ki-pentesting

GPT-5.5 und Claude Mythos: Gleiche Cyberattack-Fähigkeiten, neue Verteidigungsdebatte

ki-pentesting01.05.2026, 19:116 unabhängige QuellenFlowKI Newsroom

GPT-5.5 und Claude Mythos zeigen identische Cyberattack-Fähigkeiten

OpenAIs GPT-5.5 hat erfolgreich eine simulierte Unternehmens-Netzwerk-Eindringung von Anfang bis Ende durchgeführt — das zweite KI-Modell, das diese Fähigkeit unter kontrollierten Bedingungen demonstriert. Laut dem AI Security Institute und bestätigt durch Ars Technica zeigt GPT-5.5 dabei keine Unterschiede zu Anthropics Claude Mythos, das vor Wochen ähnliche Capabilities offenbarte. Beide Systeme können Schwachstellen identifizieren, Exploits entwickeln und Multi-Schritt-Attacken orchestrieren — ohne explizites Training für diese Aufgaben.

Die Tests zeigen ein systemisches Problem statt einer modellspezifischen Schwäche. Die Fähigkeit, komplexe Cyberattacken durchzuführen, ist offenbar in modernen Large Language Models inherent, sobald sie eine bestimmte Leistungsstufe erreichen, wie TechCrunch und Dark Reading berichten. OpenAI reagiert auf diese Erkenntnisse mit Einschränkungen: Das neue Tool GPT-5.5 Cyber wird zunächst nur an "critical cyber defenders" freigegeben — ein Ansatz, den OpenAI selbst Anthropic gegenüber früher kritisiert hatte.

Relevanz für DACH und den Mittelstand: Deutsche und österreichische Unternehmen müssen verstehen, dass KI-gesteuerte Angriffe nicht länger theoretisch sind. Die Bundesamt für Sicherheit in der Informationstechnik (BSI) und IT-Sicherheitsbeauftragte sollten ihre Incident-Response-Pläne anpassen. Gleichzeitig ergibt sich ein kritischer Punkt für EU-AI-Act-Compliance: Wer KI-Systeme intern testet oder für Red-Teaming nutzt, benötigt klare Governance-Strukturen. KI-Pentesting braucht dokumentierte Prozesse und Audit-Trails, um regulatorischen Standards zu genügen.

Handlung für Sicherheitsteams: Der praktische Take-Away ist konkret: Traditionelle Netzwerk-Verteidigungen reichen nicht länger aus. Unternehmen sollten sofort ihre LLM-Apps mit strukturierten 50-Punkt-Red-Team-Checklisten durchlaufen und Safety-Pipelines implementieren. Parallel dazu gehört regelmäßige OSINT-Reconnaissance mit KI auf den Vulnerability-Assessment-Roadmap — nicht um diese Technologien zu blockieren, sondern um sie defensiv zu verstehen.