Microsofts Patch-Teams unter Druck: Claude Mythos Preview deckt Schwachstellen in Rekordtempo auf

Microsofts Patch-Teams unter Druck durch KI-gestützte Schwachstellensuche

Mitte Mai 2026 kamen Dutzende Microsoft-Ingenieure und ihre Manager in Redmond zusammen – teils vor Ort, teils online –, um über Project Glasswing zu beraten. Anlass war das KI-Modell Claude Mythos Preview, das Schwachstellen im Microsoft-Code in einem beispiellosen Tempo aufdeckte. Das Unternehmen arbeitete fieberhaft daran, die gefundenen Lücken zu stopfen, wie aus einem Bericht hervorgeht. Die Entdeckungsrate war so hoch, dass die herkömmlichen Patch-Prozesse unter erheblichen Druck gerieten. Die Ingenieure beschrieben die Flut der Funde als beispiellos und diskutierten, wie die Abläufe beschleunigt werden können, um mit der KI-gestützten Suche Schritt zu halten.

Project Glasswing: Die Initiative hinter der Schwachstellenjagd

Project Glasswing ist eine am 7. April 2026 von Anthropic gestartete Initiative, die darauf abzielt, die weltweit kritischste Software zu härten, bevor leistungsfähige KI-Modelle von Angreifern missbraucht werden können. Zu den rund 50 Partnern gehören Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, die Linux Foundation, Microsoft, NVIDIA und Palo Alto Networks. Als Werkzeug kommt Claude Mythos Preview zum Einsatz, ein speziell für die Cybersicherheit trainiertes Frontier-Modell. Die Partner setzen das Modell ein, um Schwachstellen in ihrer eigenen Software und der ihrer Kunden zu finden und koordiniert zu schließen. Die Initiative markiert einen Wandel von isolierter Sicherheitsforschung hin zu einer konzertierten Aktion, die die Angriffsfläche des gesamten digitalen Ökosystems verkleinern soll.

Zehntausende Schwachstellen – und über 99 Prozent ungepatcht

Claude Mythos Preview hat im Rahmen von Project Glasswing mehr als 10.000 Schwachstellen mit hohem oder kritischem Schweregrad in systemrelevanter Software identifiziert. Die Funde erstrecken sich über alle großen Betriebssysteme und Webbrowser. Die Cloud Security Alliance (CSA) berichtet, dass bei einer Evaluierung über 99 Prozent der von Mythos entdeckten Lücken ungepatcht blieben. Diese Diskrepanz verdeutlicht, dass die automatisierte Entdeckungsrate die manuellen, oft langwierigen Patch-Prozesse weit übersteigt. Für Sicherheitsteams bedeutet dies, dass sie ihre Priorisierungs- und Patch-Management-Strategien grundlegend überdenken müssen, um die wachsende Zahl ungeschlossener Schwachstellen zu bewältigen. Die schiere Menge der Funde zwingt Unternehmen, ihre Ressourcen für die Fehlerbehebung massiv aufzustocken oder neue Wege der Automatisierung zu finden.

Microsofts doppelte Strategie: Patchen und Integrieren

Microsoft reagiert auf zwei Wegen. In der internen Besprechung Mitte Mai arbeiteten die Ingenieure daran, die akuten Funde abzuarbeiten. Gleichzeitig hat das Unternehmen Pläne veröffentlicht, Claude Mythos Preview direkt in den Security Development Lifecycle (SDL) einzubetten. Statt sich auf statische Analysewerkzeuge zu verlassen, soll die KI künftig Code dynamisch prüfen und komplexe Schwachstellen bereits in der Entwicklungsphase erkennen. Durch die Einbettung in die frühen Phasen des SDL kann die KI Schwachstellen schon beim Schreiben des Codes identifizieren, sodass Entwickler sie sofort beheben können, bevor sie in Produkte gelangen. Dies verkürzt die Zeit bis zur Bereitstellung von Patches erheblich und reduziert die Angriffsfläche. Betroffen sind Kernprodukte wie Windows, Azure, Microsoft 365 sowie Entwicklungstools. Diese Doppelstrategie aus akuter Schadensbegrenzung und langfristiger Integration soll verhindern, dass Microsoft im Wettlauf mit KI-gestützten Angreifern ins Hintertreffen gerät. Die Integration in den SDL ist ein Eingeständnis, dass herkömmliche Methoden der Qualitätssicherung mit der Komplexität moderner Software nicht mehr Schritt halten können.

Folgen für die Cybersicherheit: Neue Ära der Schwachstellensuche

Die Vorgänge um Mythos markieren einen Wendepunkt in der Cybersicherheit. Bislang war die manuelle Suche nach Sicherheitslücken ein limitierender Faktor. Mit Mythos Preview wird diese Suche automatisiert und massiv beschleunigt – über 10.000 Funde in kürzester Zeit belegen dies. Entscheidend ist, dass die Entdeckungsrate nun die Patch-Geschwindigkeit übersteigt, wie die Microsoft-Ingenieure feststellten. Dadurch entsteht eine neue Bedrohungslandschaft: Die Zeitspanne zwischen Entdeckung und Schließung einer Lücke wird zum kritischen Wettlauf. Angesichts der Tatsache, dass über 99 Prozent der Funde ungepatcht blieben, wächst der Druck auf Hersteller, ihre Update-Prozesse grundlegend zu reformieren. Anwender sind einem erhöhten Risiko ausgesetzt, solange die Lücken nicht geschlossen werden. Project Glasswing ist die praktische Umsetzung dieses Ansatzes: Die KI wird gezielt zur Verteidigung eingesetzt, bevor Angreifer ähnliche Modelle für offensive Zwecke nutzen können.

Die Verifikationslücke: Wenn KI schneller findet als Menschen prüfen können

Die Rekordgeschwindigkeit von Claude Mythos bei der Schwachstellensuche wirft die Frage nach der Validierung auf. VellDarksbane in r/cybersecurity schätzt, dass nur etwa 20 % der Funde tatsächlich verifiziert werden – eine „Gish-Gallop“-Taktik, die Ingenieure überrollt. Auch ajferreyros in r/cybersecurity fragt besorgt: „Wer prüft die 10k Bugs auf False Positives? Uff.“ Dass blindes Vertrauen in die KI keine Lösung ist, unterstreicht 69Turd69Ferguson69 in r/cybersecurity mit beißender Ironie: „Zum Glück lügt oder übertreibt Anthropic nie, also ist das auch ohne unabhängige Prüfung absolut vertrauenswürdig.“