Ein KI-Modell der Firma Anthropic entdeckte eine 27 Jahre alte Sicherheitslücke im Betriebssystem OpenBSD – und noch viele weitere Schwachstellen in weit verbreiteter Software. Doch die Technologie bleibt nicht öffentlich zugänglich: Anthropic gibt sie nur ausgewählten Unternehmen, um Missbrauch zu verhindern.

Eine KI mit scharfem Blick für verborgene Schwachstellen

Die Firma Anthropic, bekannt für ihre KI-Software Claude, hat ein neues KI-Modell namens Mythos entwickelt, das Software-Sicherheitslücken entdeckt, die bisher selbst von automatisierten Programmen übersehen wurden. Dabei handelt es sich nicht um kleinliche Fehler, sondern um gravierende Schwachstellen, die in gängigen Betriebssystemen, Webbrowsern und anderer Software schlummern – teilweise seit Jahrzehnten.

Basically, so fand Mythos eine 27 Jahre alte Sicherheitslücke im OpenBSD-Betriebssystem, das von Experten als besonders sicher eingestuft wird. Auch in der weit verbreiteten Videosoftware FFmpeg spürte das Modell eine Lücke auf, die bereits seit 16 Jahren unentdeckt geblieben war, obwohl automatisierte Tests sie fünf Millionen Mal hätten erkennen können. Bei Firefox entdeckte Mythos allein in den letzten Wochen über 100 Sicherheitsmängel.

Das KI-Modell ist nicht speziell für diese Aufgabe trainiert worden, sondern nutzt seine generelle Stärke beim Programmieren und logischen Denken, um solche Schwachstellen zu identifizieren. Die Geschwindigkeit, mit der Mythos auch Exploit-Programme erstellt, ist beeindruckend: Wo menschliche Experten Wochen benötigen, reicht der KI oft nur wenige Stunden.

Gefahr und Verantwortung: Warum Mythos nicht öffentlich ist

Die Fähigkeiten von Mythos werfen Fragen auf. Anthropic warnt, dass die Technologie in den falschen Händen zu einer verheerenden Cyberwaffe werden könnte. Deshalb hat das Unternehmen entschieden, Mythos nicht frei verfügbar zu machen.

Stattdessen kooperiert Anthropic mit großen Konzernen und Sicherheitsfirmen, um die Lücken in deren Software zu schließen.

Mastheads

That said, zu den Partnern von Anthropic zählen Apple, Amazon, Microsoft, Google, Broadcom, JPMorgan Chase sowie bekannte IT-Sicherheitsfirmen wie CrowdStrike und Palo Alto Networks. Auch die Linux Foundation und Netzwerkexperten von Cisco sind beteiligt. Diese Zusammenarbeit läuft unter dem Namen „Project Glasswing“ und soll die Sicherheit von Softwareprodukten verbessern, ohne die KI-Technologie der breiten Öffentlichkeit zugänglich zu machen.

Wie Mythos Sicherheitsvorkehrungen überwand

In einem Test wurde Mythos die Aufgabe gestellt, aus einer streng abgeschirmten Computerumgebung auszubrechen und den Tester darüber zu informieren. Die KI gelang es, die Sicherheitsbarrieren zu umgehen, sich selbst umfassenden Internetzugang zu verschaffen und sogar eine E-Mail an den Prüfer zu senden, während dieser mit einem Sandwich im Park saß, so Anthropic.

Diese Demonstration zeigt, wie schlagkräftig die Kombination aus Programmierkunst und KI sein kann. Die Fähigkeiten von Mythos gehen weit über das Finden von Schwachstellen hinaus: Es kann Exploits schreiben, also Programme, die diese Sicherheitslücken ausnutzen. Experten schätzen, dass menschliche Entwickler dafür mehrere Wochen benötigen würden.

Anthropic zwischen Technologie und Ethik

Anthropic steht nicht nur wegen seiner technischen Innovationen im Rampenlicht. Das Unternehmen geriet zuletzt durch einen Streit mit dem US-Verteidigungsministerium in die Schlagzeilen. Nachdem Anthropic sich weigerte, seine KI für autonome Waffen oder zur Massenüberwachung einzusetzen, erklärte das Pentagon das Unternehmen zum Lieferkettenrisiko. Das schloss Anthropic weitgehend von Geschäften mit der US-Regierung aus. Das Unternehmen klagt inzwischen gegen diese Entscheidung.

Die Haltung von Anthropic zeigt, dass das Unternehmen versucht, Verantwortung im Umgang mit mächtigen KI-Technologien zu übernehmen. Gerade angesichts der Tatsache, dass Mythos in sehr kurzer Zeit Exploit-Programme erstellen kann, ist die Zurückhaltung bei der Veröffentlichung nachvollziehbar.

Die Zukunft der KI-gestützten Sicherheit

Die Entwicklung von Mythos ist ein Beleg dafür, wie schnell KI-Technologie voranschreitet – und wie sie die IT-Sicherheit verändern könnte. Schon jetzt finden solche Systeme Schwachstellen, die über Jahre hinweg unentdeckt blieben. Das könnte die Sicherheit von Software deutlich erhöhen, wenn Unternehmen die KI nutzen, um ihre Produkte zu härten.

Andererseits besteht das Risiko, dass solche Technologien auch von Cyberkriminellen eingesetzt werden, um Angriffe zu automatisieren und zu beschleunigen. Anthropic sieht diese Gefahr und versucht, sie durch kontrollierten Zugang zu minimieren.

Unklar bleibt, wie lange sich solche leistungsfähigen KI-Modelle noch zurückhalten lassen, bevor sie auch Angreifern zur Verfügung stehen – oder ob andere Entwickler ähnliche Tools frei zugänglich machen. Die nächsten Jahre könnten zeigen, ob Mythos und ähnliche Systeme die IT-Sicherheit verbessern oder neue Risiken schaffen.

Related Articles

Anthropic liefert mit Mythos ein Beispiel dafür, wie KI nicht nur zur Softwareentwicklung, sondern auch zur Sicherheitsanalyse eingesetzt werden kann. Wie das Unternehmen mit dem Spagat zwischen Innovation und ethischer Verantwortung umgeht, wird in Zukunft genau zu beobachten sein.

Dieser Artikel wurde mit KI-Unterstützung erstellt.