Der Exploit war das Lieferobjekt

Am Freitag hat Anthropic den Zugang zu seinem leistungsfähigsten Modell für Sicherheitsarbeit erweitert. Claude Mythos 5 war bis dahin in Project Glasswing eingezäunt, einer kleinen Gruppe von Organisationen, die kritische Software verteidigen. Jetzt läuft es in Claude Security für Enterprise-Kunden, es wandert in die defensiven Produkte von Partnern, und das Cyber Verification Program, das geprüften Verteidigern reduzierte Schutzmechanismen gewährt, wird ebenfalls ausgeweitet. Anthropic hat zudem 35 Millionen Dollar an Credits hinter Open-Source-Sicherheitsarbeit gestellt, über einen neuen Defender Advantage Fund.

Am Samstag berichtete The Register über die Nachfrageseite desselben Geschäfts. Rob Joyce, früher NSA, auf der RSAC: „Sie werden einem Red Team ausgesetzt, ob Sie dafür bezahlen oder nicht. Der einzige Unterschied ist, dass Sie wissen, wer die Ergebnisse bekommt.“ Evan Peña, der Mandiants globales Red Team leitete und jetzt Armadin mitgründet: „Wir haben über 50 Zero-Days gefunden … die es einem Angreifer erlauben, auf einem echten System Remote Code Execution zu erreichen.“ Agenten, ergänzte er, „schlafen nicht und machen keinen Urlaub.“

Beide Geschichten klären, wer offensive Fähigkeiten anfordern darf. Keine klärt, wo der Code läuft, der zurückkommt, und er läuft irgendwo.

Anthropic hat den Schutz um das Modell gezogen

Der Beitrag legt den Entwurf offen, und es ist ein guter Entwurf. Das Risiko, das Anthropic steuert, ist der direkte Modellzugriff: „Das riskanteste Verhalten tritt auf, wenn ein Nutzer direkten Zugriff auf ein Modell hat, wo ein böswilliger Akteur versuchen kann, es zu schädlichen Zwecken zu lenken. Wenn Nutzer aber nur bestimmte Ausgaben erhalten können, etwa einen Patch für eine Schwachstelle oder eine Sicherheitswarnung, ist dieses Risiko weit geringer.“

Ein Partnerprodukt lässt Mythos also im Hintergrund für eine definierte Aufgabe laufen und gibt ein Artefakt zurück. Ein Remediation-Werkzeug liefert vorgeschlagene Patches. Wer das Werkzeug in der Hand hält, kann sich nicht umdrehen und einen funktionierenden Exploit verlangen, weil diese Person nie mit dem Modell spricht. Claude Security arbeitet genauso: Es scannt ein Repository, das Ihnen gehört, und gibt jeden Fund mit CWE-Kategorie, einer Bewertung für Konfidenz und Schweregrad und einem Fix-Vorschlag zurück. Ein Mensch prüft und genehmigt jeden Patch.

Ein Satz in der Ankündigung verlagert die Geschichte auf einen Laptop. Sobald der Fund vorliegt, „öffnen Sie Claude Code im Web, um den Fix umzusetzen.“

Das ist die richtige Produktentscheidung. Scannen und Patchen sind verschiedene Aufgaben, und die Patch-Aufgabe will einen gewöhnlichen Agenten in einem gewöhnlichen Repository. Genau dort reicht eine Grenze am Modellzugriff nicht mehr hin. Das Cyber Verification Program kommt von der anderen Seite am selben Punkt an: Sein erklärter Zweck ist es, „Unterbrechungen für aufgenommene Teams zu minimieren, die legitime Cybersicherheitsarbeit an Systemen leisten, die zu schützen sie befugt sind.“ Reduzierte Schutzmechanismen, mit Absicht, für Leute, deren Agenten offensiven Code schreiben müssen. Jeden Monat laufen auf mehr Laptops Agenten, die auf Zuruf einen Proof of Concept schreiben und ausführen, was genau der Sinn daran ist, sie Verteidigern zu geben.

Zugangskontrolle beantwortet, wer fragen darf. Sie beantwortet nicht, was die Antwort anfassen darf.

Sechsundzwanzigtausend Agenten, drei Tage

Die Zahlen von The Register stammen aus einem Einsatz, den Armadin mit TENEX.ai gefahren hat, beschrieben in einer gemeinsamen Mitteilung Anfang dieses Monats. Drei Tage, eine ungenannte globale Institution, unter Zero-Knowledge-Bedingungen: keine privilegierten Zugangsdaten, kein Whitelisting, kein Quellcode-Zugriff. Der Schwarm indexierte seine Aufklärung in einen Wissensgraphen und startete dann 26.000 Agenten und 1.300 Angriffe gegen mehr als 25.000 Dienste, was 17 Millionen offensive Aktionen ergab. Zurück kamen 238 Funde, davon 98 signifikant, und 38 validierte Angriffspfade.

