Apple-Technologie mithilfe von Hacker-KI geknackt – das wissen wir
Im April liess die US-Entwicklerfirma Anthropic verlauten, ihre neueste Entwicklung sei dermassen gefährlich, dass sie nicht veröffentlicht werden könne. Nur ausgewählte Unternehmen sollten exklusiven Zugriff erhalten.
Die Ankündigung sorgte weltweit für alarmistische Schlagzeilen – auch bei watson. Es meldeten sich aber auch kritische Stimmen zu Wort, die bezweifelten, dass Anthropics neues KI-Modell die Cybersicherheit revolutionieren wird.
Inzwischen hat sich der Pulverdampf verzogen – doch um die Hacker-KI wird es nicht leiser. Im Gegenteil.
Gemäss jüngsten Berichten konnten US-Sicherheitsforscher damit in gerade mal fünf Tagen einen besonders raffinierten Sicherheitsmechanismus von Apple aushebeln, dessen Entwicklung Jahre dauerte und sehr viel kostete.
Was also kann «Claude Mythos Preview» wirklich? Und warum ist trotz Riesen-Hype Skepsis angebracht?
watson hat sich auf Spurensuche begeben.
Was ist passiert?
Start-up knackt Apples grosse Sicherheits-Innovation
Apple ist nicht nur offizieller Partner von Anthropics «Project Glasswing», das den Zugang zur Hacker-KI regelt. Der iPhone-Hersteller steht derzeit auch unfreiwillig im Zentrum des bislang spektakulärsten Resultats, das mithilfe von Claude Mythos Preview erzielt wurde.
Die in Palo Alto ansässige Cybersicherheitsfirma Calif hat sich darauf spezialisiert, gefährliche Sicherheitslücken mithilfe von generativer künstlicher Intelligenz zu schliessen. Erklärtes Ziel des Start-ups ist es, das Internet sicherer zu machen.
Calif gehört zu den rund 40 Organisationen, die gemäss Anthropic-Ankündigung die Hacker-KI testen dürfen, um hoch spezialisierte Sicherheitsanalysen durchzuführen.
Und mit «Mythos» ist es den Super-Nerds laut eigenen Angaben in nur fünf Tagen gelungen, eine zentrale Sicherheitstechnologie von Apple zu hacken. Eine Technologie, deren Entwicklung Jahre dauerte und zig Millionen kostete.
Wie gingen die Angreifer vor?
Die White-Hat-Hacker des kalifornischen Start-ups programmierten eine Angriffs-Software (Exploit), die zwei Schwachstellen im macOS-Betriebssystem und eine Handvoll Angriffstechniken miteinander kombiniert. So wird der Speicher des Mac überlastet und die Angreifer erlangen Zugriff auf System-Bereiche, die eigentlich unzugänglich sein sollten.
Im Fachjargon wird das Vorgehen als «Privilege Escalation Exploit» bezeichnet. Und wenn es mit anderen Angriffswerkzeugen kombiniert würde, könne es ein Hacker schaffen, die Kontrolle über fremde Computer zu erlangen.
Brisant aus Apple-Sicht: Die Angriffsmethode richtet sich gegen eine als besonders sicher geltende Eigenentwicklung. Im September 2025 hatte der Techkonzern verlauten lassen, es sei dank der Expertise im Bereich Hardware und Betriebssysteme gelungen, eine Technologie namens Memory Integrity Enforcement (MIE) zu entwickeln (siehe Box).
Was Apple als Memory Integrity Enforcement (MIE) bezeichnet, ist eine von Ingenieuren entwickelte, hardwaregestützte «Sicherheitsarchitektur». Der Schutz funktioniert nur auf neuesten Apple-Prozessoren, wie dem A19 und A19 Pro (iPhone-17-Modellreihe), sowie bei M5-Chips, die in aktuellen Macs und iPad-Modellen verbaut sind.
Apples eigene Fachleute bezeichneten MIE bei der Ankündigung im September 2025 als eines der bedeutendsten Upgrades für die Speichersicherheit in der Geschichte gängiger Betriebssysteme. Das primäre Ziel sei es, professioneller Spionagesoftware (Spyware) die technische Grundlage für komplexe Angriffsketten zu entziehen.
