Payward, die Muttergesellschaft der Kryptowährungsbörse Kraken, schloss sich am 17. August Anthropics Project Glasswing an und erhielt eingeschränkten Zugang zu Claude Mythos 5 für defensive Cybersicherheitsarbeit.
Zusammenfassung
- Payward schloss sich Anthropics Project Glasswing an und erhielt eingeschränkten Zugang zum Claude-Mythos-5-Modell.
- Das Unternehmen plant, in den kommenden Wochen alle Payward-Umgebungen auf Software-Schwachstellen zu scannen.
- Payward sagt, dass validierte Erkenntnisse Dritter mit den relevanten Open-Source-Projektbetreuern geteilt werden.
- Anthropic beschränkt den Zugang zu Mythos 5 auf geprüfte Organisationen, da seine Cybersicherheitsfähigkeiten Missbrauchsrisiken bergen.
- Die Nutzung von Mythos 5 erfordert, dass Kunden eine dreißigtägige Datenspeicherung für die Sicherheitsüberwachung von Anthropic akzeptieren.
Das Unternehmen plant, das Modell für künstliche Intelligenz in den kommenden Wochen zu nutzen, um seine Software-Umgebungen auf Schwachstellen zu scannen. Die Ergebnisse fließen in den bestehenden Sicherheitsüberprüfungsprozess von Payward ein, anstatt automatisch Softwareänderungen zu erzeugen.
Payward teilte außerdem mit, dass es beabsichtigt, validierte Schwachstellen, die Open-Source-Projekte Dritter betreffen, deren Betreuern offenzulegen. Das Unternehmen nannte weder seine ersten Scan-Ziele, veröffentlichte einen Einsatzplan oder offenbarte die Kosten für seinen Mythos-5-Zugang.
Payward wird seine Software-Umgebungen scannen
Payward sagte, dass Claude Mythos 5 alle Unternehmensumgebungen auf Softwareschwächen untersuchen wird. Seine Infrastruktur unterstützt den Handel mit digitalen Vermögenswerten, Verwahrungs- und Abwicklungsdienste, die kontinuierlich verfügbar bleiben.
Die Ankündigung legt nicht fest, ob Mythos 5 Zugang zu Produktionssystemen, isolierten Kopien des Quellcodes oder kontrollierten Testumgebungen erhalten wird. Payward beschrieb auch nicht, wie sein Sicherheitsteam die Ergebnisse validieren wird, bevor es Korrekturen genehmigt.
Fehlalarme bleiben ein praktisches Problem, wenn Systeme der künstlichen Intelligenz komplexe Software überprüfen. Ein Modell könnte unerreichbaren Code identifizieren, einen bestehenden Bericht duplizieren oder missverstehen, wie eine Komponente in der Produktion funktioniert. Daher ist eine menschliche Überprüfung erforderlich, bevor Teams ein Problem als Schwachstelle einstufen.
Die Ethereum Foundation kam zu einem ähnlichen Schluss, als sie KI-Sicherheitsagenten testete. Wie crypto.news berichtete, stellten ihre Forscher fest, dass KI-generierte Schwachstellenberichte weiterhin eine unabhängige menschliche Validierung erforderten, insbesondere wenn Agenten komplexen Protokollcode untersuchten.
Paywards Co-CEO Arjun Sethi sagte, KI könnte das Ungleichgewicht zwischen Angreifern und Verteidigern verändern, indem sie Code in größerem Maßstab liest.
„Ein Modell kann jede Codezeile so lesen, wie ein Angreifer es tun würde, im Maschinenmaßstab, sodass wir den Fehler finden, bevor jemand den Exploit bauen kann“, sagte Sethi.
Die Aussage beschreibt den beabsichtigten defensiven Vorteil von Payward. Das Unternehmen hat noch keine Ergebnisse veröffentlicht, die zeigen, wie viele echte Fehler Mythos 5 in seinen Systemen gefunden hat.
Project Glasswing beschränkt den Zugang auf geprüfte Partner
Anthropic startete Project Glasswing im April 2026, um ausgewählten Infrastrukturanbietern und Software-Betreuern frühen Zugang zu seinen stärksten Cybersicherheitsmodellen zu geben.
Zu den ersten Teilnehmern gehörten Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, Nvidia, Palo Alto Networks und die Linux Foundation. Anthropic erweiterte die Initiative später auf etwa 150 Organisationen in mehr als 15 Ländern.
Das Unternehmen erklärt, dass teilnehmende Organisationen Sicherheitsanforderungen erfüllen müssen, bevor sie Zugang erhalten. Mythos 5 ist nicht allgemein verfügbar, da dieselben Fähigkeiten, die zur Identifizierung von Schwachstellen verwendet werden, auch dazu beitragen können, funktionierende Exploits zu erstellen.
Wie bereits berichtet, hat Anthropic den Mythos-Zugang nur für geprüfte US-Organisationen wiederhergestellt, nachdem die US-Regierung vorübergehende Exportbeschränkungen aufgehoben hatte. Das geschützte Claude-Fable-5-Modell wurde wieder breiter verfügbar.
