Im jüngsten Firefox-Update wurden 271 Lücken geschlossen, die das Entwicklungsteam des Browsers mithilfe des neuen KI-Modells Claude Mythos Preview von Anthropic gefunden hat. Das hat Mozilla jetzt mitgeteilt und erklärt, dass für ein gehärtetes Produkt wie den eigenen Browser jede einzelne dieser Schwachstellen einen roten Alarm gerechtfertigt hätte. Trotzdem sei die Arbeit mit dem KI-Modell – auf das offiziell nur wenige Firmen Zugriff haben, die an IT-Sicherheit arbeiten – eine hoffnungsvolle gewesen, versichert das Team. Im ewigen Kampf zwischen den Angreifern und Verteidigern im IT-Bereich hätten letztere dank des Durchbruchs bei der KI-Entwicklung endlich die Möglichkeit zu gewinnen – „und zwar entscheidend“.
Von „komplett unfähig“ zu „genauso leistungsfähig“ wie die besten Menschen
Anthropic hat Mythos vor zwei Wochen vorgestellt und dazu erklärt, dass das Modell so gefährlich sei, dass es nur Firmen zur Verfügung gestellt wird, die an IT-Sicherheit arbeiten. Das KI-Modell habe schon tausende hochriskante Zero-Day-Lücken identifiziert. Gleichzeitig sei die KI-Technik deutlich häufiger in der Lage, einen funktionierenden Exploit für solche Lücken zu entwickeln, teilweise würden dafür sogar mehrere in Verbindung miteinander ausgenutzt. Deshalb hätten nur Firmen Zugriff darauf bekommen, die das Werkzeug nutzen können, um die IT-Sicherheit zu verbessern. Inwieweit es sich dabei um ehrliche Sorge, clevere PR oder gar eine Beschränkung handelt, die darauf beruht, dass Anthropics Ressourcen für eine Freigabe gar nicht ausreichen, darüber wird aktuell fleißig diskutiert.
Das Firefox-Team von Mozilla gehört nun zu den ersten, die Erfahrungen mit Mythos gesammelt haben und öffentlich machen. Es arbeitet seit Februar 2026 mit Anthropic, die Suche mit dem Modell Opus 4.6 hatte bereits 22 sicherheitsrelevante Bugs in Firefox 148 zutage gefördert. In dem Blogeintrag zur Veröffentlichung der Firefox-Version 150 schreibt die Gruppe jetzt, dass sie seit Langem im Stillen anerkannt habe, dass die Zahl ausnutzbarer Sicherheitslücken nie auf Null gedrückt werden könnte. Man habe aber versucht, Zero-Day-Exploits so teuer zu machen, dass nur Akteure mit unbegrenzten Mitteln darauf Zugriff haben und diese nicht gegen „normale“ Nutzer und Nutzerinnen einsetzen würden. Zu dieser Einschätzung sei man gelangt, weil Angreifer einen asymmetrischen Vorteil hätten. Die Angriffsfläche etwa bei einem Browser sei zwar nicht unendlich, aber groß genug, um die Verteidigung mit existierenden Werkzeugen sehr schwer zu machen.
Bislang seien nur wenige Menschen in der Lage gewesen, durch die zeitaufwendige Analyse von Quellcode Sicherheitslücken zu finden. Computer seien dazu bis vor wenigen Monaten „komplett unfähig“ gewesen und bei Firefox habe man jahrelange Erfahrung damit, die Arbeit dieser Experten und Expertinnen zu analysieren. Anthropics Mythos Preview sei jetzt mit einem Mal „genauso leistungsfähig“ wie diese ganz wenigen Menschen: „Bis jetzt haben wir keine Kategorie oder Komplexität von Sicherheitslücken gefunden, die Menschen aufdecken können, die dieses Modell nicht aufdecken kann“, schreibt das Team. Das klinge zwar erschreckend, aber gleichzeitig habe man festgestellt, dass Mythos keine Lücken gefunden habe, die ein Spitzenforscher nicht hätte finden können.
„Wir betreten eine neue Welt“
Vorhersagen, dass KI-Modelle künftig völlig neue Formen von Lücken finden können, die unser bisheriges Verständnis übersteigen, teilt man bei Firefox deshalb nicht: „Die Fehler sind endlich, und wir betreten eine Welt, in der wir sie endlich alle finden können.“ Während man bei Firefox damit die behauptete Leistungsfähigkeit von Mythos bestätigt, ist das ein erster Hinweis auf die möglichen Folgen für die IT-Sicherheit. Bei Mozilla geht man tatsächlich davon aus, dass sich mit KI-Hilfe alle Schwachstellen und alle Angriffspunkte finden lassen. Das wäre ein enormer Gewinn für die IT-Sicherheit. Ob sich das bewahrheitet, muss sich aber erst noch zeigen. Das Update für Firefox wird automatisch installiert, es lässt sich aber auch per Klick auf „Über Firefox“ im Menü „Hilfe“ anstoßen.
(mho)
