Der Fokus auf agentische KI ist besonders bedeutsam. Systeme, die eigenständig planen und über Werkzeuge oder Arbeitsabläufe hinweg handeln können, müssen umfassender geprüft werden als ein Modell, das lediglich einzelne Antworten erzeugt. Dabei ist etwa zu untersuchen, welche Aktionen erlaubt sind, wie das System mit unklaren Anweisungen umgeht und ob technische Grenzen schädliche oder unbeabsichtigte Handlungen zuverlässig verhindern.
Die beiden Partner wollen außerdem Informationen, bewährte Verfahren und Governance-Rahmenwerke austauschen. So lässt sich technische Prüfung mit praktischen Entscheidungen verbinden: Welche Risiken müssen getestet werden? Welche Schwellenwerte gelten? Wer erhält Zugang zu einem Modell? Und was geschieht, wenn eine schwerwiegende Schwachstelle entdeckt wird?
Dieser Ansatz geht über reine Leistungsbenchmarks hinaus. Ein Modell kann bei einem Benchmark sehr gut abschneiden und trotzdem für den Einsatz in Behörden, öffentlichen Diensten oder kritischer Infrastruktur ungeeignet sein – etwa wenn Zugriffsrechte, Überwachung, Meldewege oder menschliche Kontrolle nicht ausreichen.
Als dritten Schwerpunkt wollen IMDA und Microsoft politische Ansätze für einen vertrauenswürdigen Zugang zu Frontier-Modellen untersuchen. Dahinter steht das Prinzip einer kontrollierten Verfügbarkeit: Hochleistungsfähige Systeme sollen für legitime Tests und nützliche Anwendungen zugänglich sein, aber nicht ohne Schutzvorkehrungen verbreitet werden, die ihren Fähigkeiten und Risiken entsprechen.
Das Abkommen deutet damit auf ein mehrstufiges Sicherheitsmodell hin: Systeme testen, Erkenntnisse teilen, Zugriffe bei Bedarf begrenzen und mithilfe von Governance-Regeln Verantwortlichkeiten festlegen.
Anthropics Claude Mythos Preview veranschaulicht das sogenannte Dual-Use-Problem von Frontier-KI. Anthropic zufolge haben das Unternehmen und etwa 50 Partner im Rahmen von Project Glasswing mithilfe des eingeschränkt verfügbaren Modells mehr als 10.000 Schwachstellen hoher oder kritischer Schwere in systemrelevanter Software entdeckt. Außerdem berichtete Anthropic, Mythos könne Schwachstellen – darunter Zero-Day-Lücken – in großen Betriebssystemen und Webbrowsern erkennen und ausnutzen.
Diese Fähigkeit kann der Verteidigung dienen, indem Sicherheitsforscher Fehler entdecken, bevor Kriminelle sie ausnutzen. Dieselbe Fähigkeit könnte jedoch den Weg von der Entdeckung einer Lücke bis zu ihrer Ausnutzung verkürzen, wenn sie unkontrolliert verbreitet oder unzureichend abgesichert würde. Deshalb hielt Anthropic Mythos über Project Glasswing unter Zugriffsbeschränkung, statt das Modell öffentlich bereitzustellen.
Die vorliegenden Belege zeigen allerdings nicht, dass Claude Mythos das MOU vom 12. Juni konkret verursacht oder ausgelöst hat. Mythos ist daher eher ein Beispiel für das sich schnell verändernde Risikoumfeld, in dem strukturierte Evaluierung, kontrollierter Zugang und belastbare Governance-Regeln immer wichtiger werden.
Das begrenzte Zugangsmodell von Project Glasswing ist selbst eine Form des Risikomanagements. Anthropic gewährte einer definierten Gruppe von Partnern Zugang für defensive Arbeiten, anstatt das Modell allgemein freizugeben. So wird die Reichweite der Technologie begrenzt, während Sicherheitsteams ihre Fähigkeiten untersuchen können.
Eingeschränkter Zugang allein ist jedoch kein vollständiges Sicherheitskonzept. Er setzt eine sorgfältige Auswahl der Partner, Überwachung, sichere Verarbeitung und verantwortungsvolle Offenlegung voraus. Er verdeutlicht aber das Prinzip hinter der Arbeit am vertrauenswürdigen Zugang im MOU: Zugriff sollte sich an Fähigkeiten und Risiken orientieren – und nicht jedes Frontier-Modell wie eine gewöhnliche öffentliche Softwareveröffentlichung behandeln.
Eine Schwachstelle zu finden, ist nur der erste Schritt. Singapurs Cyber Security Agency (CSA) hat Organisationen empfohlen, kritische und schwerwiegende Sicherheitslücken zu patchen, Multifaktor-Authentifizierung an allen Schnittstellen und Gateways zu aktivieren und unnötige Zugriffsrechte zu überprüfen. Diese Maßnahmen verringern die Möglichkeit, dass Angreifer Schwachstellen ausnutzen, während Unternehmen die Ursache untersuchen und Reparaturen umsetzen.
Die verfügbaren Informationen sprechen außerdem dagegen, die rund 10.000 Mythos-Funde pauschal als behoben darzustellen. Eine spätere Bewertung berichtete von 1.596 Meldungen an die zuständigen Maintainer, aber nur 97 dokumentierten Behebungen. Das bedeutet nicht, dass Project Glasswing keinen Beitrag zur Verteidigung geleistet hätte. Aussagen, wonach „viele“ der Funde repariert worden seien, sollten jedoch mit Vorsicht behandelt werden.
Die Lehre ist daher nicht nur technischer Natur: KI-Sicherheit braucht einen Prozess, der Risiken erkennt, sie verantwortungsvoll meldet, Reparaturen priorisiert und die Angriffsfläche reduziert, solange eine vollständige Behebung noch aussteht.
Microsoft bringt Erfahrung in der Entwicklung hochleistungsfähiger Modelle, bei Unternehmensinfrastruktur sowie bei der praktischen Bewertung und Kontrolle des Zugangs zu KI-Systemen ein. Der erklärte Umfang des MOU ist jedoch breiter als ein einzelnes Microsoft-Modell: Er betrifft Ansätze für Sicherheitstests und vertrauenswürdigen Zugang zu Frontier-Modellen im Allgemeinen.
Die vorliegenden Belege stützen mehrere weitergehende Behauptungen nicht als formelle Bestandteile dieses Abkommens. Dazu zählen Aussagen über Microsofts eigenes MAI-Modell, den Zugang zu OpenAI- und Anthropic-Modellen über Azure AI Foundry oder vergleichbare Vereinbarungen mit dem britischen AI Security Institute und dem US Centre for AI Standards and Innovation. Diese Details sollten daher nicht als Zusagen des Singapur-Microsoft-MOU dargestellt werden.
Zusammengenommen bilden die Bestandteile des Abkommens eine praktische Sicherheitskette:
Darin liegt die eigentliche Bedeutung des MOU. Es macht Frontier-KI nicht automatisch sicher und beseitigt auch nicht die Risiken, die Claude Mythos sichtbar macht. Es verbindet jedoch technische Evaluierung mit Zugangskontrolle, Governance und etablierter Cybersicherheitspraxis. Ziel ist ein Einsatz fortgeschrittener KI, der sicherer, zuverlässiger und nachvollziehbarer ist – ohne rohe Modellleistung mit tatsächlicher Einsatzreife zu verwechseln.