Cybersecurity nach Mythos: Warum die Branche ruhig bleiben sollte

Nach der Ankündigung und dem kurzen Release von Claude Mythos und Fable 5 hat die Cybersecurity-Branche aufhorchen lassen. Morgan Hotonnier von Cephalosec argumentiert in einem neuen Blogpost: “Keep Calm and Carry On” – und liefert eine differenzierte Analyse der tatsächlichen Auswirkungen.

Was ist Mythos eigentlich?

Mythos wurde als revolutionäres Modell für automatisierte Zero-Day-Entdeckung und Exploitation angekündigt. Anthropic selbst sprach von einem “Game Changer” in der Security-Forschung. Das begleitende Project Glasswing ermöglichte einem begrenzten Kreis von 150 Organisationen den Zugriff.

Die UK AI Security Institute bestätigte: Mythos ist das erste Modell, das “Expert Level Tasks” besteht und die “The Last One” Cyber-Range erfolgreich absolviert – ein Test, der den kompletten Angriffszyklus von Reconnaissance bis Network Takeover umfasst.

Die Realität hinter der Hype

Hotonnier zeichnet ein differenzierteres Bild:

Kosten vs. Nutzen: Die BSD-Schwachstelle, die Mythos fand, kostete etwa $20.000 an Compute – bei 1000 Runs durch das Scaffold. Project Glasswing hat ein Token-Budget von $100 Millionen. Das ist weit entfernt von “demokratisierter Vulnerability-Discovery”.

Graduelle Verbesserung: GPT-5.4 und Opus 4.6 sind in vielen Benchmarks nicht weit hinter Mythos. Der Fortschritt ist real, aber evolutionär – nicht revolutionär.

Alternative Modelle: Interessanterweise zeigen DeepSeek, Gemma 4 und Qwen 3.6 respectable Ergebnisse in Self-Hosting-Szenarien – sie finden etwa die Hälfte der Mythos-Schwachstellen, wenn mit ähnlichen Harnesses gefüttert.

Was Mythos wirklich neu macht

Der entscheidende Unterschied zu früheren Modellen: Mythos kann nicht nur Warnungen ausgeben, sondern Exploitability beweisen. Das löst das False-Positive-Problem klassischer AI-Bug-Hunting-Ansätze. Mozilla und andere Projekte haben bereits bestätigt, dass Mythos-Funde reproduzierbar und verwertbar sind.

Aisle’s Behauptung, “das Geheimnis liegt im Harness, nicht im Modell”, wird teilweise widerlegt: Kleinere Modelle können zwar Schwachstellen detektieren, aber keine validen Exploits schreiben.

Was bedeutet das für Security-Teams?

Hotonniers Fazit: Weniger ändern als gedacht.

• Die Grundlagen – Patch-Management, Segmentierung, Monitoring – bleiben kritisch
• AI-assistierte Vulnerability-Discovery wird zugänglicher, aber nicht revolutionär
• Die Bedrohung kommt eher von gut finanzierten Akteuren als von “Script Kiddies”
• False Positives bleiben ein Problem – Mythos reduziert, aber eliminiert sie nicht

Der wichtigste Takeaway: Die Panik vor “vollautomatisierten Hacking” ist übertrieben. Mythos ist ein Werkzeug für fortgeschrittene Teams – kein “Jedermann-Kann-Alles-Hacken”-Szenario.

Ausblick

Mit der vorübergehenden Entfernung von Mythos und Fable 5 vom Markt bleibt abzuwarten, wann und in welcher Form sie zurückkehren. Für Security-Professionals bedeutet das: Weitermachen mit etablierten Prozessen, aber die Entwicklung im Auge behalten. Die schärfste Waffe bleibt weiterhin ein gut gepatchtes System.