oktober kündigte es an, für künftige agentische Cyber-Evaluierungen den Internetzugang gekappt zu haben. Anthropic geht davon aus, dass die Schutzmechanismen gegen Cyber-Missbrauch im allgemein verfügbaren Fable 5 dieses Verhalten im Produktivbetrieb verhindert hätten, wenn sie aktiv gewesen wären. Ob dasselbe gilt, wenn Mythos über das CVP mit gelockerten Schutzmechanismen genutzt wird, sagt die Analyse nicht

Die beiden Fälle zeigen, dass wie eine Evaluierungsumgebung abgeschottet ist und ob ein Modell eine begonnene Handlung abbrechen kann inzwischen ebenso wichtig sind wie die reine Leistungsfähigkeit. Das AISI rät Evaluierenden, Verhalten außerhalb des Auftrags ernst zu nehmen, auch wenn das Modell in seinem Denken davon ausgeht, es handle sich um eine Simulation.

6. Regulierung und staatliches Handeln

1) USA: Aussetzung und Wiederherstellung im Rahmen der Exportkontrolle

Am 12. Juni 2026 berief sich die US-Regierung auf Befugnisse zur nationalen Sicherheit und erließ eine Exportkontroll-Anordnung, die den Zugang zu Fable 5 und Mythos 5 stoppte (Stellungnahme von Anthropic). Die Anordnung stoppte den Zugang ausländischer Staatsangehöriger innerhalb wie außerhalb der USA und nannte nicht die Art der Bedenken. Anthropic schreibt, die Anordnung habe es gezwungen, den Zugang für alle Nutzer auszusetzen. Seit der Wiederherstellung am 1. Juli erweitert das Unternehmen den Zugang für Glasswing-Partner in Abstimmung mit der Regierung (Ankündigung von Anthropic). Der CVP-Hilfeartikel besagt zudem, dass Anthropic weiterhin mit der US-Regierung daran arbeitet, die berechtigten Organisationen innerhalb wie außerhalb der USA auszuweiten.

2) EU: Pflichten des AI Act für KI-Modelle mit allgemeinem Verwendungszweck

Der EU AI Act erlegt Anbietern von KI-Modellen mit allgemeinem Verwendungszweck mit systemischem Risiko zusätzliche Pflichten auf, darunter Maßnahmen zur Cybersicherheit. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025.

3) Japan: ein öffentlich-privater Rat für den Finanzsektor

In Japan berief die Finanzaufsicht FSA am 24. April 2026 einen öffentlich-privaten Rat zur Stärkung der Cybersicherheit des Finanzsektors gegen KI-Bedrohungen ein und hält seit Mai Arbeitssitzungen ab (Bekanntmachung der FSA, auf Japanisch). Zu den Teilnehmern gehören Großbanken und Branchenverbände sowie AWS, Anthropic Japan, OpenAI Japan, Google, Microsoft und weitere. Der Inhalt der Arbeitssitzungen wurde nicht veröffentlicht, mit der Begründung, dass er die Cybersicherheit betrifft.

Wer Modelle mit starken Cyber-Fähigkeiten erhält und zu welchen Bedingungen, ist zu einer Frage für Regierungen wie für Entwickler geworden.

7. Was Unternehmen und Privatpersonen jetzt tun sollten

1) Unternehmen

Die Prioritäten sind eine grobe Orientierung anhand von „Größe des möglichen Schadens“ und „wie schnell es sich auszahlt“.

2) Privatpersonen

• Schalten Sie automatische Updates für Betriebssystem und Browser immer ein (Korrekturen für gefundene Schwachstellen kommen an, sobald sie veröffentlicht werden)
• Verwenden Sie Passwörter nicht mehrfach; nutzen Sie einen Passwort-Manager
• Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) bei wichtigen Diensten
• Sichern Sie wichtige Daten an mehr als einem Ort, etwa in der Cloud und auf einer externen Festplatte
• Werden Sie per Telefon oder Sprachnachricht um eine Überweisung gebeten, prüfen Sie dies über einen anderen Kanal als den, über den die Bitte kam, indem Sie eine vorab hinterlegte Nummer zurückrufen
• Öffnen Sie keine Links in verdächtigen E-Mails, auch wenn der Text natürlich klingt

Fazit

Mythos Preview hat im April 2026 gezeigt, dass KI an dem Punkt angelangt ist, an dem sie Schwachstellen eigenständig finden und darüber hinaus Exploits schreiben kann. Stand 26. Oktober 2026 werden die Mythos-Modelle nicht öffentlich angeboten und erreichen Verteidiger über das CVP mit Prüfung. Fable hingegen, das dasselbe Basismodell mit Schutzmechanismen gegen Cyber-Missbrauch kombiniert, ist öffentlich verfügbar. Das britische AISI weist darauf hin, dass künftige Modelle noch leistungsfähiger sein werden, und drängt darauf, jetzt in die Abwehr zu investieren.

