Anthropic-Studie zeigt: KI braucht nur Stunden statt Wochen, um aus einem Sicherheitspatch einen Angriff zu bauen

Diese sogenannten N-Day-Schwachstellen verursachen laut Verizons Datenbreach-Report (via Anthropic) einen großen Teil realer Schäden. Bisher war das Reverse Engineering solcher Patches langsame Spezialarbeit, die Verteidigern Zeit verschaffte. Laut einer neuen Untersuchung von Anthropics Sicherheitsteam ist dieser Zeitpuffer nun weitgehend verschwunden.

"Ein einzelner Akteur kann jetzt die Patches eines ganzen Monats an einem einzigen Nachmittag in funktionierende Exploits verwandeln, für ein paar tausend Dollar und ohne Spezialwissen", schreiben die Forschenden in ihrem Fazit.

Patch als Bauanleitung für Angreifer

Ein Sicherheitspatch enthält implizit eine Wegbeschreibung zum Bug. Angreifer vergleichen den alten mit dem neuen Code und können so die Schwachstelle lokalisieren. Historisch dauerte dieser Prozess Wochen. In einer Mandiant-Analyse von 2020 benötigten 16 von 25 untersuchten Schwachstellen einen Monat oder länger bis zur Ausnutzung.

Anthropic hat nun gemessen, wie stark große Sprachmodelle diesen Prozess beschleunigen. Getestet wurden sechs Claude-Modelle, darunter das noch nicht öffentlich verfügbare Mythos Preview.

Für den ersten Test wählten die Forschenden 18 Sicherheitspatches für SpiderMonkey, die JavaScript-Engine von Firefox. Die Wahl fiel bewusst auf Firefox, weil der Browser laut Anthropic in vieler Hinsicht den besten Fall für Verteidiger darstellt: Er aktualisiert sich automatisch und Mozilla hat die Frequenz kleinerer Updates kürzlich von monatlich auf wöchentlich erhöht. Wenn selbst diese kurzen Patch-Lücken ausreichen, dürfte es bei anderer Software deutlich schlechter aussehen.

Mythos Preview konnte 14 der 18 Schwachstellen gezielt zum Absturz bringen und damit beweisen, dass es den jeweiligen Bug gefunden und verstanden hat. Der erste solche Nachweis stand nach 12 Minuten, insgesamt 13 folgten innerhalb von 40 Minuten. Der 14. und letzte brauchte deutlich länger und kam erst nach rund drei Stunden. Zum Vergleich: Opus 4.5 schaffte lediglich 2, Opus 4.8 kam auf 11.

In Zuverlässigkeitstests mit 50 Durchläufen pro Schwachstelle reproduzierte Mythos Preview sieben von 18 Bugs in jedem einzelnen Versuch. Opus 4.8 und Opus 4.6 erreichten diese Konstanz nur bei jeweils einer Schwachstelle.

Wichtiger als der bloße Absturz ist die Frage, ob das Modell die Schwachstelle auch tatsächlich ausnutzen kann, um fremden Code auf dem Zielsystem auszuführen. Mythos Preview zog hier deutlich davon und produzierte acht funktionierende Exploits in rund zwölf Stunden. Opus 4.8 schaffte zwei, Opus 4.6 und Sonnet 4.6 jeweils einen. Der erste Exploit stand innerhalb einer Stunde nach Veröffentlichung des Patches bereit, 18 Tage bevor das gepatchte Firefox 148 als Release erschien.

Windows-Kernel ohne Quellcode: 8 Privilege-Escalation-Ketten

Der zweite Test war erheblich schwieriger: 21 Schwachstellen im Windows-Kernel, dem Herzstück des Betriebssystems, aus den Patch Tuesdays im Januar und Februar 2026, die allesamt einem Angreifer erlauben, sich von einem eingeschränkten Nutzerkonto volle Administratorrechte zu verschaffen.

Anders als bei Firefox liegt der Windows-Quellcode nicht offen. Das Modell musste ausschließlich mit den kompilierten Programmdateien, öffentlichen Debug-Symbolen, einer maschinellen Rückübersetzung durch das Analysetool Ghidra, einem Vergleich der geänderten Funktionen und dem öffentlichen Microsoft-Advisory arbeiten.

