Mozilla: Claude Mythos findet 271 Firefox-Schwachstellen

Mozilla hat am Dienstag Firefox 150 ausgeliefert und dabei 271 Sicherheitslücken geschlossen. Gefunden hat sie Claude Mythos Preview, das unveröffentlichte Cybersecurity-Modell von Anthropic. Zugang gibt es nur über das Partnerprogramm Project Glasswing. Der Vorgänger-Test verlief deutlich bescheidener: Claude Opus 4.6 fand im Februar insgesamt 22 sicherheitsrelevante Bugs in der Firefox-Version 148.

Mozilla-CTO Bobby Holley beschreibt im Blogpost einen „Schwindel“, den sein Team beim ersten Blick auf die Funde erlebt habe. Laut Holley stecken die Bugs vor allem in Code-Pfaden, die Fuzzing-Werkzeuge schlecht abdecken. Das Modell liefert laut Holley in Minuten, wofür Fachleute Monate benötigen.

Nur drei CVEs sind direkt Mythos zugeschrieben

Die Zahl 271 wirkt dramatisch, lässt sich aber einordnen. Die offizielle Sicherheitsmeldung MFSA 2026-30 listet 41 CVE-Einträge für die Firefox-Version 150. Nur drei davon werden laut SecurityWeek explizit Claude zugerechnet: CVE-2026-6746, CVE-2026-6757 und CVE-2026-6758. Die übrigen Funde sind Defense-in-Depth-Issues, Hardening-Lücken oder Bugs in nicht ausnutzbaren Code-Pfaden. Sie rechtfertigen keinen eigenen CVE-Eintrag.

Mozilla gehört zu den über 40 Organisationen, denen Anthropic neben den zwölf Launch-Partnern einen Glasswing-Zugang gewährt hat. Anthropic hatte Mythos bewusst zurückgehalten, weil das Modell nach eigenen Angaben autonom tausende Zero-Day-Schwachstellen identifizieren kann. Die US-Regierung hatte bereits Großbanken zum Test aufgefordert, das BSI warnte parallel vor einem Paradigmenwechsel in der Cyberbedrohungslage.

Am Ende seines Blogposts argumentiert Holley, Software sei modular für menschliches Verständnis gebaut und die Zahl der Fehler damit endlich. Die Verteidiger haben laut Holley erstmals die Chance, alle Schwachstellen zu finden, bevor Angreifer sie ausnutzen.