Ein KI-Modell, das autonom Sicherheitslücken in jedem Betriebssystem und jedem Browser gefunden hat. Zu gefährlich für die Öffentlichkeit. Genau deshalb existiert Project Glasswing.
Die Ausgangslage: KI wird zur Dual-Use-Waffe
Die Woche begann mit einem Warnschuss. Am 31. März 2026 bestätigte Mercor, ein mit 10 Milliarden Dollar bewertetes KI-Startup, einen massiven Datenbreach: Angreifer hatten über eine vergiftete Version des Open-Source-Tools «LiteLLM» Credentials gestohlen und sich damit Zugang zu 4 Terabyte sensibler Daten verschafft — darunter Kandidatenprofile, Arbeitgeberdaten, proprietärer Quellcode und API-Schlüssel. Die kompromittierte Version kursierte rund 40 Minuten lang über offizielle Kanäle. Mercor war laut eigener Aussage «eines von Tausenden» betroffenen Unternehmen.
Sieben Tage später antwortete Anthropic mit einer Gegenbewegung: Project Glasswing — die Ankündigung, dass KI-Modelle jetzt in der Lage sind, genau solche und weitaus gefährlichere Schwachstellen schneller zu finden als Menschen. Und dass diese Fähigkeit unbedingt in die Hände von Verteidigern gehört, bevor Angreifer sie ausnutzen.
Was ist Project Glasswing?
Project Glasswing ist eine Industrieinitiative unter der Führung von Anthropic, die am 7. April 2026 offiziell angekündigt wurde. Die Kernmitglieder lesen sich wie ein Who's Who der globalen Tech-Sicherheitslandschaft: Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, die Linux Foundation, Microsoft, NVIDIA und Palo Alto Networks. Hinzu kommen über 40 weitere Organisationen, die kritische Software-Infrastruktur betreiben oder entwickeln.
Herzstück des Projekts ist der Zugang zu «Claude Mythos Preview» — einem neuen, bislang unveröffentlichten Frontier-Modell von Anthropic, das nicht für die breite Öffentlichkeit zugänglich ist.
Der Name des Projekts ist bewusst gewählt: Die Glasflügelschmetterling-Art Greta oto ist durch ihre transparenten Flügel nahezu unsichtbar — wie Schwachstellen, die jahrelang unentdeckt in kritischem Code schlummern.
Claude Mythos Preview: Was das Modell kann
Anthropic beschreibt Claude Mythos Preview als General-Purpose-Modell, dessen überragende Coding- und Reasoning-Fähigkeiten es zu einem außergewöhnlichen Werkzeug für Sicherheitsanalysen machen. Die Zahlen sprechen eine klare Sprache:
- CyberGym-Benchmark (Vulnerability Reproduction): Mythos Preview erreicht 83,1 %, Opus 4.6 liegt bei 66,6 %
- SWE-bench Verified (Software Engineering): 93,9 % vs. 80,8 % bei Opus 4.6
- Terminal-Bench 2.0: 82,0 % vs. 65,4 %
In den vergangenen Wochen vor der Ankündigung setzte Anthropic das Modell systematisch auf kritische Softwaresysteme an. Das Ergebnis: Tausende Zero-Day-Schwachstellen, darunter kritische Lücken in jedem gängigen Betriebssystem und jedem gängigen Browser.
Drei konkrete Beispiele illustrieren die Qualität der Funde:
- OpenBSD — 27 Jahre unentdeckt: Das als besonders sicherheitsgehärtet geltende Betriebssystem, das weltweit für Firewalls und kritische Infrastruktur eingesetzt wird, enthielt eine Schwachstelle, die einem entfernten Angreifer erlaubte, jede betroffene Maschine allein durch Verbindungsaufbau zum Absturz zu bringen.
- FFmpeg — 16 Jahre, 5 Millionen automatisierte Tests: In der allgegenwärtigen Video-Codec-Bibliothek fand Mythos Preview eine Lücke in einer Codezeile, die automatisierte Testing-Tools fünf Millionen Mal durchlaufen hatten — ohne je anzuschlagen.
- Linux-Kernel — Privilege Escalation durch Vulnerability Chaining: Das Modell verknüpfte autonom mehrere Schwachstellen im Linux-Kernel, um aus normalem Benutzerzugriff vollständige Kontrolle über ein System zu erlangen.
Alle genannten Schwachstellen wurden den jeweiligen Maintainern gemeldet und sind mittlerweile gepatcht.
Warum Anthropic das Modell nicht veröffentlicht
Claude Mythos Preview ist zu gefährlich für eine öffentliche Freigabe — das ist Anthropics explizite Begründung. Das Modell, das Defender befähigt, Schwachstellen in Minuten zu finden, würde Angreifer im gleichen Maß stärken.
Anthropic erklärt offen: «AI-Modelle haben ein Niveau an Coding-Fähigkeit erreicht, bei dem sie alle außer den fähigsten menschlichen Experten beim Finden und Ausnutzen von Software-Schwachstellen übertreffen können.» Diese Fähigkeit werde sich in absehbarer Zeit auch in den Händen nicht-vertrauenswürdiger Akteure befinden.
