IBM plant, Claude-Mythos-Scans zu Concert Protect hinzuzufügen

IBM gab am 9. November 2026 bekannt, Claude Mythos von Anthropic um Cyber-Reasoning-Funktionen in Concert Protect zu ergänzen. Damit sollen bislang unbekannte Schwachstellen entdeckt, ihre Ausnutzbarkeit überprüft und ihre Behebung beschleunigt werden. Die allgemeine Verfügbarkeit ist für Anfang 2027 geplant.

Die geplante Funktion würde KI-gestützte Code-Scans mit Mythos mit den Tools für Exposure-Management von Concert Protect kombinieren. Sie würde vom Kunden ausgewählte Anwendungs-Repositories auf komplexe Logikfehler, potenzielle Zero-Day-Schwachstellen und andere Schwachstellen untersuchen, für die es weder bestehende Signaturen noch Einträge in Common Vulnerabilities and Exposures (CVE) gibt. Die Ergebnisse würden anschließend in denselben Schwachstellenmanagement-Prozess einfließen wie die Resultate herkömmlicher Scanner.

Dieses Konzept spiegelt IBMs Einschätzung wider, dass eine schnellere KI-gestützte Erkennung die Bedeutung von Triage und Behebung erhöht. Ein größeres Aufkommen an Befunden hat nur begrenzten operativen Nutzen, wenn Sicherheitsteams nicht feststellen können, welche Schwachstellen tatsächlich ausnutzbare Angriffswege eröffnen, und diese Bewertung nicht in konkrete Behebungsmaßnahmen umsetzen können.

Kontextbezogene Validierung unbekannter Schwachstellen

Concert Protect liefert bereits die Bewertung der jeweiligen Umgebung, in die diese Befunde einfließen würden. Die aktuelle Produktdokumentation beschreibt eine Plattform, die Code-, Anwendungs-, Infrastruktur-, Laufzeit- und Geschäftskontext miteinander verknüpft, um zu bewerten, ob eine Schwachstelle in einer bestimmten Umgebung ausnutzbar ist. Die Analyse soll Voraussetzungen für Angriffe, betroffene Workloads und mögliche Angriffswege ermitteln und damit über Schweregradbewertungen und allgemeine Einschätzungen der Ausnutzbarkeit hinaus Belege liefern.

Bei einem von Mythos erstellten Befund würde die geplante Phase zum Nachweis der Ausnutzbarkeit den Code sowie den Konfigurations- und Infrastrukturkontext untersuchen, um realistische Ausnutzungswege zu bewerten und entsprechende Belege bereitzustellen. Jeder dieser Befunde bliebe Teil des etablierten Bewertungs- und Behebungsprozesses von Concert Protect und würde dort neben den Ergebnissen herkömmlicher Scanner bearbeitet, statt eine separate Warteschlange mit KI-Warnmeldungen zu bilden.

IBM zufolge erkennt Secure Coder beim Schreiben von Code Schwachstellen, Geheimnisse und Risiken durch Abhängigkeiten und bietet Echtzeit-Einblicke direkt in der integrierten Entwicklungsumgebung sowie angeleitete Behebungsmaßnahmen. Der Mythos-Plan richtet sich auf einen ergänzenden Bereich: die Analyse ausgewählter Repositories auf bislang unbekannte Schwachstellen, die herkömmliche Scanner möglicherweise übersehen.

Freigabe durch Entwickler bei der Behebung

Nach der Validierung sollen Concert Protect und Red Hat Lightwell ausnutzbare Risiken priorisieren, auf vertrauenswürdige rückportierte Open-Source-Korrekturen zurückgreifen und gezielte Änderungen zur Behebung erstellen. Entwickler würden diese Änderungen im Rahmen automatisierter Pull-Request-Workflows validieren, prüfen und freigeben.

Bei diesem Prozess übernimmt die Automatisierung die Vorbereitung von Korrekturen und die Koordination der Abläufe, während ausdrücklich ein Mensch darüber entscheidet, ob eine Korrektur umgesetzt wird. Zudem verknüpft der Prozess die Priorisierung von Sicherheitsrisiken mit der Anwendungsentwicklung und dem Betrieb – den Teams, die Concert Protect bereits zur Behebung von Schwachstellen zusammenbringt.

Geplante Verfügbarkeit ab Anfang 2027

Die Ankündigung unterscheidet den für Kunden vorgesehenen Plan von der früheren Arbeit von IBM und Anthropic im Rahmen von Project Glasswing, die sich auf interne Sicherheitsforschung und Evaluierung konzentrierte. Die Integration in Concert soll Unternehmenskunden Mythos-Funktionen über kontrollierte Sicherheitsabläufe bereitstellen; die Prüfung durch Entwickler dient dabei als konkreter Kontrollpunkt.

Der geplante Start Anfang 2027 bedeutet, dass diese kombinierten Funktionen noch nicht allgemein verfügbar sind. Die vorgesehene Aufgabenteilung ist jedoch klar: Mythos würde die Erkennung über bekannte Signaturen hinaus erweitern, Concert Protect würde die Befunde anhand der Kundenumgebung überprüfen, und Entwickler würden weiterhin die Behebung freigeben. Bei der Einführung wird entscheidend sein, ob sich mit dieser Kombination eine größere Bandbreite KI-entdeckter Schwachstellen in fundierte Prioritäten und akzeptierte Korrekturen überführen lässt, ohne einen weiteren isolierten Sicherheitsprozess zu schaffen.