Obwohl die Hürden für Angreifer massiv erhöht und ältere Exploit-Kits – Stichwort Jailbreak – unbrauchbar gemacht werden, bietet MIE keinen perfekten Schutz. Zur Erinnerung: 100-prozentige Sicherheit existiert nicht.
PS: Den 55-seitigen Bericht, in dem sie ihre Angriffsmethode im Detail beschreiben, wollen die Sicherheitsforscher von Calif erst veröffentlichen, wenn Apple die (oben erwähnten) zugrundeliegenden macOS-Lücken geschlossen hat.
Apple erklärte auf Anfrage von Journalisten, man prüfe den Bericht, um die Ergebnisse zu verifizieren.
Was sind die Stärken von Claude Mythos Preview?
Aktuelle Berichte verschiedener Cybersicherheitsfirmen zeichnen inzwischen ein ziemlich präzises Bild der aktuellen Leistungsfähigkeit von Anthropics Hacker-KI.
Neben Calif ist hier Xbow zu erwähnen, eine KI-gestützte Sicherheitsplattform – ebenfalls aus dem Silicon Valley stammend –, die darauf spezialisiert ist, Software-Schwachstellen automatisiert zu finden und zu melden.
Demnach hat Claude Mythos Preview folgende Stärken:
- Tiefes statisches Code-Verständnis: Xbow attestiert dem KI-Modell «eine unglaubliche Stärke bei Quellcode-Audits», also dem Überprüfen von Computer-Programmcode. «Mythos» kommuniziere mit einer für KI bisher unbekannten technischen Präzision und lese Code mit dem geschulten Auge eines menschlichen Angreifers.
- Schnelle Mustererkennung: Eine weitere Stärke des KI-Modells liegt im Aufspüren von bekannten, aber extrem tief vergrabenen Klassen von sicherheitsrelevanten Programmierfehlern. «Mythos» finde innert Minuten logische Brüche, die jahrzehntelang übersehen wurden.
- Enorme Effizienzsteigerung: Niemand kann mit dem Arbeitstempo der Hacker-KI mithalten. Im Fall von Calif dauerte es von der ersten Entdeckung der Code-Anomalie durch Mensch und KI bis zum fertigen, funktionierenden Angriffs-Tool (Exploit) nur eine knappe Woche.
Die Fachleute bei Calif waren offenbar so begeistert darüber, was sie mit Unterstützung des Chatbots Claude und des Sprachmodells Claude Mythos Preview schafften, dass sie gleich nach Cupertino zum Apple-Hauptsitz fuhren. Und als Beweis fügten sie im Firmenblog ein Foto an.
Ihr vorläufiges Fazit zur Hacker-KI:
Und die Schwächen?
Trotz des weltweiten Hypes vermag Claude Mythos Preview keine Profi-Programmierer, Elitehacker oder versierte Cyberkriminelle zu ersetzen. Die Analysen der unabhängigen Fachleute decken die Grenzen der KI schonungslos auf:
- Ein Gehirn ohne Körper: Im Xbow-Bericht wird betont, dass Code-Überprüfungen (Audits) eine rein kognitive Aufgabe seien. Echte «Penetrationstests», bei denen Hacker versuchen, in ein fremdes System einzudringen, seien eine ganze andere Nummer. Solche Hacks erforderten jeweils interaktives Handeln (einen «Körper»), um auf unvorhergesehene Netzwerk-Aktivitäten zu reagieren. Hier stosse das KI-Modell schnell an seine Grenzen.
- Mangelhafte Validierung: «Mythos» sei zwar stark im Aufspüren potenzieller Sicherheitslücken, aber verhältnismässig schwach darin, zu überprüfen, ob die Lücken in der Praxis überhaupt ausnutzbar sind.
- Gefahr von Fehleinschätzungen: Das KI-Modell neigt gemäss Xbow-Berich zu Extremen. Entweder agiere es viel zu konservativ und buchstabengetreu, oder es übertreibe die praktische Relevanz eines theoretischen Softwarefehlers massiv, was zu unnötigen Alarmen führe.
