Das US-amerikanische KI-Unternehmen Anthropic hat bedeutende Fortschritte bei der automatisierten Identifizierung von Sicherheitslücken erzielt. Wie aus jüngsten Berichten hervorgeht, gelang es einer Vorschauversion des Modells Claude Mythos, neuartige Angriffe auf das Post-Quanten-Signaturverfahren HAWK sowie auf optimierte Varianten des Verschlüsselungsstandards AES zu entwickeln.
In einer Versuchsreihe konnte die KI die effektive Schlüssellänge von HAWK um die Hälfte reduzieren. Dieser Befund wurde laut Unternehmensangaben innerhalb von 60 Stunden in einem semi-autonomen Verfahren erzielt. Parallel dazu identifizierte das System einen Angriff auf eine Variante von AES mit sieben Runden. Durch den Einsatz einer sogenannten „Möbius Bridge“ konnte die Geschwindigkeit des Angriffs um das 200- bis 800-fache gesteigert werden.
Hohe Effizienz bei der Schwachstellensuche
Anthropic bezifferte die Kosten für die API-Nutzung pro kryptografischem Angriff auf etwa $100.000 US-Dollar. Trotz der Schwere der theoretischen Befunde betonte das Unternehmen, dass nach aktuellem Kenntnisstand keine Produktivsysteme von den Entdeckungen unmittelbar betroffen seien. Die Ergebnisse zum HAWK-Verfahren wurden bereits im Juni 2026 mit den Entwicklern des Protokolls geteilt und in Abstimmung mit dem National Institute of Standards and Technology (NIST) koordiniert.
Die Analysefähigkeiten erstrecken sich zudem auf klassischen Programmcode. Das Modell Mythos 5 identifizierte unter anderem eine 27 Jahre alte Schwachstelle in OpenBSD, einen seit 16 Jahren bestehenden Fehler in FFmpeg sowie einen Root-Exploit für FreeBSD. In Simulationen komplexer, mehrstufiger Angriffsketten war das Modell in der Lage, alle 32 Phasen erfolgreich zu bewältigen. Die Kosten pro Angriffskette wurden dabei auf einen Bereich zwischen $50 US-Dollar und $10.000 US-Dollar geschätzt.
Bei spezialisierten Aufgaben für Sicherheitsexperten, sogenannten Capture-The-Flag-Tests (CTF), erreichte Mythos eine Erfolgsquote von 68,6 %. Im Vergleich dazu erzielte das Konkurrenzmodell GPT-5.5 eine Quote von 71,4 %. Um die Forschung im Bereich der automatisierten Kryptoanalyse voranzutreiben, arbeitete Anthropic mit der ETH Zürich, der Universität Tel Aviv und der Universität Haifa zusammen, um die Benchmark-Plattform CryptanalysisBench zu entwickeln.
Die rasante Entwicklung bei der automatisierten Schwachstellensuche durch KI zeigt, wie schnell sich die Bedrohungslage für Unternehmen verändern kann. Dieser kostenlose Report klärt darüber auf, welche neuen rechtlichen Pflichten und Cyberrisiken Unternehmer jetzt kennen müssen, um ihre IT-Infrastruktur proaktiv abzusichern. Neue KI-Gesetze und Cyberrisiken jetzt kostenlos analysieren
Behörden warnen vor Sicherheitsrisiken durch KI
Die Fortschritte in der KI-gestützten Schwachstellensuche rufen auch staatliche Akteure auf den Plan. Todd Hemmen, stellvertretender Abteilungsleiter beim FBI, erklärte, dass die Fähigkeit von Systemen wie Mythos, Sicherheitslücken in weit verbreitetem Open-Source-Code zu finden, die Strafverfolgung künftig vor erhebliche Herausforderungen stellen werde. Zwar habe das FBI bisher keinen flächendeckenden operativen Einsatz solcher Technologien durch Angreifer beobachtet, rechne jedoch fest mit einer entsprechenden Entwicklung.
Das FBI selbst nutzt KI derzeit in rund 50 verschiedenen Anwendungsfällen. Allerdings räumte die Behörde ein, dass für Hochrisiko-Anwendungen bisher noch kein vollständiges Risikomanagement implementiert wurde. Auf politischer Ebene reagierte die US-Regierung bereits im Juni 2026 mit einer präsidialen Verordnung, die unter anderem die Einrichtung einer zentralen Koordinierungsstelle sowie klassifizierte Benchmarks für KI-Bedrohungen vorsieht.
Während KI-Systeme immer komplexere Angriffe ermöglichen, verschärft der Gesetzgeber weltweit die Regeln für den Einsatz dieser Technologien. Ein neuer Umsetzungsleitfaden zur EU-KI-Verordnung bietet Unternehmen jetzt einen kompakten Überblick über alle Anforderungen, Risikoklassen und Dokumentationspflichten für einen rechtssicheren Betrieb. Kostenlosen Leitfaden zum EU AI Act herunterladen
Für das Modell Mythos 5 galten zeitweise Exportbeschränkungen, die im Juni 2026 verhängt worden waren. Diese wurden jedoch zum 30. Juni wieder aufgehoben, nachdem Anthropic entsprechende Sicherheitsvorkehrungen nachweisen konnte. Branchenexperten werten die aktuellen Entwicklungen als deutliches Signal dafür, dass die automatisierte Suche nach Sicherheitslücken durch große Sprachmodelle die Cybersicherheitslandschaft nachhaltig verändern wird.
