Anthropic veröffentlicht Project Glasswing und erweitert den Einsatz von KI zur Entdeckung von Schwachstellen im großen Maßstab
Initiative vereint AWS, Apple, Microsoft, Google, CrowdStrike und Palo Alto Networks in einer Koalition, die das Modell Claude Mythos Preview nutzt, um Schwächen in kritischen Software-Systemen zu identifizieren.
Executive Summary
Kontext
Anthropic kündigte Anfang Mai 2026 die Einführung des Project Glasswing an, eines Programms, das einer ausgewählten Gruppe von Unternehmen das Modell Claude Mythos Preview zur Verfügung stellt, das vom Unternehmen selbst als noch nicht kommerziell erhältliches Spitzenmodell beschrieben wird. Der Fokus des Programms liegt auf der Nutzung der Code-Denkfähigkeiten von Mythos zur Identifizierung und Behebung kritischer Schwachstellen in weit verbreiteter Software.
In internen Tests, die von Anthropic und ersten Teilnehmern durchgeführt wurden, fand das Modell Tausende von Zero-Day-Schwachstellen in allen bedeutenden Betriebssystemen und allen wichtigen Webbrowsern, wie von The Hacker News basierend auf einer offiziellen Mitteilung von Anthropic veröffentlicht.
Die Koalition umfasst AWS, Apple, Cisco, CrowdStrike, Google, JPMorgan Chase, Microsoft, Palo Alto Networks sowie etwa 40 weitere Organisationen, die Zugang zum Programm erhalten haben. Anthropic hat 100 Millionen USD an Nutzungsgutschriften für das Modell bereitgestellt, um die Bemühungen zu unterstützen.
Die Daten
Der Umfang der Entdeckungen signalisiert ein neues Niveau der Einsatzmöglichkeiten von KI für defensive und offensive Sicherheit. Unter den dokumentierten Funden von Anthropic befindet sich eine seit 27 Jahren bestehende Schwachstelle im OpenBSD, einem Betriebssystem, das als Referenz für sichere Architektur gilt, mit kontinuierlicher manueller Überprüfung und Millionen von automatisierten Tests.
Anthropic hat keine vollständige Liste der entdeckten CVEs veröffentlicht und verweist auf einen koordinierten Offenlegungsprozess mit den Herstellern. Der Zeitrahmen für die Behebung wurde nicht bekannt gegeben.
Eine Studie von Arctic Wolf, einem Partner des Programms, beschreibt die Initiative als Wendepunkt im Gleichgewicht zwischen Angreifern und Verteidigern, da historisch gesehen offensive Akteure die ersten waren, die Fähigkeiten der generativen KI operationalisierten.
Sektoraler Einfluss
Die Ankündigung reorganisiert die strategische Diskussion über den Einsatz von KI in der Cybersicherheit auf drei Ebenen. Erstens hebt sie die verfügbaren defensiven Fähigkeiten für Unternehmen, die Zugang zu frontier models haben, wodurch potenzielle Asymmetrien im Vergleich zu Organisationen geschaffen werden, die ausschließlich auf traditionelle Commodity-Tools wie SAST und DAST angewiesen sind.
Zweitens antizipiert sie die kommerzielle Verfügbarkeit dieser Fähigkeiten. Anthropic positioniert Mythos als Preview, was darauf hindeutet, dass das Modell oder abgeleitete Versionen in einem Zeitraum von 12 bis 18 Monaten kommerziell erhältlich sein werden. Für brasilianische CTOs bedeutet dies, dass Vendor-Evaluierungszyklen für AppSec-Plattformen ab dem zweiten Halbjahr 2026 native Funktionen zur Erkennung über generative Frontier-KI einbeziehen müssen.
Drittens intensiviert dies das Dilemma der Dual-Use-Technologie. Die gleichen Fähigkeiten, die Verteidigern zugutekommen, sind mit geringerer Latenz auch für Angreifer zugänglich, die über Ressourcen verfügen, um auf gleichwertige APIs bei weniger restriktiven Anbietern zuzugreifen. Das Zeitfenster zwischen Entdeckung und globalem Patch tendiert dazu, sich zu verkürzen, was eine operationale Reife im Patch-Management erfordert.
Für den brasilianischen Markt hat dies unmittelbare Auswirkungen auf MSSPs, lokale Softwarehersteller und Integratoren, die bedeutende Anteile des unterstützten Parks halten. Quartalsverträge für Patches, die in Brasilien noch üblich sind, könnten sich als unzureichend für das neue Tempo der Entdeckung von Schwachstellen erweisen.
Risiken und Chancen
Das konkretste Risiko ist das der Wettbewerbssymmetrie. Unternehmen mit direktem Zugang zu Claude Mythos oder ähnlichen Modellen von OpenAI, Google und Meta tendieren dazu, mit einem anderen Maß an Sichtbarkeit über ihren eigenen Code und ihre Infrastruktur zu operieren. Brasilianische Beratungen, die von internationalen Lieferketten abhängig sind, müssen identifizieren, welche Kunden bereits Zugang haben und welche nicht.
Die Chance liegt im Aufbau von Praktiken zur KI-unterstützten Sicherheitsüberprüfung als Differenzierungsmerkmal. Unternehmen, die interne Pipelines zur Überprüfung von Code mit Frontier-Modellen strukturieren, selbst wenn sie keinen Zugang zum Glasswing-Programm haben, können automatisierte Audits als Premium-Service anbieten.
Es gibt auch regulatorische und rechtliche Risiken: Der Einsatz von generativer KI zur Analyse von Drittcode ohne ausdrückliche Zustimmung des Rechteinhabers kann an vertragliche Klauseln und die LGPD (Allgemeine Datenschutzgesetz) stoßen, wenn der Code personenbezogene Daten verarbeitet. Juristische Gutachten über den Umfang der Nutzung sollten jeder breiten Einführung vorausgehen.
Was Führungskräfte beobachten sollten
1. Überwachung des Offenlegungsprozesses: Patches in Bezug auf die Entdeckungen des Mythos werden in den kommenden Quartalen schrittweise eintreffen. Die Frequenz der Prüfung von Patch-Notizen von Microsoft, Apple, Linux-Upstreams und den wichtigsten Browsern erhöhen.
2. Bewertung von AppSec-Anbietern: In die RFP-Zyklen für 2026 einen expliziten Anforderungen über den Einsatz von Frontier-KI-Modellen im Erkennungs-Pipeline einbeziehen. Nach reproduzierbaren Nachweisen der Fähigkeit anfordern.
3. Interne Richtlinie zur Nutzung von KI zur Codeüberprüfung: Gemeinsam mit der Rechtsabteilung und der Sicherheit definieren, welche Codebasen externen Modellen unterzogen werden können und unter welchen vertraglichen Klauseln mit Anbietern.