Mythos Preview wies 18 der 21 Schwachstellen in unter sechs Stunden nach, bei Gesamtkosten von rund 2.200 Dollar in API-Credits. Opus 4.8 erreichte 15, Sonnet 4.6 und Opus 4.7 jeweils 13.

Bei der vollständigen Rechteausweitung von einem eingeschränkten Benutzerkonto zur höchsten Berechtigungsstufe SYSTEM war Mythos Preview das einzige Modell, das Erfolg hatte: 8 verschiedene, funktionierende Angriffsketten, für insgesamt rund 15.700 Dollar, also durchschnittlich etwa 2.000 Dollar pro Exploit. Opus 4.8 entwickelte zwar einzelne Angriffsbausteine, konnte diese aber nicht zu einer vollständigen Kette zusammenfügen.

Microsoft hatte 14 der 21 untersuchten Schwachstellen als "Ausnutzung weniger wahrscheinlich" oder "Ausnutzung unwahrscheinlich" eingestuft. Mythos Preview knackte 13 dieser 14 Schwachstellen und schaffte bei einer als "Ausnutzung unwahrscheinlich" bewerteten Lücke sogar die vollständige Rechteausweitung. Laut Anthropic ist Microsofts Bewertungssystem derzeit auf menschliche Sicherheitsforscher kalibriert. Sobald Modelle der Mythos-Klasse breiter verfügbar werden, müsse sich das ändern.

Die zeitliche Dimension verschärft das Problem: Selbst mit Microsofts automatischem Update-Dienst Windows Autopatch dauert es sieben Tage, bis 90 Prozent der registrierten Geräte einen Patch erhalten, und elf Tage bis zum erzwungenen Neustart. Alle acht Angriffsketten von Mythos Preview waren fertig, bevor auch nur ein Gerät den Patch automatisch eingespielt hätte.

Auch öffentliche Modelle können Exploits erzeugen

Anthropic betont, dass auch die bereits öffentlich verfügbaren Claude-Modelle bei deaktivierten Sicherheitsfiltern Exploits entwickeln können, wenn auch weniger erfolgreich. Modelle anderer Hersteller und offene Modelle dürften diese Fähigkeiten ebenfalls haben. Das erweitert den Kreis potenzieller Angreifer erheblich.

Der bisherige Patch-Rhythmus mit monatlichen Release-Zyklen und mehrstufigen Rollouts sei daher überholt, so Anthropic. Er basiere auf der Annahme, dass das Ausnutzen eines Patches wochenlange Expertenarbeit erfordere. Der gängige Fachbegriff "N-Day", der die Zeitspanne zwischen Patch und Exploit in Tagen bemisst, sei irreführend geworden: "N-Hour" beschreibe die neue Realität besser.

Die Forschenden räumen ein, dass ein realer Angriff weitere Schritte erfordert, etwa das Auffinden verwundbarer Ziele, die Auslieferung des Schadcodes und die Umgehung von Erkennungssystemen. Doch der bislang zeitaufwändigste Schritt, die Exploit-Entwicklung selbst, sei nun auf Stunden zusammengeschrumpft. Besonders gefährdet seien Systeme, die schwer oder langsam zu aktualisieren sind: industrielle Steuerungssysteme, Medizingeräte und vernetzte Geräte mit festen Wartungsfenstern oder herstellergesperrter Software.

Eine nachhaltigere Lösung als schnelleres Patchen sei es, die Fehlerquellen selbst zu reduzieren, etwa durch speichersichere Programmiersprachen wie Rust oder durch Schutzmechanismen auf Hardwareebene, die ganze Angriffsklassen auf einmal eliminieren.

Der Bericht erschien vor der Veröffentlichung von Claude Fable 5, Anthropics Mythos-Variante mit stärkeren Sicherheitseinschränkungen. Mythos 5 (ohne Preview) ist weiter nur für von Anthropic ausgewählte Institutionen verfügbar, ein Problem unter anderem für die EU.