Die defensive Hälfte lieferte die härtere Zahl. TENEX.ai triagierte 101.169 Alarme und rekonstruierte das Ganze aus 231 Milliarden Rohereignissen, in denen Angreiferaktivität ein Ereignis von 13.338 war.

Matt Hartman, früher kommissarischer Cyber-Chef der CISA und heute bei der Merlin Group, sagte The Register, Organisationen „werden jeden Agenten als privilegierte Identität behandeln müssen.“ Jay Bavisi vom EC-Council lieferte die andere Hälfte. „Niemand pentestet die gesamte Organisation“, sagte er, während Angreifer „kein Scope-Problem haben.“

Ihr eigener Agent hat auch kein Scope-Problem, es sei denn, Sie geben ihm eines.

Vier nicht vertrauenswürdige Dinge in einer gewöhnlichen Security-Sitzung

Lassen Sie den Schwarm beiseite und sehen Sie einem Entwickler zu, der an einem Dienstag Finden-und-Beheben macht. Claude Security markiert etwas. Sie öffnen einen Agenten, um den Patch zu schreiben, und damit Sie wissen, dass der Patch wirkt, lassen Sie ihn den Bug reproduzieren. Diese Sitzung enthält vier Dinge, denen die Maschine keinen Anlass hat zu trauen, und es sind dieselben vier, ob der Fund aus einem Schwarm oder aus einem Scanner kam.

Niemand hat einen Fehler gemacht, um zu dieser Liste zu kommen. Sie beschreibt die normalen Bedingungen von Sicherheitsarbeit auf einem Allzweckrechner.

Bromure gibt jedem davon eine Kontrolle

Bromure Agentic Coding lässt den Agenten in einer Wegwerf-VM mit Ubuntu auf Apples Virtualization-Framework laufen, mit eigenem Kernel, nur den von Ihnen gewählten Mac-Ordnern hineingemountet und einem MITM-Proxy auf der Host-Seite als einziger Weg nach draußen. Das ist die Grenze, die in der rechten Hälfte des Diagramms fehlt.

Etwas liest die Inhalte des Ziels vor dem Modell. Das Prompt-Injection-Panel bewertet Dateiinhalte, Webseiten und Tool-Ausgaben, die der Agent hereinholt, seine tool_result-Blöcke, mit einem lokalen PromptGuard-Modell. Es bewertet die Instruktionsdateien, die Agenten als Autorität behandeln (CLAUDE.md, AGENTS.md, GROK.md sowie ihre verschachtelten und globalen Varianten), mit einem feinabgestimmten ModernBERT-Klassifikator, dazu einen deterministischen Scanner für die Verschleierung mit unsichtbarem Unicode, die das Modell nicht lesen kann. Beides läuft auf Ihrem Mac und schickt nichts irgendwohin. Sie wählen, was eine Erkennung bewirkt: protokollieren, nachfragen, oder die Anfrage mit einem 451 scheitern lassen, bevor das Modell den Text sieht.

Bromure prüft die Werkzeuge an der Registry. Jeder Paket-Download geht zuerst durch den Host-Proxy: npm, PyPI, Cargo, RubyGems, Maven, NuGet, Go, Packagist. Ein Altersfilter ist standardmäßig bei zwei Tagen aktiv, sodass ein heute Morgen veröffentlichter Scanner nicht installiert wird. Offene Versionsbereiche lösen auf die neueste Veröffentlichung vor dem Stichtag auf, und eine gepinnte Referenz auf etwas zu Frisches kommt als 451 mit einem Bromure-Fehler darin zurück. OSV-Abfragen blockieren bekannt verwundbare Versionen ab dem Schweregrad, den Sie wählen. Bromure entfernt Install-Skripte im Flug aus npm-Tarballs und schreibt Tarball und Registry-Metadaten-Hash so um, dass npms eigene Prüfung weiterhin besteht. Die .npmrc in der VM kann all das verschärfen und nicht lockern.

Scope hört auf, ein Dokument zu sein. Unter Guardrails ist die Tabelle Outbound connections eine Firewall pro Profil: eine Zeile je Regel, jede mit einer Aktion, einem Protokoll (tcp, udp, web oder any), einem Host oder CIDR, Ports und für web einer Liste von HTTP-Methoden. Die Regeln greifen von oben nach unten, die erste passende gewinnt, und Unmatched traffic ist ein Schalter mit zwei Stellungen. Stellen Sie ihn auf Deny, tragen Sie die Hosts des Einsatzes ein, und Bavisis Scope-Problem wird zu einem Paketfilter. Transparentes Abfangen ist standardmäßig an, sodass ein Gast, der HTTPS_PROXY entfernt, nichts daran ändert, welche Verbindungen hinausgehen. Jedes Allow und jedes Deny landet im Security Log.

