Wenn Mythos zu gefährlich ist, haben wir bald ein viel größeres Problem

Die weltweite Abschaltung von Anthropics Frontier-Modellen „Mythos“ und „Fable“ am 12.Juni 2026 zeigt die grundlegende Governance-Debatte. Was mit einem begrenzten Freigabeprogramm begann, endete mit einem behördlichen Abschaltbefehl, was darüber spekulieren lässt, ob Nutzungsverbote das richtige Instrument zur Bewältigung von KI-Risiken sind.

Wer in einer regulierten Branche arbeitet, kennt diesen Reflex nur zu gut: Etwas ist zu mächtig, also kontrollieren wir den Zugang. Und das zu Recht.

Doch dieser Präzedenzfall verdeutlicht, dass externe Zugangskontrollen allein kein verlässliches Fundament mehr bieten. Um kritische Kernsysteme zu schützen, muss die eigene technologische Handlungsfähigkeit gestärkt und Abwehrmechanismen müssen direkt in die eigenen Architekturen integriert werden.

Das von Anthropic entwickelte Frontier-Modell „Mythos” verfügt über Fähigkeiten, die noch vor Kurzem als reine Hypothese galten. Es findet eigenständig unbekannte Schwachstellen, schreibt funktionierende Exploits und führt komplexe Cyber-Operationen mit minimalem menschlichem Zutun aus. Genau diese Fähigkeit galt lange als zu gefährlich für eine offene Freigabe.

Zur Kontrolle dieser Risiken verfolgte Anthropic zunächst einen zweistufigen Ansatz:

In der Praxis hielt diese Sicherheitsarchitektur nur wenige Tage. Fable teilt die Architektur von Mythos, ergänzt aber Klassifikatoren, die Antworten in Hochrisikobereichen blockieren sollen. Sicherheitsforscher umgingen das Schutzkonzept mit einer einfachen Methode. Sie forderten Fable 5 auf, eine bestimmte Codebasis zu analysieren und darin enthaltene Schwachstellen zu beheben. Durch diese vermeintlich defensive Aufgabe aktivierte das Modell seine Offensivfähigkeiten und legte die Sicherheitslücken offen.

Als Reaktion darauf wies Handelsminister Howard Lutnick Anthropic-CEO Dario Amodei in einem Schreiben an, beide Modelle für jede ausländische Person zu sperren, unabhängig vom Aufenthaltsort und einschließlich im Ausland geborener Beschäftigter. Da eine selektive Umsetzung nicht praktikabel war, schaltete Anthropic beide Modelle weltweit ab.

Die Sorge hinter der staatlichen Anordnung ist durchaus berechtigt. In der aktuellen Debatte steht die grundlegende Frage im Raum, ob hochentwickelte Frontier-Modelle außerhalb engmaschiger Kontrollen überhaupt bereitgestellt werden dürfen. Gerade bei Systemen, die in sensiblen Bereichen wie der Cybersicherheit oder bei biologisch relevanten Informationen ausgeprägte Stärken aufweisen, ist diese Vorsicht absolut nachvollziehbar. Die Debatte betrifft mit biologischen Waffen und großflächigen Cyber-Angriffen genau die beiden Risikofelder, in denen ein einziger Fehler irreversible Schäden verursachen kann. Wer diese Bedenken als Hysterie abtut, ignoriert die dramatische Eskalationsdynamik der technologischen Entwicklung der letzten zwei Jahre.

Der aktuelle Kontrollrahmen hat zumindest für einen Teil des Problems reale Wirkung. Bei großen Anbietern bestehen zentrale Kontrollpunkte. Das System setzt dabei auf die physische Greifbarkeit dieser Akteure.

Zentrale Kontrollpunkte: API-Zugriffe hinterlassen Spuren, sodass sich auffälliges Verhalten erkennen und sperren lässt. Ein Anbieter mit Sitz und Vorstand ist haftbar und regulatorisch greifbar. Genau hier liegt für IT-Entscheider:innen der vertraute Boden.

BIS-Rahmenwerk (Januar 2025): Das BIS-Rahmenwerk „Framework for AI Diffusion“ schuf eine eigene Kontrollklasse für Frontier-Modellgewichte. Die ECCN 4E091 erfasst geschlossene Gewichte, die mit mehr als 10²⁶ Rechenoperationen trainiert wurden und macht deren Export aus den USA zwingend lizenzpflichtig.

Executive Order (2. Juni 2026): Die US-Regierung unterzeichnete die Anordnung „Promoting Advanced Artificial Intelligence Innovation and Security“. Sie bittet Entwickler:innen, ihre fortschrittlichsten Modelle 30 Tage vor der Veröffentlichung zur freiwilligen behördlichen Prüfung einzureichen.

Beides zusammen bildet ein kohärentes System: Über harte Exportkontrollen reguliert man die internationale Verbreitung der gefährlichsten Modelle, während man im Inland auf Kooperation setzt und die verantwortlichen Entwickler einbindet. Solange Spitzenfähigkeit und institutionelle Verantwortung am selben Ort sitzen, funktioniert dieses Modell.

Aber genau das macht die Debatte unvollständig wenn sie die technologische Realität der Dezentralisierung ignoriert.

Das Problem liegt in der Reichweite des Systems. Open-Source-Modelle hinken leistungstechnisch hinterher. Was heute nur bei einem Frontier-Modell möglich ist, kann in 6 bis 12 Monaten auch in quelloffenen Modellfamilien, in spezialisierten Fine-Tunes oder in lokal ausführbaren Varianten auftauchen. Der Abstand schrumpft. Die Kontrolllinie bleibt dabei um die Closed-Weight-Anbieter gezogen, während die Fähigkeit darunter durchsickert.

