Claude Mythos kann über Nacht vier Schwachstellen verketten. Anthropics Project Glasswing signalisiert, dass das Sicherheitsmodell von Web3 bereits obsolet ist.
Anthropic hat leise etwas bestätigt, vor dem die Blockchain-Branche sich längst hätte fürchten müssen. Sein unveröffentlichtes Frontier-Modell, Claude Mythos, hat eine Schwelle überschritten, von der Sicherheitsforscher jahrelang gehofft hatten, sie würde nie erreicht werden. Ingenieure ohne jeglichen Sicherheitshintergrund können es jetzt über Nacht anweisen und mit einem funktionierenden Remote-Code-Execution-Exploit aufwachen.
Das ist keine Warnung vor der Zukunft. Es ist bereits geschehen.
Laut alicharts auf X identifizierte Mythos einen 27 Jahre alten Bug in OpenBSD, der von menschlichen Prüfern jahrzehntelang übersehen wurde. Dasselbe Modell verkettene vier separate Schwachstellen, um aus einem Browser-Sandbox zu entkommen. Diese Aufgabe dauert für hochspezialisierte menschliche Teams typischerweise Monate.
Was Web3 nicht wahrhaben will
Anthropic veröffentlichte die Details direkt. Die Formulierung war bewusst und drastisch. Die Mythos-Vorschau hatte bereits Tausende von Schwachstellen hoher Schwere gefunden, darunter einige in jedem größeren Betriebssystem und Webbrowser. Blockchain-Protokolle, die auf periodische menschliche Audits angewiesen sind, stehen genau im Fadenkreuz.
Project Glasswing ist die Antwort. Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA, Palo Alto Networks und die Linux Foundation schlossen sich der Anstrengung an. Anthropic stellte bis zu 100 Millionen US-Dollar an Nutzungsguthaben für den defensiven Einsatz des Modells bereit. Weitere 4 Millionen US-Dollar gingen direkt an Open-Source-Sicherheitsorganisationen.
Die Einordnung von Anthropic war klar. KI-Fähigkeiten wie die von Mythos werden sich verbreiten und auch Akteure erreichen, die nicht darauf verpflichtet sind, sie sicher einzusetzen. Die Auswirkungen auf die öffentliche Sicherheit und nationale Sicherheit könnten schwerwiegend sein.
Die Einnahmen aus KI-gestützten Angriffen auf Blockchain-Smart Contracts haben sich etwa alle 1,3 Monate verdoppelt. Dieser Trend begann, bevor Mythos öffentlich bekannt wurde.
Periodische Audits sind bereits tot
Wie alicharts auf X feststellte, ist das traditionelle Modell periodischer Sicherheitsüberprüfungen erledigt. Blockchain-Protokolle, die keine autonome KI-Abschirmung in ihren Stack integrieren, werden von der nächsten Generation adversarieller Agenten auseinandergenommen. Der X-Post beschrieb Mythos speziell wegen seiner Fähigkeit zu mehrstufigen Angriffsketten als Kategorie-Killer.
Das deckt sich mit dem, was Anthropics eigene Forschungs-PDF zeigt. Die Mythos-Preview-Forschung bewertete die Beschleunigung als steil genug, um jetzt Handeln zu erfordern, und nicht erst nach dem nächsten größeren Protokollbruch.
Die Glasswing-Vorschauseite umriss das Kernproblem deutlich: Die Fähigkeit der KI beim Programmieren hat alle bis auf die geschicktesten Menschen darin übertroffen, Schwachstellen zu finden und auszunutzen. Web3-Protokolle, von denen viele noch auf seltene Audits durch Dritte angewiesen sind, wurden nicht mit diesem Bedrohungsmodell im Hinterkopf gebaut.
Das Moonwell DeFi-Lending-Protokoll verlor in einem separaten, aber verwandten Vorfall im Zusammenhang mit KI-generiertem Code etwa 1,78 Millionen US-Dollar. Der Smart-Contract-Auditor pashov wies auf X auf das hin, was er als möglicherweise ersten direkt auf „Vibe-Coded“ Solidity zurückzuführenden Exploit bezeichnete. Der menschliche Prüfer hatte dennoch abgesegnet. Das ist die Lücke, die Mythos ausnutzt. Das vollständige Bild davon, wie Claude bereits die Web3-Code-Prüfung umgestaltet, entwickelt sich seit Monaten.
100-Millionen-Dollar-Abwehranstrengung, null Garantien
Vierzig weitere Organisationen, die kritische Software-Infrastruktur aufbauen oder warten, erhielten frühen Zugang zur Mythos-Vorschau für defensive Scans. Anthropic war explizit. Keine einzelne Organisation kann dies allein lösen. Die Fähigkeiten von Frontier-KI dürften allein in den nächsten Monaten erheblich voranschreiten.
Web3 wird namentlich nicht in die anfängliche Glasswing-Koalition aufgenommen. Diese Abwesenheit ist bezeichnend.
Das Rennen zwischen KI-gestützten Angriffen und KI-gestützter Abwehr ist jetzt das einzige Audit, das zählt. Blockchain-Protokolle, die sich auf manuelle Sicherheitsüberprüfungen verlassen, arbeiten mit einem Modell, das bereits obsolet war, bevor Mythos angekündigt wurde.
Schreibe einen Kommentar