- Kein Ersatz für menschliche Genies: Der Apple-Hack von Calif hat gezeigt, dass die KI zwar die Puzzleteile liefern kann, das eigentliche Design des Angriffs setzt jedoch die tiefgehende, kreative Denkarbeit menschlicher Spitzenforscher und -forscherinnen voraus. Die KI leistet die Vorarbeit, die finale Hürde überwindet der Mensch.
Dies bestätigt der Geschäftsführer von Calif, ein aus Vietnam stammender IT-Sicherheits- und Verschlüsselungsexperte namens Thai Dong, der zuvor für den Techkonzern Google tätig war. Er sagte dem «Wall Street Journal», dass ein Cyberangriff gegen das von Apple speziell gehärtete System nicht allein von Mythos hätte durchgeführt werden können.
Es brauche die Mensch-Maschine-Kooperation:
Was ist mit dem Halluzinations-Problem?
Auf grossen Sprachmodellen basierende KI-Chatbots wie ChatGPT oder Claude sind berüchtigt dafür, zu halluzinieren. Das heisst, sie erzeugen selbst auch Falschinformationen, die für ahnungslose User täuschend echt wirken.
Wenn nun KI-Modelle von Sicherheitsforschern, Cyberkriminellen oder anderen Akteuren eingesetzt werden, um in einer bestimmten Software Sicherheitslücken zu entdecken, generieren sie in der Regel ebenfalls massenhaft plausible, aber falsche Fehlerberichte – also Halluzinationen.
Die KI-generierten Fehlerberichte erschienen oberflächlich betrachtet plausibel und technisch fundiert. Bei der manuellen Überprüfung durch menschliche Software-Ingenieure stellten sich diese jedoch öfters als Sackgassen heraus.
Doch nun zeichnet sich die Kehrtwende ab.
In einem am 7. Mai veröffentlichten Bericht erklären die Macher des bekannten Open-Source-Webbrowsers Firefox, wie sie mit Claude Mythos Preview in kürzester Zeit hunderte schwere Sicherheitslücken aufspüren konnten.
Die Browser-Entwickler machten sich ein mehrstufiges Vorgehen zunutze, um möglichst viel aus der Hacker-KI herauszuholen und nicht auf Halluzinationen hereinzufallen.
Zunächst gilt es noch den Begriff «Codebase» (oder Codebasis) zu erklären. Gemeint ist damit die vollständige Sammlung des Quellcodes, aller Konfigurationsdateien und der Dokumentation, die es zu einer Anwendung gibt.
- 1. Das Gerüst für die KI: Wie die Firefox-Entwickler schreiben, lassen sie «Mythos» nicht frei in der Codebasis nach Schwachstellen suchen. Vielmehr füttern sie das KI-Modell über ein Programmiergerüst («Harness» genannt) gezielt mit Quellcode-Dateien. Dann weisen sie die KI an, selbstständig einen konkreten Testfall zu schreiben (z. B. ein manipuliertes Stück HTML-Code). Solche Testfälle lassen die Sicherheitsforscher anschliessend in ihren automatischen Software-Testumgebungen («Fuzzing») ausführen. Das entscheidende Kriterium: Nur wenn der KI-generierte Code das System zu einem echten Speicherabsturz bringt, wird die Lücke tatsächlich ernst genommen.
- 2. Die KI-Gegenkontrolle: Sobald ein Absturz erfolgt, schalten die Firefox-Entwickler ein zweites, unabhängiges Sprachmodell (LLM) dazwischen. Dieses hat exklusiv die Aufgabe, den von Claude Mythos Preview erzeugten Bericht zur Sicherheitslücke zu analysieren und nach logischen Fehlern zu bewerten. Erst wenn diese zweite, unabhängige KI-Prüfung eine hohe Punktzahl vergibt, landet der Bericht auf dem Tisch der menschlichen Entwickler.
Wie die Firefox-Entwickler ausdrücklich betonen, bleibe die Bereinigung des Codes weiterhin Handarbeit. Zwar werde «Mythos» bei jedem gefundenen Software-Fehler gebeten, auch gleich den passenden Reparatur-Code («Patch») zu schreiben. Die Praxis zeige jedoch, dass diese KI-Patches fast nie direkt übernommen werden können.