Die Zugangsdaten in Reichweite sind nicht die Zugangsdaten. Echte Werte gelangen nie in die VM. Der Proxy tauscht auf der Leitung einen Platzhalter gegen das echte Token, die kubeconfig im Gast ist synthetisch mit Wegwerf-Client-Zertifikaten, und AWS bekommt einen credential_process-Helfer, der dem SDK ein vierzig Zeichen langes Fake-Secret gibt, während der Host SigV4 mit dem echten Material neu signiert. Alles, was am Proxy vorbeiläuft, bekommt von Amazon eine InvalidSignatureException zurück. Jede Zugangsdatei trägt außerdem eine Schreibrichtlinie Off, Block destructive oder Read-only, durchgesetzt im Host-Proxy, wo ein kompromittierter Agent nicht dagegen argumentieren kann: ein Validierungslauf, der nichts damit zu tun hat, einen S3-Bucket zu löschen, bekommt beim Versuch ein hartes 403. Require approval to use macht aus einer Zugangsdatei eine Zustimmungsabfrage mit zeitlich begrenzter Freigabe von fünf Minuten, einer Stunde oder dem Rest der Sitzung. Das passt zu einem SSH-Schlüssel während eines Red-Team-Einsatzes, wo Sie wollen, dass die Signatur passiert, und wissen wollen, dass sie passiert ist.

Das Protokoll, das Sie ohnehin hätten schreiben müssen

Red-Team-Arbeit produziert Papierkram. Was Sie angefasst haben, wann, unter welcher Identität, und was zurückkam. Bromure schreibt das meiste davon als Nebeneffekt. Das Fenster Security Timeline hält eine einzige chronologische Tabelle über jeden Zugangsdaten-Tausch und jede Signatur, jedes Paket-Urteil, jedes Allow und Deny der Firewall und jede Injection-Erkennung, aufbewahrt auf dem Mac, wo nichts in der VM sie bearbeiten kann. Drehen Sie den Sitzungs-Trace hoch, und der Proxy behält auch die Bodies, AES-GCM-verschlüsselt mit demselben Keychain-Schlüssel wie Ihre Profil-Geheimnisse.

Zwischen Einsätzen fallen die Speicherschichten auseinander. Erase home… setzt das /home/ubuntu des Profils auf den Zustand nach dem Klonen zurück und nimmt die Klone, die Payloads, die Shell-History und die Scanner-Caches mit. Reset to base… verwirft alles, was Sie mit sudo apt install installiert haben, und klont die System-Platte des Workspace neu. Die Reste eines Ziels folgen Ihnen nicht zum nächsten.

Geben Sie der Fähigkeit einen Ort zum Landen

Anthropics gestaffelte Freigabe ist die verantwortungsvolle Version einer harten Entscheidung. Dem Verteidiger das Artefakt statt des Modells zu geben ist die Form, die Spitzenfähigkeiten zu den Leuten bringt, die Krankenhäuser und Versorger patchen, ohne sie gleich allen zu geben, und der menschliche Freigabeschritt bei Patches ist keine Deko. Armadin und TENEX.ai haben ihren Einsatz durch eine Kontrollschicht mit einem überwachenden Sicherheitsmodell und einem echten SOC auf der anderen Seite laufen lassen. Alle in den Nachrichten dieser Woche haben sich gut verhalten.

Was nichts davon abdeckt, ist der Laptop. All diese Sorgfalt endet in dem Moment, in dem ein Fund zu einer Datei wird, und die Datei landet auf einem Allzweckrechner, der seit dem Tag Zugangsdaten sammelt, an dem die IT ihn ausgegeben hat. Joyce hat recht, dass Sie so oder so einem Red Team ausgesetzt sind. Sie können sich nicht aussuchen, ob der offensive Agent existiert. Sie suchen sich aus, auf welcher Maschine er aufwacht, und Sie können eine wählen, die Sie danach wegwerfen.

Quellen: Anthropic, „Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders“ (21. August 2026) · The Register, „If you're not using AI to attack your own systems, your adversaries will“ (22. August 2026) · Armadin und TENEX.ai, „Largest Controlled Live AI Cyberattack on Record“ (3. August 2026) · SecurityWeek, „Kevin Mandia's Armadin Launches With $189.9 Million in Funding“