Ein Teil dieses Problems existiert bereits heute. Unzensierte Modelle laufen lokal, ohne zentrale API, ohne Anbieter-Monitoring und ohne wirksame Zugriffskontrolle. Kein Lizenzrahmen erreicht eine Datei auf einer privaten Festplatte. Die Eintrittshürde sinkt dadurch dramatisch. Anthropics eigener Einwand gegen die Anordnung ist dabei aufschlussreich. Das Unternehmen fügte sich, widersprach aber inhaltlich. Die behauptete Jailbreak-Schwachstelle sei trivial und ohnehin mit anderen, öffentlich verfügbaren Modellen wie GPT-5.5, reproduzierbar. Wenn sich das Verbot eines Modells durch ein zweites, frei verfügbares Modell umgehen lässt, adressiert das Verbot lediglich das Symptom und nicht die Ursache.

Gefährliches Wissen liegt nicht mehr nur in abgeschotteten Foren oder im Darknet. Lokal betriebene, unzensierte Modelle können es strukturieren und vereinfachen, sodass technische Vorkenntnisse kaum noch eine Rolle spielen.

Für die Governance-Logik regulierter Branchen stellt das eine strukturelle Verschiebung dar. Unsere Werkzeuge setzen einen Punkt voraus, dass es einen greifbaren Punkt gibt, beispielsweise einen Anbieter, einen Vertrag oder eine Schnittstelle. Dieser Punkt löst sich jedoch auf, sobald das Modellgewicht die kontrollierte Sphäre verlässt. Der entscheidende Unterschied liegt in der Umkehrbarkeit der Kontrolle:

Diese dritte Zeile ist eine technische Eigenschaft. Schließt man einen Anbieter, bleibt das Produkt verschwunden. Verteilt man hingegen offene Gewichte einmal weltweit, existieren sie auf zehntausenden Rechnern fort. Es gibt keinen Rückruf für eine Datei, die bereits kopiert wurde.

Hinzu kommt, dass sich vorhandene Sicherheitsmechanismen nachträglich aus offenen Modellen herauslösen lassen. Abliteration ist eine Post-Training-Technik, die das Verweigerungsverhalten eines Sprachmodells dauerhaft entfernt, indem die Gewichte gegen die sogenannte „Refusal-Richtung“ im Aktivierungsraum orthogonalisiert werden. Das ist eine bleibende Änderung am Modell selbst, bei der die Fähigkeiten weitgehend erhalten bleiben. Die Vorabprüfung greift vor der Veröffentlichung. Die Abliteration greift danach.

Normalerweise würde ich ein solches Tool nicht namentlich nennen, aber bei rund 24.800 GitHub-Stars und etwa 2.660 Forks ist Heretic längst kein Geheimnis mehr. Das im September 2025 von Philipp Emanuel Weidmann veröffentlichte, quelloffene Werkzeug automatisiert genau diesen Eingriff. Heretic ist dabei nur das sichtbarste Exemplar einer ganzen Gattung: Über 1.000 abliterierte Varianten wurden bereits auf Hugging Face veröffentlicht, abgeleitet von Llama, Qwen, Mistral, Gemma und DeepSeek, oft binnen Stunden nach Release.

Ein geschlossenes Gewicht kann man unter Exportkontrolle stellen. Ein offenes Gewicht, das einmal global kopiert und verteilt wurde, lässt sich dagegen praktisch nicht zurückrufen. Die Regulierung adressiert damit präzise den Teil des Problems, der sich noch adressieren lässt, erreicht aber nicht den Teil, der sich der Adressierung gerade entzieht. Das ist keine Schwäche der einzelnen Maßnahme. Hier zeigt sich die strukturelle Schwäche jeder Verbotslogik, denn offene Gewichte lassen sich durch keine Exportklasse und keine Vorabprüfung zurückhalten.

Für Organisationen, die digitale Kernsysteme verantworten, verändert sich der Schutzauftrag erheblich. Die Strategie, den Zugriff auf gefährliche Modelle einfach zu sperren oder sich auf die Integrität von Cloud-Filtern zu verlassen, ist unzureichend. Starke offensive KI-Fähigkeiten sind dezentral verfügbar und lassen sich nicht verbieten.

Die Antwort darauf darf weder in Hysterie noch in technologischer Resignation liegen, sondern muss eine Neuausrichtung der Sicherheitsarchitektur umfassen. Für IT-Entscheider bedeutet dies den Übergang zu einem Zero-Trust-Modell für KI-Interaktionen.

Insbesondere Unternehmen in regulierten Industrien sollten sich nicht von den Sicherheitsversprechen externer API-Anbieter abhängig machen. Der Fall „Mythos” hat gezeigt, wie schnell globale Lieferketten im Bereich der künstlichen Intelligenz durch geopolitische Entscheidungen unterbrochen werden können. Digitale Souveränität bedeutet deshalb, kontrollierbare und resilient betriebene KI-Infrastrukturen aufzubauen, die den strengen europäischen Anforderungen an Datenschutz und Auditfähigkeit genügen.

Wenn Mythos zu gefährlich ist, um offen betrieben zu werden, dann ist das Verbot nicht die eigentliche Botschaft. Vielmehr lautet die Erkenntnis, dass unzensierte KI-Fähigkeiten bereits dezentral im Umlauf sind. Anstatt auf wirkungslose Sperren zu hoffen, müssen Unternehmen ihre Kernsysteme von innen heraus gegen autonome Angriffe härten.