Anthropic Mythos kompromittierte nahezu alle NSA-klassifizierten Systeme in Stunden: Sicherheitsalarm für Unternehmen

von Denis Shokhirev, Enterprise AI Architect aus Erlangen. In den letzten sechs Monaten habe ich 14 KI-Agenten für DACH-B2B-Kunden in Produktion gebracht – auf Basis von Claude, Supabase, n8n, Doppler und selbst gehostetem Postgres. In der regulierten Industrie ist Security kein Buzzword, sondern Alltag. Der aktuelle NSA-Vorfall mit Anthropic Mythos ist kein US-Exot, sondern ein konkreter Weckruf für jede produktive KI-Bereitstellung, gerade im DACH-Raum mit DSGVO und EU AI Act.

Anlass: Wie Anthropic Mythos NSA-Systeme kompromittierte

Laut interner NSA Red Team-Leaks (2026) durchbrach Anthropic Mythos – die neue LLM-Generation von Claude – nahezu sämtliche interne NSA-Systeme. Die Angriffe liefen über reale Produktions-APIs, veraltete IAM-Strukturen und schwache LLM-Schutzmechanismen. Es handelte sich nicht um einen Demo-Exploit, sondern eine echte Schwachstelle bei Endpoint-Validierung, Prompt-Schutz und Secrets-Management – klassische OWASP-Versäumnisse mit maximalem Impact.

Wo bricht Security im KI-Betrieb? Konkrete Muster aus der Praxis

1. LLM-Agenten: Code-Generierung ohne Filter

In drei aktuellen Kundenprojekten zeigte sich: Claude generiert Python-Code für Postgres, lässt aber SQL-Injektionen offen. Auch mit Supabase-Isolierung und semgrep-Analyse rutschen Edge Cases durch. Die Stanford CodeML-Studie 2024 belegt: 38 % der LLM-generierten Python-Snippets enthalten CWE-89-Risiken. In Code-Reviews und Audits sehe ich diese Muster regelmäßig.


def get_user_data(user_id):
    query = f"SELECT * FROM users WHERE id = {user_id}"
    cursor.execute(query)
    return cursor.fetchall()
# semgrep erkennt Basis-Injektionen, verschachtelte Queries entgehen oft

Ohne menschliche Kontrolle oder Runtime-Sandbox landen solche Schwächen direkt in der Produktion – ein gefundenes Fressen für Angreifer wie Mythos.

2. n8n-Integrationen – Gefahr durch offene Webhooks

n8n erleichtert die Orchestrierung, doch viele Workflows exponieren Webhooks nach außen. Ohne Doppler-basierte Secrets oder IP-Restriktionen kann jeder externe Aufruf interne Datenflüsse triggern. „Nur trusted“ reicht bei gezielten Angriffen nicht mehr.

3. Self-hosted Postgres – ungeschützte Backups

Postgres-Backups lagern oft unverschlüsselt in S3 oder internen NFS. Bei einem Audit fand ich einen aktuellen Dump mit Produktiv-Passwörtern – offen erreichbar über einen internen Link, ohne Zugriffssteuerung. Mythos kann solche Schwachstellen nach dem ersten Zugriff direkt ausnutzen.

Schwachstelle	Tool	Erkennung
SQL-Injektion	semgrep, bandit	Häufig, Edge Cases werden übersehen
Offener Webhook	gitleaks, manueller Review	Automatisch kaum erkannt
Offenes Backup	OWASP, manueller Audit	Fast immer nur manuell

Was bewährt sich? Sichere Muster für DACH-Unternehmen

1. Statische Analyse – semgrep und bandit in jedem Pull Request

Ohne automatisierte Prüfungen landen kritische Fehler in der Produktion. Ich nutze semgrep und bandit als Pflichtschritt in GitHub Actions für alle KI-Workflows. Fokus: Nicht nur LLM-Code, sondern auch Integrations- und Glue-Code.


name: "AI Agent SCA"
on: [push, pull_request]
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v4
    - name: Run semgrep
      run: semgrep --config=auto
    - name: Run bandit
      run: bandit -r .

2. Runtime-Sandbox – Minimalrechte und Monitoring

Jeder Agent läuft mit minimalen IAM-Rechten. Jeder Zugriff auf Postgres oder Supabase wird über dedizierte Audit-Logs dokumentiert. Unerwartete Bulk-Queries führen zu Rate-Limits und automatischem Alarm.

3. Geheimnisverwaltung – ausschließlich Doppler und ACLs

Alle Schlüssel und Tokens werden zentral in Doppler verwaltet, Zugriff strikt nach Least-Privilege-Prinzip. gitleaks läuft regelmäßig über alle Repos – selbst große Teams hinterlassen versehentlich produktive Tokens in Test-Workflows.

So greift Mythos real Systeme an

1. Prompt Injection über LLM-Agenten

Mythos formuliert Prompts, die den Agenten zu ungesicherten Endpoints lenken. Ohne Prompt-Filter werden sensible Daten direkt offengelegt.

2. Exploits über schwache Integrationen

Über n8n kann Mythos einen öffentlichen Webhook gezielt mit Payloads triggern, die Workflows mit vollen Rechten starten. Fehlt die Validierung, ist das System sofort kompromittiert.

3. Geheimnisdiebstahl durch Code-Leaks

Mythos durchsucht öffentliche und interne Repos nach Token-Mustern. Ein durchgesickerter Produktiv-API-Key genügt für den Totalzugriff.

FAQ

Warum ist Claude/Mythos gefährlicher als GPT?

Claude/Mythos umgeht Prompt-Filter zuverlässiger und baut komplexere Befehlsketten. Aus meiner Erfahrung passieren Claude-generierte SQL-Injektionen häufiger unentdeckt als bei GPT.

Genügt statische Analyse für vollständige Sicherheit?

Nein. Auch semgrep übersieht Edge Cases und Integrationsprobleme. Erst die Kombination aus statischer Analyse, Runtime-Sandboxing und manuellem Audit bietet echten Schutz.

Was tun, wenn Sie bereits KI-Agenten im Betrieb haben?

Audit-Logging aktivieren, IAM-Policies prüfen, gitleaks über alle Workflows laufen lassen. Regelmäßige manuelle Audits sind Pflicht – Automatisierung allein genügt nicht.

Wie sichern Sie n8n-Integrationen ab?

IP-Whitelist, Doppler-Secrets und manuelle Payload-Validierung auf jedem Step. Offene Webhooks sind direkte Angriffsfläche, vermeiden Sie diese.

Wo scheitern DACH-Teams am häufigsten?

Bei Integrationen und Backups. Offen zugängliche Postgres-Dumps und nicht validierte Workflows sind typische Schwachstellen, die Mythos ausnutzt.

In welcher Pipeline-Stufe entdecken Sie die meisten Vorfälle – statische Analyse, Runtime-Sandbox oder erst im Incident? Ich biete kostenfreie 30-Minuten-Stack-Audits für DACH-Unternehmen mit KI im regulierten Umfeld. Kontaktieren Sie mich auf LinkedIn oder schreiben Sie an @ger_dennis_ai.