Mythos-Hype unter Druck: The Register nennt das Modell von Anthropic einen „Nothingburger“

Drei Wochen nach dem Launch steht Claude Mythos Preview von Anthropic unter Hype-Verdacht. Das Modell soll eigenständig Sicherheitslücken finden und teilweise ausnutzen. Das britische IT-Magazin The Register hat die wachsende Kritik in einer Schlagzeile zusammengefasst. „Anthropic’s super-scary bug hunting model Mythos is shaping up to be a nothingburger.” Hinter der Polemik steht eine ernsthafte Bestandsaufnahme.

Mozilla relativiert die angeblich übermenschlichen Fähigkeiten. Die US-Cyberbehörde CISA hat keinen Zugang. Sam Altman spricht von Fear-based Marketing. Unabhängige Forscher zerlegen die System-Card.

Anthropic hatte das Modell als zu gefährlich für die Öffentlichkeit eingestuft. Die Bilanz nach 21 Tagen sieht anders aus.

Anzeige

Was wirft The Register Anthropic vor?

Die zentrale These der Reporterin Jessica Lyons im Register lautet so: Anthropic hat die Fähigkeiten von Mythos überzeichnet. Bei der Vorstellung am 7. April 2026 hatte Anthropic von „tausenden zusätzlichen Schwachstellen mit hoher und kritischer Schwere” gesprochen, die das Modell zusätzlich findet. So fasst es zumindest The Register zusammen. VulnCheck-Forscher Patrick Garrity beziffert die tatsächlich verifizierten Treffer in der CVE-Datenbank auf rund 40. CVE steht für „Common Vulnerabilities and Exposures” und ist der internationale Standard zur Erfassung bekannter Sicherheitslücken.

Konkret nennt The Register drei Schwachpunkte. Die von Anthropic angegebenen 181 Firefox-Exploits liefen ohne aktive Browser-Sandbox. Das Transkript zum FreeBSD-Exploit erfordert laut Devansh „erhebliche menschliche Steuerung, keine Autonomie”. Und der prominent kommunizierte Bug im Linux-Kernel stammt nicht von Mythos. Gefunden hat ihn das öffentlich zugängliche Vorgängermodell Claude Opus 4.6.

Snehal Antani von der KI-Hackerfirma Horizon3.ai ordnet das Modell gegenüber The Register als Nothingburger ein. Angreifer waren laut Antani nicht auf Mythos angewiesen, um das Auffinden von Schwachstellen zu beschleunigen. Claude Opus 4.6 und andere Modelle haben dies bereits getan. Davi Ottenheimer ergänzt: Die System-Card auf den Seiten 47 bis 53 enthält laut seiner Analyse keine konkreten Zahlen von Zero-Days. Es gibt demnach keine CVE-Liste, keine CVSS-Verteilung und keine Quote für False-Positive-Meldungen.

Wie haben Mozilla, Pentagon und CISA reagiert?

Drei Signale aus der echten Welt stützen die Register-These zusätzlich. Mozilla-CTO Bobby Holley hat nach der Veröffentlichung von Firefox 150 zu Protokoll gegeben: Mythos hat 271 Schwachstellen gefunden. Aber laut Holley ist kein Bug darunter, den ein erfahrener menschlicher Forscher nicht auch hätte entdecken können.

Damit ändert sich das Bild. Mythos ist demnach ein schneller automatisierter Sicherheitsforscher. Mythos ist keine Maschine, die neue Zero-Days findet und die Welt aus den Angeln hebt.

Auch das Pentagon führt Anthropic weiterhin auf seiner Risikoliste. Die Trump-Administration empfiehlt Großbanken trotzdem den Test des Modells. Dies wurde bereits am 14. April 2026 bekannt.

Das dritte Zeichen kommt aus den USA selbst. Die Cybersecurity and Infrastructure Security Agency hat laut Axios keinen Zugang zu Mythos. Die CISA ist die für die Verteidigung kritischer Infrastruktur zuständige US-Behörde. Andere Stellen wie Commerce Department und NSA testen das Modell dagegen aktiv.