Das bislang leistungsstärkste Modell von Anthropic, Claude Mythos Preview (auch bekannt als Mythos), wird als „Quantensprung“ in der KI-Leistung beschrieben, insbesondere bei Aufgaben im Bereich der Cybersicherheit.
Anthropic versuchte, Mythos bis vor wenigen Wochen geheim zu halten, als ein Datenleck die Existenz dessen enthüllte, was das Unternehmen als seine bislang leistungsstärkste künstliche Intelligenz bezeichnete. Das Modell gilt sowohl als leistungsstarkes Verteidigungsinstrument als auch – potenziell – als ernstzunehmende offensive Cyberwaffe.
Aus diesem Grund schränkt das Unternehmen den Zugang stark ein und signalisiert, dass es derzeit nicht plant, die Technologie flächendeckend auf den Markt zu bringen. Die angebliche Fähigkeit, Software-Schwachstellen selbstständig und in großem Umfang aufzuspüren und sogar miteinander zu verknüpfen, steht sowohl im Mittelpunkt des Hypes als auch der Gefahr.
Stellen Sie sich ein Tool vor, das selbstständig neue Schwachstellen in Software, Systemen und Plattformen aufspüren und diese dann in Exploits umwandeln kann – selbst wenn dafür eine Verkettung mit anderen Schwachstellen erforderlich ist.
In den falschen Händen könnte dies eine erhebliche Gefahr für unsere Cybersicherheit darstellen. Daher hat Anthropic den Zugang auf eine kleine Anzahl von Organisationen weltweit beschränkt, darunter große Technologieunternehmen und eine ausgewählte Gruppe von Regierungs- oder Sicherheitsbehörden. Berichten zufolge nutzt die NSA bereits „Mythos Preview“, offenbar um sensible Systeme einem Stresstest zu unterziehen und abzusichern, obwohl das Pentagon Anthropic als Risiko für die Lieferkette einstuft.
Mythos kann Schwachstellen in umfangreichen Codebasen schneller und zuverlässiger aufspüren als bestehende Tools und ist in der Lage, mehrere Schwachstellen in einem System zu identifizieren und diese zu mehrstufigen Exploit-Ketten zu kombinieren, um einen Angriff abzuschließen (beispielsweise von einem einfachen Web-Bug bis hin zur vollständigen Übernahme einer Domain). Ein Bug-Bounty-Jäger würde Monate brauchen, um eine weitere Schwachstelle zu finden, geschweige denn eine, die mit der/den bereits entdeckten kombiniert werden kann. Dies noch vor der ersten Schwachstelle zu erreichen, wäre höchst unwahrscheinlich.
In der Praxis könnte dies schnellere Angriffe, komplexere Sicherheitsverletzungen und weniger Zeit für Unternehmen bedeuten, um Schwachstellen zu beheben, bevor diese ausgenutzt werden.
Anthropic selbst hat betont, dass Mythos über längere Zeiträume hinweg mit minimaler Überwachung arbeiten kann, was bedeutet, dass es systematische Angriffskampagnen in einem Ausmaß durchführen könnte, das kein menschliches Team bewältigen könnte.
Anthropic hat in einem internen Dokument auf diese Sicherheitsrisiken hingewiesen:
- KI senkt die Mindestanforderungen für offensive Operationen. Auch weniger erfahrene Akteure könnten Zugang zu sehr wirksamen Werkzeugen erhalten, was die Zahl der komplexen Angriffe erheblich erhöhen würde.
- Techniken wie Fuzzing, Wörterbuchangriffe und andere Brute-Force-Methoden werden wesentlich effektiver, wenn sie durch Automatisierung beschleunigt werden. KI-gestützte Iterationen können einem Angreifer deutlich mehr Versuche ermöglichen, bevor ein Angriff bemerkt wird.
Die beunruhigendste Erkenntnis war jedoch, dass die Angreifer in der aktuellen Phase der KI-Entwicklung schneller neue Strategien entwickeln, während Sicherheitsteams KI-Tools im Allgemeinen später einsetzen als ihre Gegner.
Wie wir wissen, wirkt sich KI in der Cybersicherheit in beide Richtungen aus. Sie hilft uns zwar, uns gegen neue Bedrohungen zu verteidigen, kann aber auch dazu genutzt werden, solche Bedrohungen zu erzeugen. Deshalb kann sich Mythos in den falschen Händen als gefährlicher Gegner erweisen.
Das Ziel bleibt dasselbe, doch der Weg dorthin wird durch Tools wie Mythos geebnet. Aus der Perspektive des Angreifers ist am Ziel nichts Neues. Das Neue daran ist, dass Mythos nun die Karte, das Fahrzeug und den Großteil der Fahrt automatisiert.
Wir berichten nicht nur über Bedrohungen - wir beseitigen sie
Cybersecurity-Risiken sollten nie über eine Schlagzeile hinausgehen. Laden Sie noch heute Malwarebytes herunter, um Bedrohungen von Ihren Geräten fernzuhalten.
