Stell dir vor, du verantwortest die IT-Sicherheit einer Bank oder einer Behörde. Es gibt ein KI-Modell, das jahrzehntealte Lücken in deiner Software finden und beim Schließen helfen kann. Nur: Du kannst es nicht nutzen. Der Zugang ist auf einige Dutzend Organisationen beschränkt. Genau so sieht es derzeit bei Anthropics Claude Mythos Preview aus. Das Modell bleibt verschlossen, weil es leistungsfähig ist, und diese Abschottung entscheidet, wer zuerst verteidigen kann.
Was ist Claude Mythos Preview, und warum ist es nicht öffentlich?
Am 7. April 2026 kündigte Anthropic die Initiative Project Glasswing an. Im Mittelpunkt steht Claude Mythos Preview, ein unveröffentlichtes Frontier-Modell. Mit „Frontier-Modell“ ist die leistungsfähigste Modellklasse gemeint, die ein Unternehmen entwickelt hat. Anthropic schreibt klar, dass es nicht plant, dieses Modell allgemein verfügbar zu machen.
Der Grund ist seine Stärke in der Cybersicherheit. Dieselbe Fähigkeit wirkt in beide Richtungen. In den Händen eines Verteidigers findet sie eine Lücke, bevor sie sich ausbreitet. In den Händen eines Angreifers verkürzt sie den Weg zur Ausnutzung genau dieser Lücke. Deshalb hat Anthropic das Modell für defensive Arbeit einer begrenzten Gruppe reserviert, die kritische Software entwickelt oder pflegt.
Wie stark ist das Modell in der Cybersicherheit?
Laut Anthropic hat Mythos Preview tausende Schwachstellen mit hohem Schweregrad gefunden, darunter Lücken in jedem großen Betriebssystem und jedem großen Webbrowser. Die genannten Beispiele sind konkret. Eine 27 Jahre alte Lücke in OpenBSD konnte es einem Angreifer erlauben, einen entfernten Rechner zum Absturz zu bringen. Ein 16 Jahre alter Fehler in FFmpeg war von automatisierten Tests fünf Millionen Mal ausgelöst worden, ohne entdeckt zu werden. Im Linux-Kernel ließen sich verkettete Schwachstellen nutzen, um von einem normalen Benutzerkonto zur vollen Kontrolle über den Rechner zu gelangen.
Anthropic gibt an, dass Mythos Preview im Sicherheits-Benchmark CyberGym 83,1 Prozent erreichte, das ältere Claude Opus 4.6 dagegen 66,6 Prozent. Das sind Zahlen des Unternehmens selbst, deshalb zählt, was ein unabhängiger Test sagt.
Das staatliche britische AI Security Institute (AISI) veröffentlichte seine Bewertung am 13. April 2026, sechs Tage nach der Ankündigung. Das AISI sieht das Modell eine Stufe über früheren Frontier-Modellen. Bei CTF-Aufgaben auf Expertenniveau, also wettbewerbsartigen Aufgaben, bei denen man eine Lücke ausnutzt, um eine versteckte „Flagge“ zu erbeuten, lag die Erfolgsquote bei 73 Prozent. Vor April 2025 konnte kein Modell diese Aufgaben lösen.
Noch auffälliger ist das Ergebnis im 32-stufigen simulierten Angriff auf ein Unternehmensnetz, für den das Institut bei einem menschlichen Experten rund 20 Stunden veranschlagt. Mythos Preview löste das Szenario als erstes Modell vollständig, in 3 von 10 Versuchen, und schaffte im Schnitt 22 der 32 Schritte. Claude Opus 4.6 kam im Schnitt auf 16.
Auch die Grenzen benennt das AISI. Das Modell konnte „Cooling Tower“, eine Umgebung, die industrielle Steuerungssysteme nachbildet, nicht abschließen; laut Institut blieb es in den IT-Abschnitten hängen. Wichtiger noch: In den Testumgebungen gab es keine aktiven Verteidiger, keine Abwehrwerkzeuge und keine Nachteile beim Auslösen von Alarmen. Das AISI kann daher nicht sagen, wie sich das Modell gegen gut verteidigte Systeme schlagen würde.
