Anthropic findet 10.000 Schwachstellen — Project Glasswing zeigt KI-Pentesting in Aktion
Anthropic hat am 22. Mai 2026 die erste Update zu Project Glasswing veröffentlicht — einer Initiative, die KI-gestützte Penetrationstests zur Schwachstellenerkennung nutzt. Laut The Hacker News hat das Programm bereits über 10.000 kritische und hochgradig schwerwiegende Schwachstellen in weit verbreiteter, systemkritischer Software identifiziert. Die betroffenen Systeme zählen zu den "systemisch wichtigsten" Softwareprojekten — ein Indikator dafür, dass die Funde Anwendungen mit breiter Infrastruktur-Relevanz betreffen.
Project Glasswing nutzt Anthropics Claude-Modelle, um automatisiert Sicherheitstests durchzuführen. Im Gegensatz zu klassischen statischen Code-Analysen arbeitet das System mit LLM-basiertem Reasoning: Es identifiziert nicht nur bekannte Muster, sondern kann auch unerwartete Angriffsvektor-Kombinationen erkennen. Wie SecurityWeek berichtet, steht das Programm in Verbindung mit neuen Testing-Features und einer erweiterten Funktionalität von Mythos (Anthropics internes Testing-Framework). Die hohe Quote bei der Schwachstellenerkennung deutet darauf hin, dass KI-gestützte Red-Teaming-Ansätze bei der Früherkennung wirksamer sind als bisherige Methoden.
Für den deutschsprachigen Raum hat dies erhebliche Relevanz — insbesondere im Kontext der EU-AI-Act-Compliance und DSGVO-konformer Sicherheitstests. Viele mittelständische Unternehmen in DACH benutzen die betroffene Software oder haben Abhängigkeiten davon. Die Tatsache, dass Anthropic die Funde transparent offenlegt und mit Herstellern koordiniert, setzt einen Standard für verantwortungsvolle Vulnerability Disclosure. Gleichzeitig zeigt Project Glasswing, dass KI-basierte Security-Tests über reine Marketing-Versprechungen hinausgehen — messbare Resultate bei echter, produktiver Software sind dokumentiert.
Die Implikation für deine Sicherheitsstrategie: KI-Pentesting ist nicht mehr theoretisch. Wenn etablierte Infrastruktur-Software durch automatisierte KI-Tests neue Schwachstellen offenbart, sollten auch interne Anwendungen und APIs mit ähnlichen Methoden getestet werden. Das bedeutet konkret: eine strukturierte Red-Team-Checkliste für LLM-Apps umsetzen und gleichzeitig die eigenen Safety-Pipelines überprüfen, um sicherzustellen, dass deine Systeme nicht nur gegen externe Angreifer, sondern auch gegen KI-gestützte Tests resistent sind.