Am 7. April kündigte Anthropic offiziell Mythos an.
Die Diskussionen damals drehten sich fast ausschließlich darum: Wie beängstigend ist dieses Modell, könnte es außer Kontrolle geraten, und warum berief das Weiße Haus eine Dringlichkeitssitzung ein?
15 Tage später gab Microsoft bekannt, Mythos in seinen eigenen Security Development Lifecycle (SDL) integriert zu haben.
Kein Test, kein Pilotprojekt, sondern die Integration der KI-gestützten Schwachstellensuche in den offiziellen Softwareentwicklungsprozess.
Zusammengenommen zeigen diese beiden Ereignisse eines: Mythos hat sich im Bereich der Cybersicherheit von "zu gefährlich, um es herauszugeben" zu "einem Werkzeug, das von Großkonzernen eingesetzt wird" entwickelt.
Was ist der SDL und was bedeutet die Integration?
Der Security Development Lifecycle ist eine Sicherheitsentwicklungsmethodik, die Microsoft seit 2004 anwendet. Sie schreibt vor, dass alle Microsoft-Produkte in jeder Entwicklungsphase – von Design über Code bis zur Bereitstellung – einer Sicherheitsüberprüfung unterzogen werden müssen. Dies ist keine Option, sondern ein verbindlicher Prozess vor der Markteinführung aller Microsoft-Produkte.
Die Integration von Mythos in den SDL bedeutet: Bevor Microsoft-Code in die Produktion geht, scannt eine KI ihn zunächst proaktiv auf Schwachstellen.
Microsoft verwendete seinen eigenen CTI-REALM-Benchmark zur Bewertung von Mythos, einen Test, der speziell für "reale Erkennungsaufgaben" entwickelt wurde. Das Ergebnis war eine "substanzielle Verbesserung gegenüber früheren Modellen". Konkrete Punktzahlen wurden nicht veröffentlicht, aber eine solche Formulierung wird in offiziellen Microsoft-Ankündigungen in der Regel nicht leichtfertig verwendet.
Was kann Mythos leisten?
Anthropic schrieb im Project Glasswing-Dokument sehr direkt:
"KI-Modelle können jetzt autonom Softwareschwachstellen erkennen, mehrere Schwachstellen mit niedrigem Risiko zu einer nutzbaren End-to-End-Exploit-Kette verketten und ausführbaren Proof-of-Concept-Code generieren."
In einfachen Worten: Früher konnte eine KI Ihnen sagen "hier gibt es ein potenzielles Injection-Risiko", aber jetzt kann Mythos Ihnen sagen "hier gibt es ein Injection-Risiko, zusammen mit einer Rechteausweitung dort und dieser Authentifizierungslücke – ich habe Ihnen bereits ein Exploit-Skript geschrieben".
Dies ist kein Scan-Tool, sondern ein Red-Team-Mitglied, das Kombinationsangriffe ausführen kann.
Derzeit hat Mythos tausende kritischer Schwachstellen in Betriebssystemen und Browsern gefunden – diese Zahl stammt aus der Microsoft-Ankündigung, nicht aus Spekulationen.
Project Glasswing: Microsoft, Amazon, Apple
Anthropic hat für Mythos einen kontrollierten Bereitstellungsmechanismus namens Project Glasswing entwickelt – der nur bestimmten Großkonzernen offensteht, die diese Fähigkeit unter strengen Zugriffsbeschränkungen nutzen können.
Die drei bestätigten Teilnehmer sind: Microsoft, Amazon, Apple.
Die Gemeinsamkeiten dieser drei Unternehmen: Sie alle verfügen über große Mengen an eigenentwickeltem Code, der kontinuierlich sicherheitsrelevant gewartet werden muss, sie alle haben interne Sicherheitsteams, die solche Werkzeuge einsetzen können, und sie alle verfügen über ausreichende Ressourcen, um die von Mythos gefundene Schwachstellenmenge zu bewältigen.
Dieser letzte Punkt ist entscheidend. Man kann dieses Werkzeug nicht einfach für jedermann öffnen, denn nach der Entdeckung von Schwachstellen müssen diese behoben werden. Wenn man nicht schnell genug nachbessern kann, wird die Schwachstellenliste selbst zu einem Risiko – sollte sie durchsickern, wären die Folgen schlimmer, als wenn die Schwachstellen nie entdeckt worden wären. Hier liegt die Logik der kontrollierten Bereitstellung.
Microsoft setzt nicht auf ein einzelnes Modell
Ein Satz ist bemerkenswert: In der Microsoft-Ankündigung heißt es, "kein einzelnes Modell definiert unsere Strategie".
Das bedeutet: Sie testen gleichzeitig die Sicherheitsfähigkeiten mehrerer KI-Unternehmen. Mythos ist derzeit das leistungsstärkste, aber sie behalten sich das Recht vor, jederzeit zu wechseln.
Microsoft hat diese Position als Multi-Modell-Wettbewerbsstruktur konzipiert. Der aktuelle Gewinner ist Mythos, aber der Platz ist nicht fest vergeben.
Für Anthropic ist dies eine heikle Lage – in den Kernentwicklungsprozess des weltweit größten Unternehmenssoftwareanbieters aufgenommen zu werden, aber jederzeit ersetzt werden zu können. Diese Position des "Nützlichseins ohne Burggraben" ist im Unternehmens-KI-Markt typisch.
Microsoft plant, im Juni 2026 eine Vorschauversion des Multi-Modell-KI-Sicherheitsscans zu veröffentlichen. Dann sollten mehr öffentliche Testdaten verfügbar sein.
Warum offensive Sicherheitstests durch KI ein großer Wendepunkt sind
KI hat zwei Richtungen in der Cybersicherheit:
Defensive Seite – hilft Ihnen, Angriffe zu erkennen, bösartigen Datenverkehr zu filtern und SOC-Aufgaben zu automatisieren. Auf diesem Weg sind bereits viele Unternehmen tätig, und der Markt hat sich etabliert.
Offensive Seite (offensive security) – spielt aktiv den Hacker, der Schwachstellen in Ihrem eigenen Code sucht. Auf diesem Weg ist das Angebot an menschlichen Red-Team-Mitgliedern begrenzt, die Kosten sind hoch und die Abdeckung ist begrenzt. Wie viele Runden von Red-Team-Tests in einem Produktveröffentlichungszyklus durchgeführt werden können, hängt im Wesentlichen von der Teamgröße ab.
Mythos geht den zweiten Weg, und nach den bisherigen Daten hat seine Fähigkeit das Niveau "für den Produktionseinsatz geeignet" erreicht.
Am Tag der Microsoft-Ankündigung stieg die MSFT-Aktie um 1,86 %. Das Urteil des Marktes war eindeutig.
Die interessantere Frage ist: Wird die Multi-Modell-Scan-Lösung, die im Juni auf den Markt kommt, zum Standard für alle großen Softwareunternehmen werden? Wenn ja, handelt es sich um einen beträchtlichen neuen Markt, und es gibt heute nur wenige Akteure auf der offensiven Seite.
Quellenangabe: CocoLoop, Microsoft to integrate Anthropic's Mythos into its security development program (Reuters/iTnews); AI-powered defense for an AI-accelerated threat landscape (Microsoft Security Blog); Microsoft (MSFT) Stock Integrates Anthropic Claude Mythos Into Security Framework (CoinCentral)