IBM will Anthropics Modell Claude Mythos in die Sicherheitsplattform Concert Protect einbauen. Das Modell soll im Code von Kunden bislang unbekannte Sicherheitslücken aufspüren, Concert Protect prüft danach, welche davon ein Angreifer tatsächlich ausnutzen könnte. Starten soll das erst Anfang 2027.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
IBM hat am 9. November angekündigt, Mythos mit der Plattform für Exposure Management zu verbinden.[1] Die Funde sollen dort neben den Ergebnissen herkömmlicher Scanner im gewohnten Schwachstellenmanagement landen. IBM weist selbst darauf hin, dass sich die Pläne ändern können (Stand: Dienstag, 10. November 2026).
Das Wichtigste in Kürze
- IBM plant, die Code-Analyse von Claude Mythos mit Concert Protect zu verbinden, Marktstart laut IBM Anfang 2027.
- Mythos sucht in vom Kunden gewähltem Code nach unbekannten Lücken, Concert Protect prüft die Ausnutzbarkeit, Red Hat Lightwell liefert Open-Source-Korrekturen.
- Entwickler müssen jede vorgeschlagene Korrektur per Pull Request prüfen und freigeben.
- Preise, Messwerte und Kundenergebnisse nennt IBM nicht.
Was soll Concert Protect mit Mythos leisten?
IBM beschreibt einen Ablauf aus drei Stufen. Zuerst soll Mythos den vom Kunden ausgewählten Anwendungscode durchsuchen, auch nach Fehlern ohne Signatur oder CVE-Eintrag, etwa komplexen Logikfehlern und möglichen Zero-Days.[1] Klassische Scanner gleichen dagegen vor allem bekannte Muster und veröffentlichte Lücken ab.
Danach soll Concert Protect den Nachweis führen. Die Plattform wertet Code, Konfiguration und Infrastruktur aus und bewertet, ob ein Angriffsweg gangbar ist, mit Belegen statt nur einem Schweregrad.[1] Zuletzt kommt die Korrektur: Zusammen mit Red Hat Lightwell priorisiert IBM die ausnutzbaren Risiken, nutzt zurückportierte Open-Source-Fixes und erzeugt gezielte Änderungen, die Entwickler per Pull Request prüfen. Der Werbesatz „Fix it autonomously“ klingt nach Autopilot, die Freigabe bleibt aber bei Menschen.[1]
Warum rückt IBM das Abarbeiten vor das Finden?
Midhat Shahid, Vice President Produktmanagement Observability bei IBM, schreibt: „Der Engpass ist nicht mehr das Finden von Schwachstellen.“[1] Dahinter steckt ein Mengenproblem. Findet ein Modell Fehler schneller, als Teams sie beheben, wächst die Warteschlange. Entscheidend wird dann die Reihenfolge. Anthropic berichtet, Mythos Preview habe im Rahmen von Project Glasswing schon tausende schwere Sicherheitslücken gefunden.[2]
Das Muster ist nicht neu: Sam Altman rechnet nicht mehr damit, dass sich alle Sicherheitslücken schließen lassen, und Cohere will Aisle übernehmen, dessen Team 18 der 24 neuen curl-Lücken fand. IBM war bei Glasswing dabei, beschränkte sich dort laut eigener Mitteilung aber auf interne Sicherheitsforschung.[1] Mit Concert Protect kommt Mythos erstmals zu Unternehmenskunden. Mythos selbst bleibt auf geprüfte Organisationen beschränkt, Anthropic staffelt den Zugang in drei Stufen.
Ein Modell, das mehr Lücken findet, löst kein Problem, solange niemand die Funde abarbeitet. IBM verkauft deshalb die Abarbeitung.
Michael Dobler, Herausgeber Dr. Web
Was bedeutet das für Unternehmen im DACH-Raum?
Seit dem 11. September müssen Hersteller digitaler Produkte nach dem Cyber Resilience Act aktiv ausgenutzte Sicherheitslücken binnen 24 Stunden als Frühwarnung melden, über die Plattform der ENISA an das zuständige CSIRT.[3] Die Pflicht knüpft an tatsächlich ausgenutzte Lücken an, nicht an theoretisch ausnutzbare. Je früher ein Hersteller weiß, welche Lücke ein Angreifer wirklich nutzen kann, desto eher schließt er sie, bevor die Frist überhaupt läuft. Dafür ist ein Nachweis der Ausnutzbarkeit nützlich, wie IBM ihn plant.
Bis zum Start Anfang 2027 bleibt Zeit für zwei Vorarbeiten:
- Vor der Freigabe von Quellcode klären, wo ein Modell den Code verarbeitet und wer die Funde einsehen kann.
- Festlegen, wer automatisch erzeugte Korrekturen prüft, und die vorhandenen Scanner-Ergebnisse schon jetzt nach Ausnutzbarkeit statt nur nach Schweregrad sortieren.
IBM lädt am 19. November zu einem Webinar zur geplanten Integration ein.
Quellen
3 Quellen anzeigenQuellen ausblenden
- IBMIBM plans to bring Anthropic’s Claude Mythos cyber reasoning into IBM Concert
- AnthropicProject Glasswing
- Europäische KommissionCyber Resilience Act: Reporting
Mehr Newshunger?
- Anthropic stellt Claude Fable 5.2 und Mythos 5.2 vor
- Anthropic öffnet Mythos 5.1 für mehr Sicherheitsteams und staffelt den Zugang in drei Stufen
- Dauertest per KI: Palo Alto durchleuchtet Firmennetze mit Claude und GPT
- Fortinet schließt von KI gefundene Lücken, Details folgen erst am 10. November
- Google stellt Gemini 4 Carbon vor, zuerst nur für Sicherheitsteams
- OpenAI-Pipeline erzeugt 948 Root-Exploits für Linux