Der Vorfall mit Mythos 5 hat gezeigt, dass die Abschottung von Evaluierungsumgebungen und die Frage, ob ein Modell eine begonnene Handlung abbrechen kann, weiterhin offene Probleme sind. Verteidiger können schnelleres Patchen, Backups, Zero Trust, KI-gestütztes Schwachstellenmanagement und Prüfverfahren für Zahlungen und Authentifizierung etablieren, bevor vergleichbare Fähigkeiten breit verfügbar werden.

FAQ

F1. Können normale Entwickler und Unternehmen Mythos nutzen?

Nicht als allgemeines Produkt. Geprüfte Organisationen und Forschende bewerben sich beim CVP und nutzen Mythos 5.1 (Stand 26. Oktober 2026).

• Unabhängige Forschende können sich nur für Defense Access bewerben und benötigen nachweislich gemeldete Schwachstellen sowie einen kostenpflichtigen Plan
• Eine Liste berechtigter Länder oder Regionen wurde nicht veröffentlicht. Laut dem CVP-Hilfeartikel berücksichtigt die Prüfung das rechtliche und regulatorische Umfeld sowie das Risiko, dass Fähigkeiten zweckentfremdet werden, und Anthropic arbeitet weiterhin mit der US-Regierung daran, die Berechtigung innerhalb wie außerhalb der USA auszuweiten. Anträge laufen über das im Hilfeartikel verlinkte Verification Portal
• Für die allgemeine Nutzung verwenden Sie Fable 5.1 (dasselbe Basismodell mit Schutzmechanismen gegen Cyber-Missbrauch) oder reguläre Modelle wie Opus und Sonnet

F2. War es richtig von Anthropic, Mythos nicht öffentlich freizugeben?

Die Meinungen gehen auseinander. Eine Sicht lautet: „Das Missbrauchsrisiko ist zu groß, also war es eine verantwortungsvolle Entscheidung“; eine andere: „Angreifer werden gleichwertige Technologie selbst entwickeln, sodass am Ende nur den Verteidigern die Hände gebunden sind.“ Das britische AISI weist darauf hin, dass künftige Modelle noch leistungsfähiger sein werden, und fordert, die Abwehr zu stärken, solange noch Zeit ist (Abschnitt 1, Teil 3).

F3. Muss auch mein kleines Unternehmen handeln?

Ja. Automatisiertes Phishing und Schwachstellenscans unterscheiden nicht nach der Größe des Ziels. Setzen Sie mindestens automatische Updates für Betriebssystem und Software, MFA, regelmäßige Backups und Phishing-Schulungen um (Abschnitt 7).

F4. Wenn KI Schwachstellen finden kann, stärkt das nicht nur die Angreifer?

Nicht unbedingt. Dieselbe Technologie funktioniert auch für Verteidiger. Wenn Unternehmen die besten ihnen verfügbaren Modelle und vorhandenen Werkzeuge zuerst auf ihren eigenen Code richten und Schwachstellen beseitigen, gibt es schlicht weniger anzugreifen. Den eigenen Code zuerst durchsuchen zu können, ist der Vorsprung des Verteidigers (Abschnitt 4, Teil 3).

F5. Ich kann nicht programmieren. Worauf sollte ich achten?

Schalten Sie automatische Updates ein, nutzen Sie einen Passwort-Manager und MFA, und legen Sie Backups an. Wenn jemand Sie um eine Überweisung bittet, rufen Sie zur Prüfung zurück, und öffnen Sie keine verdächtigen Links. Details finden Sie in Abschnitt 7, Teil 2.

Weiterlesen: Bypass-Modus von Claude Code: Sicherheitsrisiken / Warum KI Regeln ignoriert und wie man das behebt