Ein Bug, der 27 Jahre lang verborgen blieb
OpenBSD ist eines der am häufigsten verwendeten Betriebssysteme für kritische Infrastrukturen weltweit. Es ist bekannt für seine akribische Aufmerksamkeit für Sicherheit. Jahrzehnte manueller Überprüfungen, Tausende von Experten-Augen auf dem Code.
Claude hat eine Schwachstelle gefunden, die seit 27 Jahren dort schlummerte.
Im selben Zeitraum identifizierte er einen Bug in FFmpeg — einer Bibliothek, die von Milliarden von Geräten für die Video- und Audioverarbeitung genutzt wird — der fünf Millionen automatisierte Tests unentdeckt überstanden hatte. Dazu eine Reihe von Schwachstellen im Linux-Kernel und in FreeBSD, darunter eine Remote Code Execution, die es ermöglicht, beliebige Inhalte in den Systemstack zu schreiben.
Das sind keine im Labor konstruierten Exploits. Es sind Sicherheitslücken in Software, die auf Servern, Smartphones, Finanzinfrastrukturen und in Krankenhäusern läuft. Dass sie von einem KI-Modell gefunden wurden, ist ein Paradigmenwechsel in der IT-Sicherheit.
Was ist Project Glasswing und warum wurde es ins Leben gerufen
Project Glasswing ist die Initiative, mit der Anthropic beschlossen hat, diese Fähigkeiten proaktiv und kollaborativ einzusetzen.
Das Ziel ist es, kritische Software weltweit zu schützen — jene Software, auf der die globalen digitalen Infrastrukturen basieren — indem Claude eingesetzt wird, um Schwachstellen zu finden, bevor böswillige Akteure es tun.
Der Grundgedanke ist einfach: Die KI, die es ermöglicht, diese Schwachstellen zu finden, ist dieselbe KI, die zu deren Ausnutzung verwendet werden könnte. Besser, sie defensiv einzusetzen, koordiniert und transparent, mit verantwortungsvoller Offenlegung gegenüber den Maintainern der betroffenen Software.
Wer teilnimmt und wie viel investiert wird
Die Liste der Glasswing-Partner liest sich wie ein Verzeichnis der wichtigsten Technologieakteure weltweit: AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks.
Es handelt sich nicht um symbolische Unterstützung. Die eingesetzten Zahlen sind konkret: 100 Millionen Dollar an KI-Guthaben, die dem Projekt zur Verfügung gestellt werden, 2,5 Millionen an die Linux Foundation und die Open Source Security Foundation, 1,5 Millionen an die Apache Software Foundation.
Diese Organisationen verwalten den Code, auf dem das Internet basiert: den Linux-Kernel, Apache, Dutzende grundlegender Bibliotheken, die von fast jeder bestehenden Softwareanwendung genutzt werden. KI in dieses Ökosystem einzubringen ist eine Entscheidung mit Kaskadeneffekten auf die gesamte Software weltweit.
Die KI beschleunigt schneller als es scheint. Sind Sie bereit?
30 Minuten für Ihren spezifischen Fall.
Was bisher gefunden wurde
Über die bereits genannten Fälle hinaus sind die von Claude im Rahmen von Glasswing demonstrierten Fähigkeiten technisch bedeutsam. Buffer overflow, Use-after-free-Schwachstellen, heap corruption — die gefährlichsten Fehlerkategorien in modernen Systemen.
Was beeindruckt, ist nicht nur die Fähigkeit, diese Bugs zu finden, sondern dies in gehärteten Systemen zu tun, bei denen alle modernen Schutzmaßnahmen aktiv sind: Speicher-Randomisierung, Stack-Schutz, Durchsetzung der Nicht-Ausführbarkeit von Daten.
Zum Zeitpunkt der Veröffentlichung der Ergebnisse waren über 99 % der gefundenen Schwachstellen noch offen. Das bedeutet, dass diese Lücken monatelang — manchmal jahrelang — dort waren und von jedem ausgenutzt werden konnten, der sie als Erster entdeckte.
Warum Anthropic veröffentlicht statt zu schweigen
Das ist eine berechtigte Frage. Wenn Sie ein KI-Modell haben, das Schwachstellen in den sichersten Systemen der Welt finden kann, warum sollten Sie das öffentlich ankündigen?
Die Antwort von Anthropic ist kohärent mit ihrer Philosophie: Transparenz ist sicherer als Geheimhaltung. Diese Fähigkeiten existieren bereits — sie zu verbergen eliminiert sie nicht, sondern macht sie nur weniger vorhersehbar. Sie bekannt zu machen, erlaubt der Branche, sich vorzubereiten und die Verteidigungsmaßnahmen zu koordinieren.
Es gibt auch eine praktische Überlegung: Eine KI, die Schwachstellen findet, kann von jedem genutzt werden, der Zugang zu ausreichend fortgeschrittenen Modellen hat. Die Strategie von Anthropic ist, proaktive Verteidigung statt Verschleierung zu wählen.
Das Signal für deutsche Unternehmen
Project Glasswing ist nicht nur für IT-Sicherheitsteams relevant. Es ist ein Signal für die Geschwindigkeit, mit der KI Branchen und Prozesse verändert, die stabil zu sein schienen.
Wenn KI in der Softwaresicherheit bereits dazu in der Lage ist, was passiert dann in der Finanzanalyse, in der Rechtsrevision, in der industriellen Automatisierung? Die Antwort lautet: weit mehr, als die meisten Unternehmen derzeit in Betracht ziehen.
Das Risiko ist nicht technologischer Natur. Es ist strategisch. Wer heute beginnt zu verstehen, wie man diese Tools integriert, baut einen Vorsprung auf, der sich im Laufe der Zeit akkumuliert. Wer wartet, sieht sich einer immer schwieriger zu schließenden Lücke gegenüber. Mit Maverick AI helfen wir Unternehmen dabei, zu verstehen, wo sie anfangen sollen, und den Return on Investment schon ab dem ersten Projekt zu messen.