Das US-Unternehmen Anthropic macht seine leistungsfähigsten Modelle für künstliche Intelligenz einem deutlich größeren Kreis von Fachleuten für Computersicherheit zugänglich. Das Unternehmen stellte am Dienstag sein überarbeitetes Cyber Verification Program vor, in dem es die beiden bisherigen Zugangswege zu fortgeschrittenen Cybersicherheitsfunktionen zusammenführt. Verifizierte Sicherheitsteams erhalten Zugriff auf die Modelle Claude Opus 5.5, Claude Sonnet 5.5, Claude Mythos 5.1 sowie auf alle künftigen Versionen. Für diese Modelle gelten weniger strenge Schutzvorkehrungen als für die Versionen für normale Nutzer. Die am gründlichsten überprüften Experten dürfen in Zusammenarbeit mit der US-Regierung sogar versuchen, den Schutz von Systemen zu überwinden, auf denen Stromnetze, Banken oder der Flugverkehr beruhen.
Die Cybersicherheit hat jedoch einen entscheidenden Haken. Dieselben Fähigkeiten, mit deren Hilfe ein Sicherheitsteam einen Fehler in einem System findet und behebt, können von einem Angreifer missbraucht werden. Anthropic hat daher bei den allgemein verfügbaren Modellen Opus 5.5, Fable 5.1 und Sonnet 5.5 strenge Schutzfilter eingerichtet, die die meisten mit Cybersicherheit verbundenen Aufgaben sofort blockieren. Damit will das Unternehmen Angreifern die Arbeit so schwer wie möglich machen, räumt jedoch selbst ein, dass die Filter mitunter auch dort eingreifen, wo es nicht nötig wäre, etwa beim Schreiben von sicherem Code.
Verteidiger benötigen jedoch die besten Werkzeuge, weshalb ihnen das Unternehmen im vergangenen halben Jahr auf zwei Wegen Zugang gewährte. Das Projekt Glasswing machte das Modell Mythos im April ausgewählten US-Regierungsbehörden, Finanzinstituten und großen Softwareherstellern zugänglich. Die Nachrichtenagentur Bloomberg bezeichnete die Veröffentlichung dieses Modells als Durchbruch, weil es die Arbeit erfahrener Hacker teilweise automatisieren kann. Der zweite Weg war das CVP-Programm, das die Einschränkungen der Modelle Opus und Sonnet für überprüfte Sicherheitsteams lockerte. Nun führt Anthropic beide Wege zu einem Angebot zusammen, durch das alle Programmteilnehmer für spezifische Sicherheitsaufgaben Zugang zu den Mythos-Modellen erhalten.
Drei Stufen je nach Bedarf
Die breiteste Stufe trägt den Namen Defense Access und ist ausschließlich auf Verteidigung ausgerichtet. Sie umfasst die Arbeit von Sicherheitsleitstellen, die Reaktion auf Vorfälle, die Analyse von Schadsoftware und die Überprüfung von Schwachstellen. Teilnehmen können Sicherheitsteams von Unternehmen, gemeinnützigen Organisationen, Universitäten und staatlichen Behörden, die ihre eigenen Systeme schützen. Berücksichtigt werden auch Betreiber kritischer Infrastruktur unabhängig von ihrer Größe, beispielsweise regionale Krankenhäuser oder kommunale Wasserwerke. Die Stufe steht außerdem kleineren Sicherheitsunternehmen, Betreuern von Open-Source-Software und einzelnen Forschern offen, die bereits Schwachstellen gemeldet haben. Anthropic erwartet, dass ein großer Teil der Interessenten für diese Stufe zugelassen wird, und will Anträge innerhalb weniger Tage beantworten.
Eine Stufe darüber befindet sich Red Team Access. Diese ergänzt die Verteidigungsarbeit um genehmigte Penetrationstests, also kontrollierte Angriffe, bei denen Fachleute Schwachstellen suchen, bevor jemand anderes sie entdeckt. Diese Stufe richtet sich an interne und staatliche Teams, die auf simulierte Angriffe spezialisiert sind, sowie an Unternehmen, die Penetrationstests als Dienstleistung anbieten. Die Experten dürfen ausschließlich genehmigte Systeme testen, auch in kritischen Branchen. Die Filter stoppen jedoch auch hier in Echtzeit Schritte, die physische Schäden oder einen großflächigen Ausfall verursachen könnten. Das Modell verweigert somit den Einsatz von Erpressungssoftware, die Beschädigung physischer Geräte oder das Testen von Hochrisikosystemen. Die Prüfung eines Antrags dauert mehrere Wochen; in der Zwischenzeit erhalten die Organisationen Zugriff auf die Verteidigungsstufe. Einzelpersonen können diese Stufe vorerst nicht erreichen.
Die wenigsten Einschränkungen bietet Specialized Access. Diese Stufe ist einem kleinen Kreis verifizierter Organisationen vorbehalten, die Sicherheitssysteme mit Auswirkungen auf Menschenleben oder Märkte testen dürfen. Dazu zählen beispielsweise Flugsysteme, Energienetze, Telekommunikation, Infrastruktur für Interbanküberweisungen oder staatliche Verwaltungsnetze. Jede solche Organisation wird von Anthropic gemeinsam mit der US-Regierung eingehend überprüft. Bestehende Mitglieder des Projekts Glasswing wechseln automatisch auf diese Stufe und müssen für die aktuellen Modelle keine erneute Genehmigung beantragen.
