Die Europäische Unions Cybersicherheitsagentur ENISA hat Zugang zu Anthropics Mythos 5 erhalten, einem leistungsstarken KI-Modell, das entwickelt wurde, um Cyber-Schwachstellen zu identifizieren und auszunutzen, nach mehr als drei Monaten Verhandlungen. Die Bestätigung, die am 10. September 2026 von der Europäischen Kommission übermittelt wurde, markiert das erste Mal, dass eine EU-Institution in der Lage war, ein Hochrisiko-Cyber-KI-Modell zu testen, seit die Vereinigten Staaten Exportkontrollen für solche Technologie verhängt haben.
Thomas Regnier, Sprecher der Europäischen Kommission für Technologie-Souveränität, sagte: "Following our constructive engagement with Anthropic, we can confirm that the EU's cybersecurity agency ENISA has been granted access to Mythos 5 and is testing it now." Die diplomatische Formulierung, "constructive engagement", deckt darüber hinweg, dass es sich offensichtlich um einen langwierigen Prozess handelte.
Eine dreimonatige Lücke, die zählte
Anthropic startete im April 2026 eine Vorschau von Mythos 5 und machte sie über sein Project-Glasswing-Programm rund 50 Organisationen zugänglich. Bis Juni hatte sich das Programm auf etwa 200 Partner ausgeweitet. ENISA, die benannte Cybersicherheitsbehörde der EU mit Sitz in Athen, war monatelang nicht darunter.
Drei Monate sind in der Cybersicherheit eine lange Zeit. In diesem Fenster bewerteten rund 200 Organisationen, überwiegend amerikanische, ein Modell, das in der Lage ist, Netzwerke zu sondieren und zu demonstrieren, wie Software-Schwachstellen ausgenutzt werden könnten. Europäische öffentliche Institutionen, die für den Schutz derselben Infrastruktur verantwortlich sind, warteten vor der Tür.
Weder Anthropic noch die Kommission haben offengelegt, welche spezifischen Bedingungen an ENISAs Zugang geknüpft waren, oder ob die Verzögerung auf US-Exportkontrollanforderungen, Anthropics eigene Prüfverfahren oder eine Kombination aus beidem zurückzuführen war.
Was Mythos 5 tut und warum es umstritten ist
Mythos 5 gehört zu einer Kategorie von KI-Modellen, die Sicherheitsforscher seit Jahren erwartet haben: eines, das autonom Schwachstellen in Softwaresystemen finden und ausnutzen kann. Dies ist kein universeller Assistent. Es ist ein Werkzeug, das für offensive und defensive Cyber-Operationen gebaut wurde, fähig, Systeme zu scannen, Schwächen zu identifizieren und zu demonstrieren, wie sie kompromittiert werden könnten.
Die Dual-Use-Natur solcher Modelle ist das Kernproblem. Die gleiche Fähigkeit, die einer Cybersicherheitsbehörde hilft, ihre Verteidigungen zu härten, könnte in anderen Händen für offensive Eindringlinge genutzt werden. Genau deshalb hat die USA versucht, ihren Export zu kontrollieren, und warum die EU-KI-Verordnung sie als Hochrisikosysteme einstuft, die Transparenz-, Sicherheits- und Überwachungsanforderungen unterliegen.
US-Exportkontrollen und europäische Frustration
Das US-Handelsministerium hat die Beschränkungen für den Export von KI-Modellen mit signifikanten Cyber-Fähigkeiten schrittweise verschärft. Diese Kontrollen, die auf früheren Halbleiter-Exportbeschränkungen aufbauen, sollen verhindern, dass Gegner mächtige KI-Tools erhalten. Sie betreffen auch Verbündete.
Europäische Beamte haben wiederholt Bedenken geäußert, dass US-Exportkontrollen europäische Institutionen und Unternehmen benachteiligen könnten, indem sie ihren Zugang zu Technologie verzögern, die in den Vereinigten Staaten kommerziell verfügbar ist. Der Fall Mythos 5 veranschaulicht den Punkt: Hunderte Organisationen hatten Zugang zu dem Modell, bevor die eigene Cybersicherheitsagentur der EU mit der Bewertung beginnen konnte.
Diese Asymmetrie sitzt unbequem neben dem erklärten Ehrgeiz der EU für technologische Souveränität, dem Prinzip, dass Europa in der Lage sein sollte, Technologien, die seine Bürger betreffen, zu bewerten, zu regulieren und zu entwickeln, ohne von Entscheidungen in Washington oder dem Silicon Valley abzuhängen.
Die KI-Verordnung als Hebel
Die KI-Verordnung der EU, die im August 2024 in Kraft trat, gibt Brüssel regulatorische Werkzeuge, die es nicht gab, als frühere Generationen von KI entwickelt wurden. Hochrisiko-KI-Systeme, einschließlich solcher, die in kritischer Infrastruktur und Cybersicherheit eingesetzt werden, müssen spezifische Anforderungen erfüllen, bevor sie auf dem EU-Markt bereitgestellt werden können.
Anthropics Bereitschaft, ENISA Zugang zu gewähren, mag die Kalkulation widerspiegeln, dass Zusammenarbeit mit EU-Regulierern einer Konfrontation vorzuziehen ist. Unternehmen, die sich nicht mit den Anforderungen der KI-Verordnung auseinandersetzen, riskieren, vom größten Binnenmarkt der Welt ausgeschlossen zu werden. Das Gesetz gibt der EU Hebelwirkung, die Exportkontrollen, die darauf ausgelegt sind, Technologieflüsse nach außen zu beschränken, den Vereinigten Staaten nicht in derselben Weise geben.
Project Glasswings selektive Expansion
Anthropics Project Glasswing ist der Mechanismus für kontrollierten Zugang zu Mythos 5. Das Programm startete mit etwa 50 Organisationen im April 2026 und wuchs im Juni um rund 150 weitere an, was die Gesamtzahl auf etwa 200 Partner brachte. Anthropic hat die Kriterien für die Partnerauswahl oder die vollständige Teilnehmerliste nicht veröffentlicht.
Die fehlende Transparenz darüber, wer ein Modell mit signifikanten offensiven Cyber-Fähigkeiten bewerten darf, ist selbst ein regulatorisches Anliegen. Wenn die primären Bewerter eines Hochrisikosystems von seinem Schöpfer handverlesen werden, ist die Unabhängigkeit jeder Sicherheitsbewertung fraglich. ENISAs Einbeziehung, wenn auch verspätet, führt zumindest eine unabhängige öffentliche Behörde in den Prozess ein.
Was ENISAs Test umfassen wird
ENISAs Bewertung wird voraussichtlich abdecken, ob Mythos 5s Fähigkeiten Anthropics Dokumentation entsprechen, ob die Sicherheitsvorkehrungen des Modells robust genug sind, um Missbrauch zu verhindern, und ob es in EU-Cybersicherheitsoperationen so integriert werden kann, dass es den Anforderungen der KI-Verordnung an menschliche Aufsicht und Rechenschaftspflicht genügt.
Die Ergebnisse könnten beeinflussen, wie die Kommission Modelle wie Mythos 5 unter der KI-Verordnung einstuft und welche Bedingungen sie für ihre Bereitstellung in der EU auferlegt. ENISAs Ergebnisse sollen über die bestehenden EU-Cybersicherheitskoordinationsstrukturen mit den Mitgliedstaaten geteilt werden.
Erwähnte Personen
Organisationen
European Union Agency for Cybersecurity (ENISA) · Anthropic · European Commission