Die Lösung: kontrollierten Zugang für Verteidiger schaffen, bevor das Wettrennen entschieden ist. Project Glasswing ist der institutionelle Rahmen dafür.
Für die Zukunft plant Anthropic, Sicherheitsmaßnahmen zu entwickeln, die gefährliche Outputs des Modells erkennen und blockieren. Diese Safeguards sollen zunächst mit einem weniger riskanten Modell — einem kommenden Claude-Opus-Release — erprobt werden, bevor Mythos-class-Modelle breit verfügbar gemacht werden.
Finanzielle Dimension und Verfügbarkeit
Anthropic committet sich zu substanziellen Investitionen in das Projekt:
- 100 Millionen US-Dollar in Model-Usage-Credits für Glasswing-Partner
- 2,5 Millionen US-Dollar an Alpha-Omega und OpenSSF über die Linux Foundation
- 1,5 Millionen US-Dollar an die Apache Software Foundation
Nach der Preview-Phase soll Mythos Preview für Teilnehmer zu 25 US-Dollar pro Million Input-Token und 125 US-Dollar pro Million Output-Token verfügbar sein — via Claude API, Amazon Bedrock, Google Cloud Vertex AI und Microsoft Foundry.
Innerhalb von 90 Tagen will Anthropic öffentlich über die Ergebnisse berichten: gepatchte Schwachstellen, gewonnene Erkenntnisse, praktische Empfehlungen für Security-Teams.
Die Mercor-Kontrastfolie: Was auf dem Spiel steht
Der LiteLLM-Angriff auf Mercor ist kein Zufall als Kontextgeber. Er zeigt exemplarisch, was passiert, wenn Supply-Chain-Sicherheit versagt: Ein Open-Source-Tool mit Millionen täglicher Downloads wird zum Einfallstor. Credentials werden gestohlen, Systeme kompromittiert, 4 Terabyte Daten exfiltriert. Meta pausiert seine Verträge. Fünf Klagen werden eingereicht.
Das Pikante daran: LiteLLM ist exakt das Werkzeug, das KI-Entwickler nutzen, um ihre Anwendungen mit Modellen wie denen von Anthropic zu verbinden. Die Angriffsfläche wächst mit jeder neuen KI-Applikation.
Anthropics Antwort mit Project Glasswing ist eine direkte Reaktion auf genau dieses Paradigma: Je mächtiger KI-Tools werden, desto kritischer wird ihre Absicherung — und desto dringender brauchen Defender die gleichen Fähigkeiten wie Angreifer.
Investment-Implikationen
Project Glasswing markiert eine strukturelle Verschiebung, die für Investoren im Cybersecurity-Sektor relevant ist:
AI-native Vulnerability Research wird zur neuen Produktkategorie. Wer KI-Modelle mit spezialisierten Security-Benchmarks liefert, besetzt eine strategisch wertvolle Position. Anthropics Entscheidung, Mythos Preview nur über Cloud-Marktplätze (AWS Bedrock, Google Vertex, Azure Foundry) anzubieten, stärkt gleichzeitig die Security-Positionierung der großen Cloud-Provider.
Open-Source-Sicherheit rückt als institutionelles Problem in den Fokus. Die Donations an Linux Foundation und Apache Software Foundation signalisieren, dass Sicherheitslücken in Basis-Infrastruktur nicht länger als Randproblem behandelt werden können. Unternehmen, die Open-Source-Security-Tooling anbieten, profitieren von diesem Aufmerksamkeitsschub.
Supply-Chain-Security bleibt das Thema der Stunde. Mercors LiteLLM-Breach ist kein Einzelfall — er ist das Muster. Unternehmen, die Software-Composition-Analysis, Code-Signing-Verification und Dependency-Monitoring anbieten, adressieren einen wachsenden Markt.
Der Cybersecurity Leaders Fonds investiert unter anderem in führende Anbieter dieser Technologien und profitiert vom strukturellen Wachstum des AI-Security-Marktes.
Fazit
Project Glasswing ist mehr als ein Marketingprogramm. Es ist ein technischer Beweis, dass KI-Modelle das Sicherheits-Paradigma fundamental verändert haben: Schwachstellen, die 27 Jahre unentdeckt überlebt haben und millionenfache automatisierte Tests unbeschadet überstanden haben, fallen einem autonomen Modell in Stunden zum Opfer.
Die Frage ist nicht mehr, ob KI die Cybersecurity transformiert. Die Frage ist, ob Defender mit dem Tempo mithalten können. Project Glasswing ist Anthropics Antwort: kollektiv, transparent, jetzt.
Quellen
- Anthropic, «Project Glasswing: Securing critical software for the AI era», anthropic.com/glasswing, 7. April 2026
- The Verge, «Anthropic debuts 'Project Glasswing' and new AI model for cybersecurity», 7. April 2026
- Anthropic, «Assessing Claude Mythos Preview's cybersecurity capabilities», red.anthropic.com, 7. April 2026
- The Register, «Mercor says it was 'one of thousands' hit in LiteLLM attack», 2. April 2026
- Fortune, «Mercor, a $10 billion AI startup, confirms major data breach», 2. April 2026