Wer hat Zugang bekommen, und wer wartet noch?
Die Gründungspartner von Glasswing sind 12 Organisationen: Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, die Linux Foundation, Microsoft, NVIDIA und Palo Alto Networks. Anthropic zufolge wurde der Zugang auf mehr als 40 weitere Organisationen ausgeweitet, die kritische Software-Infrastruktur entwickeln oder pflegen. Das Unternehmen sagte bis zu 100 Millionen Dollar an Nutzungsguthaben und 4 Millionen Dollar an direkten Spenden zu.
Für eine Organisation, die nicht auf dieser Liste steht, sieht es anders aus. Das Modell ist nicht allgemein verfügbar; Zugang gibt es per Einladung oder Bewerbung, zu Bedingungen, die das Unternehmen festlegt. Ein Update vom 6. Oktober 2026 auf Anthropics Seite kündigt ein erweitertes Cyber Verification Program mit drei Zugangsstufen an; bestehende Glasswing-Mitglieder wechseln in die Stufe „Specialized Access“. Die Tür ist also nicht ganz zu, aber das Unternehmen entscheidet, wer durch welche Tür geht.
Wo steht Europas Cybersicherheitsagentur?
Auf staatlicher Seite erwähnt die Ankündigung nur laufende Gespräche mit US-Regierungsvertretern. Die EU-Cybersicherheitsagentur ENISA steht nicht auf der Liste. Laut einem Bericht von heise online vom 1. Juni 2026 sagte ein ENISA-Sprecher, Gespräche über einen Zugang liefen, die Bedingungen würden aber noch verhandelt. Die EU-Kommission sprach von „mehreren produktiven Treffen“ mit Anthropic. Dem Bericht zufolge wäre die ENISA die erste EU-Behörde mit Zugang; einen Zeitplan nannte die Kommission nicht.
Ein Verhandlungspunkt war, wie weit Anthropics Zugriff auf EU-Systeme reicht, wenn europäische Stellen das Modell nutzen. Das klingt nach einer technischen Fußnote, ist aber der Kern. Wer die eigene Infrastruktur mit dem Modell eines Anbieters durchsucht, teilt womöglich einen Teil des Wissens über diese Infrastruktur mit dem Anbieter.
Ich lese das als Frage nach Sicherheitsgrenzen. Im April waren die 12 Gründungspartner überwiegend US-Unternehmen, die erste unabhängige Bewertung kam aus Großbritannien, und im Juni verhandelte die EU-Cybersicherheitsagentur noch über Bedingungen. Das ist weniger eine Verzögerung als eine Reihenfolge: Der frühe Vorteil in der Verteidigung liegt bei denen, die Zugang haben. Wer keinen hat, muss davon ausgehen, dass andere dieselben Lücken finden können. Welche Tür öffnen wir hier? Geteilter Zugang bedeutet auch eine geteilte Datengrenze, und die europäische Vorsicht, diese Tür nicht zu öffnen, bevor der Vertrag das klar regelt, halte ich für richtig.
Was heißt das praktisch?
Die Empfehlungen des AISI klingen nach Routine, bekommen in diesem Zusammenhang aber Gewicht: Sicherheitsupdates regelmäßig einspielen, Zugriffsrechte und Sicherheitskonfiguration straff halten, umfassend protokollieren (Logging). Das Institut verweist zudem auf das Programm Cyber Essentials des britischen NCSC und rät, schon jetzt in Cyberabwehr zu investieren, weil künftige Frontier-Modelle noch leistungsfähiger sein werden.
Die Logik ist einfach. Die Art von Lücken, die Mythos Preview findet, steckt in altem Code, der jahrelang unbemerkt blieb. Sobald Patches dafür erscheinen, werden Systeme, die mit dem Patchen warten, zu den leichtesten Zielen. Auch ohne Zugang zum Modell liegt deine Patch-Geschwindigkeit in deiner Hand. Die Zugangsliste bestimmen Organisationen nicht, das Tempo, in dem sie ihre eigenen Systeme pflegen, aber schon.