Wer gewinnt – Angreifer oder Verteidiger?
Mythos kommt nun eine besonders wichtige Aufgabe zu. Die von Anthropic autorisierten Techkonzerne wie Apple, Google und Microsoft verwenden die Hacker-KI nicht für punktuelle, manuelle Suchen nach Software-Schwachstellen. Vielmehr integrieren sie «Mythos» direkt und automatisiert in ihre Software-Pipelines, also die Entwicklung an sich.
Früher wurden System-Updates veröffentlicht, und Monate später fanden externe Hacker (oder Spionagesoftware-Entwickler) eine Sicherheitslücke (eine sogenannte Zero-Day-Lücke), die dann hastig geschlossen werden musste.
Heute sollen solche Lücken schon während der Entwicklungsphase verhindert werden. Fehlerhafter, angreifbarer Code verlässt im besten Fall gar nicht erst die Server des Unternehmens, weil Mythos ein Sicherheitsrisiko findet.
Dies ist gerade für die Entwickler marktdominierender Betriebssysteme enorm wichtig, ob es sich dabei um iOS, Windows oder Android handelt. Denn auf tiefer Systemebene sind Code-Fehler, die eine Sicherheitslücke darstellen, im Nachhinein nur noch extrem schwer zu korrigieren.
Dario Amodei, der Co-Gründer und Chef von Anthropic, zeigte sich Anfang dieses Monats während eines öffentlichen Auftritts optimistisch, dass mächtige KI-Tools wie «Mythos» letztlich mehr den Verteidigern zugutekommen.
Mit Krise meint der Anthropic-Chef die sich abzeichnende, fundamentale Erschütterung der globalen Cybersicherheit durch unkontrollierte künstliche Intelligenz.
Tatsächlich könnte die Situation eskalieren.
- Das ultragefährliche Zeitfenster: Wie wir oben gesehen haben, schafft ein Modell wie Mythos ein massives technologisches Ungleichgewicht. Die KI findet Fehler in kürzester Zeit, aber das Schreiben, Testen und Einspielen von Software-Patches durch menschliche Entwickler dauert eher Wochen oder Monate. In dieser Phase ist die digitale Infrastruktur so verwundbar wie nie zuvor.
- Überlastete Fachleute: Die Menge an kritischen Sicherheitslücken, die durch «Mythos» (und weitere KI-Modelle) auf einen Schlag ans Tageslicht befördert werden, überfordert die menschlichen Verteidiger. Wenn ein einzelnes Team wie bei Firefox plötzlich das Zehnfache an Fehlern korrigieren muss, droht das gesamte Ökosystem der Software-Entwicklung zusammenzubrechen.
- Bösartige Akteure und Dual-Use-Problematik: Eine Hacker-KI kann im besten Fall perfekt verteidigen, aber eben auch perfekt angreifen. Die Krise beschreibt den Zustand, in dem die ganze Welt weiss, dass ein solches Werkzeug existiert, und Verteidiger weltweit hoffen müssen, dass Unrechtsstaaten wie China oder andere Akteure, die über die erforderlichen Mittel verfügen, nicht zeitnah ein ähnlich mächtiges KI-Modell entwickeln, bevor die grössten Löcher in der digitalen Infrastruktur gestopft sind.
Positiv ausgedrückt: Wenn die IT-Branche die Krise übersteht und die Flut neuer Sicherheitslücken tatsächlich bewältigt, winkt ein nie dagewesenes Sicherheitsniveau.
Quellen
- wsj.com: Apple’s Security Has Been Tough to Crack. Mythos Helped Find a Way In (14. Mai)
- blog.calif.io: First public macOS kernel memory corruption exploit on Apple M5 (14. Mai)
- xbow.com: Mythos for Offensive Security: XBOW's Evaluation (12. Mai)
- arstechnica.com: Mozilla says 271 vulnerabilities found by Mythos have “almost no false positives” (7. Mai)
- mozilla.org: Behind the Scenes Hardening Firefox with Claude Mythos Preview (7. Mai)
- arxiv.org: Meta-Harness: End-to-End Optimization of Model Harnesses (März 2026)
