Ein KI-Modell von Anthropic hat in Zusammenarbeit mit Mozilla 271 Sicherheitslücken im Browser Firefox 150 aufgedeckt – darunter bislang unbekannte Zero-Days. Der Befund markiert einen Wendepunkt in der automatisierten Schwachstellenforschung und stellt die Frage: Wie verändert KI die Spielregeln der Cybersicherheit?
Anthropics KI-Modell “Mythos” identifiziert 271 Sicherheitslücken in Firefox 150
Automatisierte Schwachstellenanalyse auf neuem Niveau
Anthropics neues KI-Modell Mythos hat im Rahmen einer Zusammenarbeit mit Mozilla insgesamt 271 Sicherheitslücken im Browser Firefox 150 aufgedeckt. Mozillas CTO bezeichnete das Modell als ebenso leistungsfähig wie die besten menschlichen Sicherheitsforscher weltweit – ein Befund, der die Debatte über den Einsatz von KI in der Schwachstellenforschung neu entfacht.
Die gefundenen Lücken umfassen nach Angaben von Mozilla Zero-Day-Schwachstellen – also bislang unbekannte Sicherheitsprobleme, für die zum Zeitpunkt der Entdeckung noch keine Patches existierten. Die schiere Anzahl von 271 Befunden in einem einzelnen Softwareprodukt verdeutlicht, welche Kapazitäten spezialisierte KI-Modelle bei der statischen und dynamischen Codeanalyse entwickeln können. Manuelle Sicherheitsprüfungen durch menschliche Forscher würden für ein vergleichbares Ergebnis erheblich mehr Zeit und Ressourcen erfordern.
Mythos wurde offenbar gezielt für sicherheitsrelevante Aufgaben entwickelt und unterscheidet sich damit vom breiten Anwendungsspektrum anderer Large Language Models aus dem Hause Anthropic. Details zur genauen Methodik – etwa ob das Modell primär auf statischer Codeanalyse, Fuzzing-Techniken oder einer Kombination basiert – hat Anthropic bislang nicht vollständig offengelegt.
Einordnung durch Mozilla
„Mythos ist in jeder Hinsicht so leistungsfähig wie die besten Sicherheitsforscher der Branche.”
— CTO, Mozilla
Diese Aussage ist bemerkenswert, weil Mozilla seit Jahren ein aktives Bug-Bounty-Programm betreibt und regelmäßig mit erfahrenen Penetrationstestern zusammenarbeitet. Der Vergleich mit menschlichen Experten markiert damit eine neue Messlatte für KI-gestützte Sicherheitstools.
Alle identifizierten Schwachstellen wurden Mozilla vor der Veröffentlichung gemeldet. Über den aktuellen Patchstatus hat das Unternehmen noch keine vollständige Auskunft gegeben.
Chancen und Risiken einer dualen Technologie
Der Fall Mythos illustriert exemplarisch die Dual-Use-Problematik von KI in der Cybersicherheit: Dieselben Fähigkeiten, die zur defensiven Schwachstellensuche eingesetzt werden, könnten theoretisch auch für offensive Zwecke genutzt werden. Sicherheitsforscher und Regulatoren diskutieren seit Längerem, wie der Zugang zu solchen Modellen geregelt werden sollte – bislang ohne einheitliche internationale Standards.
Unternehmen, die kritische Software betreiben, könnten KI-gestützte Analysen künftig als integralen Bestandteil ihres Secure Development Lifecycle (SDLC) einsetzen – und Schwachstellen deutlich früher im Entwicklungsprozess erkennen.
Relevanz für deutsche Unternehmen
Für Sicherheitsverantwortliche in deutschen Unternehmen ergibt sich aus dieser Entwicklung ein konkreter Handlungsbedarf:
- KI-gestützte Schwachstellenscanner werden mittelfristig zum Standard in professionellen Security-Operations-Umgebungen.
- Betreiber proprietärer oder sicherheitskritischer Software – etwa in den Bereichen Industrie, Finanz oder Gesundheit – sollten prüfen, ob bestehende Penetrationstesting-Prozesse durch KI-basierte Analysetools ergänzt werden können.
- Gleichzeitig empfiehlt sich eine kritische Auseinandersetzung mit den Risiken, die entstehen, wenn solche Modelle außerhalb kontrollierter Kooperationen wie der Mozilla-Anthropic-Partnerschaft Verwendung finden.
Quelle: Ars Technica AI