Die allgemein verfügbaren Modelle können weiterhin zur Codeprüfung, zur Behebung bekannter Fehler, zur Suche nach Schwachstellen im eigenen Quellcode oder zur Sortierung von Sicherheitswarnungen genutzt werden. Organisationen im Programm müssen damit rechnen, dass Anthropic ihre Daten speichert, um einen möglichen Missbrauch zu prüfen. Noch in diesem Herbst will das Unternehmen die Lösung Enterprise Frontier Safeguards einführen, die Datenschutz mit Sicherheitsvorkehrungen verbindet und es Organisationen ermöglicht, Daten in ihrer eigenen Cloud zu speichern.
Test zeigte, wo die Filter greifen
Um die Funktionsfähigkeit der Einstellungen zu überprüfen, testete Anthropic das Modell Claude Opus 5.5 im System CyScenarioBench. Dieser Test ermittelt, ob ein Modell unter realistischen Bedingungen eine mehrstufige Cyberoperation planen und ausführen kann. Jede der zehn Aufgaben versuchte das Modell auf jeder Zugriffsstufe fünfmal zu lösen.
Ohne das CVP-Programm blockierten die Filter alle Aufgaben unmittelbar nach der ersten Eingabe. Auf der Verteidigungsstufe wurden 46 von 50 Versuchen blockiert, und nur vier waren erfolgreich. Bei den Penetrationstestern wurde das Modell hingegen kein einziges Mal blockiert und schloss 34 von 50 Aufgaben erfolgreich ab. Das entspricht einer Erfolgsquote von rund 68 Prozent, die das Modell auf der höchsten Zugriffsstufe auch vollständig ohne Schutzfilter erreicht. Das Unternehmen schließt daraus, dass es fortgeschrittene Funktionen einem deutlich größeren Kreis von Verteidigern sicher zugänglich machen kann, und plant, die Filter für die einzelnen Stufen schrittweise weiterzuentwickeln.
Zehntausende Fehler, die sonst verborgen geblieben wären
Wie groß der Unterschied ist, den diese Modelle in der Praxis bewirken, zeigen die Ergebnisse des Projekts Glasswing. Mithilfe der Mythos-Modelle deckten Partner zwischen April und Juli fast 130.000 verifizierte Schwachstellen in Software auf. Anthropic selbst fand bei der Überprüfung von Open-Source-Software zwischen April und Oktober weitere rund fünfeinhalbtausend Fehler. Mehr als 33.000 davon wurden als schwerwiegend oder kritisch eingestuft.
Das Unternehmen weist darauf hin, dass die Zahlen lediglich auf Fragebögen eines Teils der Partner beruhen, und schätzt die tatsächlichen Auswirkungen auf mindestens das Fünffache. Zudem kategorisierten die Organisationen die Fehler auf unterschiedliche Weise, und weniger als die Hälfte gab an, wie viele Sicherheitslücken sie bereits behoben hatte, oft weil sie noch an den Korrekturen arbeitet. Mehrere Partner von Anthropic bestätigten, dass die Suche nach derselben Anzahl von Fehlern ohne die Mythos-Modelle Monate, in einigen Fällen sogar Jahre länger gedauert hätte.
Leistungsstarke Werkzeuge, wachsende Bedenken
Die Ausweitung erfolgt zu einer Zeit, in der die Nervosität über die Fähigkeiten künstlicher Intelligenz im Bereich der Cybersicherheit wächst. Laut Bloomberg gab es in den vergangenen Monaten eine Reihe von Fällen, in denen Modelle von Anthropic und OpenAI unbeabsichtigt in Systeme von Regierungen, Unternehmen und gemeinnützigen Organisationen eindrangen. JPMorgan-Chase-Chef Jamie Dimon erklärte am Dienstag im Fernsehsender Bloomberg, Mythos habe die weltweiten Cyberrisiken verzehnfacht.
Auch Washington kommt ins Spiel. Die US-Regierung kündigte im August an, bei Cyberangriffen im Ausland mit privaten Unternehmen zusammenzuarbeiten. Damit erweiterte sie den Kreis der Sicherheitsoperationen, die bislang hauptsächlich von staatlichen Behörden durchgeführt wurden. Die enge Zusammenarbeit mit der Regierung bei der Überprüfung von Organisationen für die höchste Zugriffsstufe ist bei Anthropic daher keine Überraschung.
Interessenten können sich über das Portal des Unternehmens bewerben. Anthropic überprüft alle Antragsteller und verlangt von ihnen Nachweise über die für die jeweilige Stufe erforderlichen Sicherheitsmaßnahmen. Bestehende Programmteilnehmer behalten ihre Einstellungen bei älteren Modellen, und über ihren Zugang zu Opus 5.5, Sonnet 5.5 und Mythos 5.1 entscheidet das Unternehmen selbst. Das Programm läuft auf der Claude-Plattform, über Googles Dienst Vertex AI und in Microsoft Foundry. Kunden von Amazon Bedrock erhalten nur dann Zugang, wenn sie die Voraussetzungen für Enterprise Frontier Safeguards erfüllen. Wer bei einer Tätigkeit auf eine Blockierung stößt, die auf seiner Stufe zulässig sein sollte, kann sie dem Unternehmen über ein spezielles Formular melden.
Quellen: anthropic.com, reuters.com und finance.yahoo.com