Payward erklärte, dass sein Zugang der US-Entscheidung folgte, Mythos 5 Organisationen zu ermöglichen, die kritische Infrastruktur betreiben und verteidigen. Die offizielle Modellseite von Anthropic Seite bestätigt, dass der Zugang für eine Reihe von US-Organisationen nach behördlicher Genehmigung wiederhergestellt wurde.
Weder Anthropic noch die US-Regierung haben öffentlich jede digitale Asset-Plattform als kritische Infrastruktur eingestuft. Paywards Aussage, dass solche Plattformen "auf diese Liste gehören", stellt die Position des Unternehmens dar und keine formelle behördliche Einstufung.
Claude Mythos 5 birgt defensive und offensive Risiken
Anthropic beschreibt Claude Mythos 5 als sein leistungsfähigstes Modell für Cybersicherheit und Biologieforschung. Das Modell kann Code untersuchen, Schwachstellen identifizieren, Patches vorschlagen und zugelassenen Forschern beim Testen von Exploit-Pfaden helfen.
Project Glasswings frühere Mythos-Vorschau soll mehr als 10.000 Schwachstellen mit hohem oder kritischem Schweregrad in weit verbreiteter Software gefunden haben. Das koordinierte Offenlegungs-Dashboard von Anthropic Dashboard zeigte zum 22. Mai 1.596 gemeldete Schwachstellen in 281 Open-Source-Projekten.
Diese Zahlen sind Messungen von Anthropic und bedeuten nicht, dass jeder anfängliche Modellbefund gültig war. Das Dashboard verzeichnete eine True-Positive-Rate von 90,8 % bei 1.900 Kandidaten, die von externen Sicherheitsfirmen überprüft wurden.
Anthropic erklärte, dass die unabhängige menschliche Sichtung die begrenzende Stufe bleibt. Nur 97 aufgeführte Befunde waren zum Zeitpunkt der Dashboard-Aktualisierung upstream gepatcht, während 88 eine öffentliche Beratungskennung erhalten hatten.
Das Modell kann auch Exploit-Komponenten erstellen und sie zu Angriffsketten kombinieren. Anthropic führte diese Dual-Use-Fähigkeit an, als es erklärte, warum Mythos 5 auf zugelassene Partner beschränkt bleibt.
In verwandter Berichterstattung fanden Forscher heraus, dass Modelle der Mythos-Klasse Softwarefehler in funktionierende Exploit-Ketten verwandeln konnten. Ein breiterer Zugang würde Angreifern daher einige der gleichen Fähigkeiten geben, die Verteidigern zur Verfügung stehen.
Open-Source-Erkenntnisse werden an Maintainer weitergegeben
Payward erklärte, dass Schwachstellen, die in gemeinsam genutztem Drittanbieter-Code entdeckt werden, an die jeweiligen Projekt-Maintainer gesendet werden. Es präsentierte diesen Prozess als eine Möglichkeit, andere Organisationen zu schützen, die dieselbe Software verwenden.
Das Unternehmen veröffentlichte keine koordinierte Offenlegungsrichtlinie für die Initiative. Wichtige unbeantwortete Details umfassen, wie lange Maintainer Zeit haben, um Schwachstellen zu patchen, welche Befunde Payward öffentlich offenlegen darf und wie es mit Projekten umgeht, die nicht reagieren.
Payward hatte zuvor Auseinandersetzungen über Sicherheitsforschung. Wie crypto.news berichtete, hat Kraken einen Einzahlungsfehler gepatcht, den Forscher nutzten, um fast 3 Millionen Dollar abzuheben. Die Börse holte die Gelder später nach einer öffentlichen Meinungsverschiedenheit mit CertiK zurück.
Diese Episode stand in keinem Zusammenhang mit Project Glasswing, zeigt aber, warum klare Test- und Offenlegungsregeln wichtig sind. KI-Scans können die Anzahl der gemeldeten Befunde erhöhen und zusätzliche Arbeit für Sicherheitsteams und Maintainer schaffen.
Was als Nächstes für Paywards KI-Sicherheits-Rollout passiert
Payward plant, innerhalb von Wochen mit dem Scannen seiner Umgebungen zu beginnen. Die nächsten überprüfbaren Updates würden bestätigte Schwachstellen, abgeschlossene Patches oder öffentliche Offenlegungen umfassen, die mit betroffenen Open-Source-Projekten koordiniert wurden.
Es wurden keine Leistungsziele angekündigt. Payward sagte nicht, wie oft Mythos 5 seine Systeme scannen wird oder ob das Modell neuen Code vor der Bereitstellung überprüfen wird.
Anthropic verlangt von Mythos-5-Kunden, einer dreißigtägigen Datenaufbewahrung für Sicherheitsüberwachung zuzustimmen. Payward hat nicht erklärt, welche Code- oder Systeminformationen übermittelt werden, wie sensible Daten getrennt werden oder ob Kundeninformationen außerhalb des Scan-Prozesses liegen.
Derzeit ist die bestätigte Entwicklung Paywards Eingeständnis zu Project Glasswing und die geplante Nutzung von Claude Mythos 5. Ob das Modell die Sicherheit des Unternehmens verbessert, hängt von der Qualität seiner Ergebnisse, der menschlichen Überprüfung und der Geschwindigkeit nachfolgender Patches ab.
