Der Mythos-Moment: Was sich verändert, was bleibt – und was jetzt zu tun ist

Das Mythos-Modell von Anthropic und das Konsortium hinter „Project Glasswing“ markieren einen echten Wendepunkt für die Software-Sicherheit. KI-Modelle werden künftig Schwachstellen in fundamentalem Code mit nie dagewesener Geschwindigkeit finden – und direkt beheben. Das ist ein riesiger Fortschritt.  

Doch das, was ein CISO täglich verteidigen muss, ist nicht der Linux-Kernel.  

Eine neue Ära der IT-Infrastruktur: Wenn Software-Patches automatisiert greifen, verlagert sich die Verteidigungslinie auf die unsichtbaren Datenströme im Hintergrund.

Was Mythos nicht berührt

Durchschnittlich nutzen Unternehmen heute 60 verschiedene KI-Anwendungen. Bei den Power Usern sind es sogar bis zu 500 Apps.  

Dabei generieren KI-Tools deutlich mehr Daten, als Mitarbeiter eingeben. KI ist zum Netto-Informationsgenerator geworden. Das Risiko konzentriert sich folglich auf das, was hinausgeht und was hineinfließt.  

Das Problem: 80 Prozent der generativen KI-Apps erhalten im Netskope Cloud Confidence Index die Note „Schlecht“ für Enterprise-Sicherheit. Gleichzeitig verfügt etwa jedes vierte Unternehmen über keinerlei Echtzeit-Governance-Richtlinien für KI.  

Genau das ist die Angriffsfläche, die ein CISO verteidigen muss – nicht der Linux-Kernel.  

Project Glasswing leistet wichtige Arbeit an Betriebssystemen und kritischen Open-Source-Bibliotheken. Früher oder später kommen die Patches überall an.  

Auf der anderen Seite werden Angreifer dieselben Modelle nutzen, um Schwachstellen extrem schnell zu Exploits zusammenzufügen. Das macht die Sicherheits- und Netzwerkarchitektur jenseits des Codes noch kritischer.  

Der eigentliche Risikovektor

Dieses Szenario ist in Unternehmen längst Realität: Ein Mitarbeiter installiert einen KI-Assistenten für E-Mails, Kalender und CRM-Updates.  

Der Assistent verbindet sich über das Model Context Protocol (MCP). Jede Verbindung ist vom Nutzer autorisiert und authentifiziert. Jeder API-Aufruf landet bei einem genehmigten Ziel.  

Für den Endpoint, den SaaS-Anbieter und den Identity-Stack sieht alles korrekt aus.  

Und doch fließen sensible Daten in einen Agenten, den das Sicherheitsteam nie geprüft hat. Das geschieht auf dem Berechtigungsniveau des Mitarbeiters. Es hängt komplett vom Urteil eines nicht-deterministischen Modells ab, das halluzinieren oder durch Prompt Injection manipuliert werden kann.  

• Ein gepatchter Browser sieht das nicht.  

• Ein gepatchtes Betriebssystem stoppt es nicht.  

• Ein Zero-Day-Scanner schlägt niemals Alarm.  

Das ist keine Code-Schwachstelle. Es ist ein Identitäts- und Datenproblem, getarnt als legitimer Datenverkehr. Der jüngste Threat-Labs-Bericht von Netskope markiert MCP deshalb explizit als aufkommendes Risiko.  

Wenn sich Mythos-fähige Modelle verbreiten (Anthropic spricht von 6 bis 18 Monaten), greifen Agenten nicht den Perimeter an. Sie sind bereits drinnen, autorisiert als Mitarbeiter.  

Sicherheit und Produktivität vereinen

Jeder CIO hört derzeit vom Vorstand dieselbe Frage: „Wie führen wir KI sicher ein?“   

Die falsche Antwort lautet: „Wir blockieren sie.“ Wer KI flächendeckend sperrt, verliert den Talentwettbewerb und die Geduld des CEOs.  

Die Vorreiter antworten: „Ja, aber mit Leitplanken.“ Sie nutzen Inline-Kontrollen, die Verhalten und Daten live klassifizieren. Sie setzen kontextbezogene Richtlinien auf der Transaktionsebene durch, ohne den Nutzer auszubremsen.  

Tragfähig sind Architekturen, in denen Richtlinien einmal definiert und Identität, Daten sowie Datenverkehr als ein einziges Gewebe gesteuert werden. So wächst die Zahl der Kontrollpunkte nicht unkontrolliert.  

Wenn Plattform-Konvergenz und KI-Enablement zusammenwirken, steigt der ROI in beiden Bilanzen: Sicherheit und Geschäft.  

Drei zentrale Fragen für IT-Entscheider

1. Wie viele unterschiedliche KI-Ziele haben in der vergangenen Woche Daten empfangen – und welche? Wenn das nicht mit einer einzigen Abfrage zu beantworten ist, liegt ein Sichtbarkeitsproblem vor dem Risikoproblem.  

2. 
   

   Greifen die Datenkontrollen auch auf Prompts und Antworten – nicht nur auf Datei-Uploads? Klassische DLP-Lösungen wurden für Anhänge entwickelt. Prompts sind eine andere Modalität. Da das Risiko dort liegt, wo die meisten Richtlinien nicht hinschauen.  

3. 
   

   Welche SaaS- oder Cloud-Apps haben Agenten- oder MCP-Funktionen aktiv – und unter wessen Identität? Wer darauf heute keine Antwort hat, wird die Frage in spätestens sechs Monaten auf Vorstandsebene diskutieren.  

Ausblick: Es gibt keinen Patch

Project Glasswing wird die Software-Infrastruktur stärken. Doch was passiert, wenn ein Mythos-fähiges Modell intern läuft, auf Daten zugreift und im Namen von Mitarbeitern Entscheidungen trifft? Dafür gibt es keinen Patch.  

Anstatt nachträglich zu patchen, brauchen Unternehmen ein Echtzeit-Sicherheitssystem. Es muss den gesamten Datenfluss live überwachen – im Netzwerk, in der Plattform und in der Datenschicht. Und es muss einsatzbereit sein, bevor die Modelle ankommen.  

Wie Anthropic sagt: „Project Glasswing ist ein Ausgangspunkt.“ Kein Akteur kann das alleine lösen. Entwickler, Hersteller, Forscher und Regierungen müssen zusammenarbeiten.  

Die Netzwerktechnik muss neu gedacht werden – für eine Welt, in der der mächtigste Agent im Netz eine KI sein kann, die niemand dort selbst eingesetzt hat. Das ist die Aufgabe.  

Über den Autor:

Sanjay Beri ist Co-Founder & CEO bei Netskope. Er blickt auf mehr als zwei Jahrzehnte voller Innovationen in den Bereichen Cloud, Netzwerke und Sicherheit zurück. Mit technologischem Know-how und strategischer Vision hat er Netskope zu einem weltweit führenden Sicherheitsunternehmen geformt.