Firefox 150 hat in einem einzigen Release 271 Sicherheitslücken geschlossen.
Für Mozilla ist das ein neuer Rekord bei der Zahl der Korrekturen in einer einzelnen Version. Im gleichen Zeitraum des Vorjahres wurden in einem Firefox-Release ungefähr 31 Schwachstellen behoben. Der Sprung von 31 auf 271 ist keine normale Steigerung, sondern ein Wechsel der Größenordnung.
Der Grund dafür heißt Claude Mythos.
Mozilla nutzte Mythos über mehrere Monate
Bevor Anthropic Mythos im April 2026 öffentlich vorstellte, hatten mehrere große Unternehmen bereits Zugriff auf eine Preview-Version. AWS, Apple, Google, Microsoft, Mozilla und weitere Firmen gehörten zu einem internen Kreis namens Project Glasswing.
Mozilla ließ Mythos Preview mehrere Monate laufen. Als Firefox 150 ausgeliefert wurde, standen in der Sicherheitsbilanz auffällige Zahlen:
- Alle 271 gemeldeten Schwachstellen wurden behoben.
- 180 davon stufte Mozilla als sec-high ein, die höchste interne Schwereklasse für Probleme, die beim normalen Surfen ausnutzbar sein können.
- Drei Fehler erhielten formale CVE-Kennungen: CVE-2026-6746, CVE-2026-6757 und CVE-2026-6758. Viele der übrigen Fälle waren interne Funde, Härtungsmaßnahmen oder Probleme in Codepfaden, die nicht als ausnutzbar galten.
- Der älteste Fehler steckte seit 15 Jahren im Code: ein HTML-Parsing-Bug aus Code vor 2011.
Firefox-CTO Bobby Holley formulierte das Ergebnis aufschlussreich: Ermutigend sei, dass Mozilla keine Schwachstelle gesehen habe, die ein erstklassiger menschlicher Forscher nicht hätte finden können.
Anders gesagt: Mythos tat nicht etwas, das nur KI leisten kann. Es erledigte Arbeit, die menschliche Sicherheitsforscher bereits beherrschen, nur sehr viel schneller.
Mozilla benennt den neuen Engpass
Mozillas Chief Engineer Brian Grinstead sagte gegenüber TechCrunch, es sei schwer zu überschätzen, wie stark sich diese Dynamik für das Team verändert habe. Solche Werkzeuge seien plötzlich sehr gut geworden.
Noch wichtiger war seine Aussage zum Reparaturprozess:
Jede Korrektur bedeutet weiterhin, dass ein Engineer den Patch schreibt und ein anderer ihn reviewt. Mozilla kann diesen Schritt nicht automatisieren.
Genau dort liegt der Kern. Mythos findet die Lücken. Schließen müssen sie weiterhin Menschen. Für Mozillas Engineers heißt das nicht, dass es weniger Bugs gibt. Es heißt, dass die Warteschlange der zu behebenden Bugs deutlich länger geworden ist.
Die Zahlen bestätigen das. Firefox behob im April 2026 423 Bugs, verglichen mit 31 im selben Monat des Vorjahres.
Die Kurzfassung lautet: KI hat das Finden von Fehlern um eine Größenordnung beschleunigt, während das Beheben weiter mit menschlicher Kapazität skaliert. Der Engpass ist von der Suche zur Remediation gewandert.
Warum Anthropic Mythos nicht öffentlich freigibt
Mythos bleibt vorerst innerhalb von Project Glasswing. Nur eine kleine Gruppe vertrauenswürdiger Partner kann die Preview-Version nutzen. Anthropics Begründung ist klar: In den falschen Händen könnte das Werkzeug tief verborgene 0-days ans Licht bringen.
Tests von Palo Alto Networks ergaben, dass ein Mythos-Penetrationstest dem Umfang von einem Jahr menschlicher Arbeit entsprach und weniger als drei Wochen dauerte.
Das erklärt, warum Anthropic keine offene Freigabe riskiert. In der Schwachstellenforschung entscheidet Geschwindigkeit darüber, ob Angreifer oder Verteidiger zuerst da sind. Wenn ein System der Mythos-Klasse Angreifern früher zur Verfügung steht, als Verteidiger patchen können, wächst die Zahl ausnutzbarer Lücken schneller, als die gute Seite sie schließen kann.
Die Zahl 271 bei Firefox zeigt bereits, dass KI-Schwachstellenjäger auf diesem Niveau eine unumkehrbare technische Veränderung sind. Die Frage ist nicht mehr, ob sie eine Rolle spielen, sondern wer sie zuerst nutzen darf.
Aus Sicht von Anthropic ist es sicherer, das System mit einer kleinen Gruppe vertrauenswürdiger Partner reifen zu lassen, als es sofort zu öffnen. Aus Sicht des Open-Source-Ökosystems fehlen jedoch Projekte wie OpenBSD, Apache und der Linux-Kernel auf der Project-Glasswing-Liste.
Die zweite Hälfte dieses Konflikts dürfte spannend werden.
Quellen: CocoLoop, How Anthropic's Mythos has rewritten Firefox's approach to cybersecurity (TechCrunch), Claude Mythos Finds 271 Firefox Vulnerabilities (SecurityWeek), Behind the Scenes Hardening Firefox with Claude Mythos Preview (Mozilla Hacks)