Anthropics Sicherheitsmodell Mythos fand allein im April 231 kritische und wichtige Lücken in SharePoint. Rund 300 mittelschwere Funde bleiben liegen, niedrige Schweregrade tauchen in den internen Unterlagen gar nicht auf. Der Patch-Rückstau verschiebt das Risiko auf die Betreiber.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Der Patch-Rückstau bei Microsoft hat jetzt Zahlen. ProPublica hat interne Unterlagen des Konzerns ausgewertet und beschreibt darin einen Wettlauf, den die Sicherheitsabteilung verliert.[1] Rund 50 Vollzeitkräfte arbeiten dort mit der Vorabversion Claude Mythos Preview.
Das Wichtigste in Kürze
- Anthropics Modell Mythos fand im April 90 kritische und 141 wichtige Schwachstellen allein in SharePoint.
- Rund 300 mittelschwere SharePoint-Funde stellte Microsoft hinten an, niedrige Schweregrade nennen die Unterlagen nicht.
- Sicherheitsforscher warnen vor der Verkettung: Vier geringfügige Fehler ergeben zusammen eine schwere Lücke.
- Ab dem 11. September 2026 verlangt der Cyber Resilience Act eine Erstmeldung binnen 24 Stunden.
Wie viel meldet Anthropics Mythos an Microsoft?
Project Glasswing heißt das Programm, über das Anthropic sein Modell Mythos seit April an ausgewählte Softwarehersteller ausgibt. Allein in SharePoint meldete Mythos im April 90 kritische und 141 wichtige Schwachstellen. Über Microsoft 365, Teams und Copilot summierten die Funde sich bis Mitte Mai auf mehrere Hundert.[1]
Der Fund-Druck hängt nicht an einem einzelnen Modell. Microsoft zeigte im Juli ein eigenes Modell, das Lücken findet und die Patches gleich mitschreibt, und Anthropics Mythos hatte kurz zuvor die Schlüsselstärke eines Post-Quanten-Verfahrens binnen 60 Stunden halbiert. Die Suchkapazität wächst an mehreren Stellen, die Patchkapazität nicht.
Warum bleibt der Patch-Rückstau bestehen?
Die Triage erklärt den Stau. Microsoft priorisiert nach Ausnutzbarkeit und Kundenwirkung, schließt also zuerst kritische und wichtige Lücken. Rund 300 mittelschwere SharePoint-Funde standen deshalb hinten an, niedrige Schweregrade tauchen in den Unterlagen überhaupt nicht auf.[1]
„Vier Fehler niedriger Stufe lassen sich verketten, und das ergibt zusammen eine hohe Schwere“, sagte Vinh Nguyen, früher KI-Chef der US-Sicherheitsbehörde NSA und heute technischer Berater von Anthropic. Genau diese Verkettung bildet die Triage-Logik nicht ab. Microsoft nennt Sicherheit die wichtigste Priorität des Konzerns und ließ offen, wie viele der vertagten Funde inzwischen geschlossen sind.[1]
Im Auslieferungsrhythmus wird der Stau sichtbar. Im Juni schloss Microsoft gut 200 Lücken, einen Monat später 570 an einem einzigen Patchtag. Nur sieben Einträge dieses Pakets trugen einen mittleren oder niedrigen Schweregrad.[2] Der Rückstand wächst also, obwohl die Patchrate steigt.
Anthropics Mythos hat bei Microsoft kein Erkennungsproblem offengelegt, sondern ein Kapazitätsproblem im Patchbetrieb. Die rund 300 vertagten SharePoint-Funde sind das eigentliche Risiko, nicht die 90 kritischen.
— Markus Seyfferth, Chefredakteur Dr. Web
Anthropics Modell Mythos meldet Schwachstellen schneller, als Microsoft die Korrekturen ausliefert.
Ab dem 11. September 2026 gilt der Cyber Resilience Act: Erstmeldung einer aktiv ausgenutzten Schwachstelle binnen 24 Stunden, Bußgeld bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Was bedeutet der Rückstau für europäische Betreiber?
Der Cyber Resilience Act verkürzt die Fristen ab dem 11. September 2026. Hersteller digitaler Produkte melden jede aktiv ausgenutzte Schwachstelle dann binnen 24 Stunden an das BSI oder die ENISA, der ausführliche Bericht folgt nach 72 Stunden. Bußgelder reichen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.[3]
Für Betreiber in Deutschland verschiebt der Rückstau die Last nach unten. Eine offene mittelschwere Lücke im eigenen Netz bleibt eine Angriffsfläche, auch ohne Herstellerpatch. Den Preis dafür beziffert IBM: eine KI-gestützte Datenpanne kostet im Schnitt 5,22 Millionen Euro. Wie leicht eine sicherheitsrelevante Korrektur als Routine-Update durchrutscht, zeigte zuletzt der GitLab-Fall ohne CVE-Nummer.
Inventar zuerst: Listen Sie Ihre selbst betriebenen SharePoint- und Microsoft-365-Installationen auf und ziehen Sie die Juli-Patches dort vorrangig ein. Mittelschwere CVEs gehören ab sofort in dieselbe Warteschlange wie kritische, weil die Verkettung genau dort ansetzt.
Quellen
[1] ProPublica: „Anthropic’s New AI Model Can Identify More Software Bugs Than Ever. Microsoft Is Struggling to Fix Them Fast Enough.“
[2] Microsoft: Security Update Guide, Release Note Juli 2026
[3] Europäische Union: Verordnung (EU) 2024/2847 (Cyber Resilience Act)
Mehr Newshunger?
- CosmosEscape in Azure Cosmos DB: Ein Generalschlüssel öffnete jede Datenbank
- KI-Würmer in Word-Dokumenten verbreiten sich über Copilot von selbst
- 36 Tage bis zur Meldung: Analog Devices bestätigt den Datenabfluss spät
- Arista VeloCloud: Angreifer kapern die SD-WAN-Zentrale ohne Passwort
- TeamViewer für macOS: Eine Logiklücke umgeht die Zwei-Faktor-Pflicht
- 570 Sicherheitslücken an einem Tag: KI treibt Microsofts Patchday auf Rekordniveau
