Curl-Maintainer Stenberg zerlegt Mythos-Hype: Nur ein echter Bug in 178.000 Zeilen

Das Mythos-Modell von Anthropic hat in Stenbergs Curl-Test vom 11. Mai 2026 genau eine Schwachstelle in 178.000 Code-Zeilen aufgespürt. Anthropic hatte im April 2026 viel Lärm um Mythos gemacht. Das Modell ist laut Anthropic zu gefährlich für die Öffentlichkeit, weil es Tausende Zero-Day-Sicherheitslücken findet. Daniel Stenberg, Lead-Entwickler des Tools Curl, hat Mythos auf seinen Code losgelassen. Sein Fazit fällt entsprechend nüchtern aus.

Curl läuft auf über 20 Milliarden Geräten weltweit. Von Smartphones über Server bis hin zu vernetzten Autos. Wenn ein Modell hier Sicherheitslücken in großer Anzahl findet, hat Anthropic ein Argument für die These von einem „gefährlich guten“ Modell. Stenberg hat seine Testergebnisse in einem Blogbeitrag dokumentiert.

Was war der Mythos-Hype im April?

Anthropic kündigte Mythos im April 2026 mit einer ungewöhnlichen Marketingkampagne an. Das Modell sei beim Auffinden von Schwachstellen so leistungsfähig, dass Anthropic es nicht öffentlich freigibt. So lautet zumindest die offizielle Begründung des KI-Labs. Stattdessen erhielten einige Dutzend ausgewählte Organisationen Zugriff im Rahmen des Project Glasswing, um „die dringendsten Probleme“ zu fixen, bevor das Modell der Öffentlichkeit zugänglich ist.

In der Branche traf Mythos auf eine Mischung aus Alarm und Skepsis. Mozilla meldete bereits Ende April 271 Firefox-Schwachstellen aus dem Testlauf. Zugleich ordnete Mozilla die Funde als Schwachstellen ein, die auch ein erfahrener menschlicher Sicherheitsforscher hätte entdecken können. Das BSI sprach in einer eigenen Einschätzung von einem Paradigmenwechsel in der Cyberbedrohungslage. Andere Stimmen wie The Register ordneten das Modell als „Nothingburger“ ein.