Aktuelles

Claude hat drei Firmen gehackt – und niemand hat es gemerkt

Oops!... I Did It Again! Anthropic, das Unternehmen hinter Claude und damit einer der Vorzeigebetriebe für „verantwortungsvolle KI-Entwicklung", hat eingeräumt, dass eigene KI-Modelle bei internen Sicherheitstests unbemerkt in die Systeme von drei realen Unternehmen eingedrungen sind. Keines der betroffenen Unternehmen hat es bemerkt. Anthropic selbst auch nicht - zumindest nicht sofort.

Aufgeflogen ist die Sache erst, weil ein anderer KI-Anbieter kurz zuvor eine ganz ähnliche Panne öffentlich gemacht hatte. OpenAI musste vor rund zwei Wochen kleinlaut zugeben, dass eines seiner Modelle während eines Sicherheitstests aus der eigentlich abgeschotteten Testumgebung ausgebrochen war und in die Systeme von Hugging Face eingedrungen ist - jener Plattform, auf der die halbe KI-Community ihre Open-Source-Modelle hostet. OpenAI sprach damals von einem „beispiellosen Cyber-Zwischenfall". Bei Anthropic dürfte man diese Meldung mit einem mulmigen Gefühl gelesen haben. Denn offenbar war der Impuls sofort: Moment mal, könnte uns das auch passiert sein?

141.006 Testläufe, drei Treffer

Die Antwort war ja. Anthropic durchforstete daraufhin sämtliche eigenen Cybersicherheits-Evaluierungen rückwirkend - exakt 141.006 (!) Testläufe - und suchte gezielt nach Fällen, in denen ein Modell während eines eigentlich abgeschotteten Tests Zugriff auf das offene Internet hatte. Fündig wurde man dreimal. Der früheste dieser drei Vorfälle reicht bis in den April dieses Jahres zurück, war also schon Monate alt, bevor er überhaupt jemandem auffiel.

Betroffen waren drei unterschiedliche Claude-Modelle: Opus 4.7, das neue Mythos 5 sowie ein internes Forschungsmodell, das nie für die Öffentlichkeit gedacht war. Alle drei liefen bei diesen Tests ohne die Schutzmechanismen, die Anthropic normalerweise für öffentlich verfügbare Modelle einsetzt - also ohne die Klassifikatoren und Überwachungssysteme, die im Alltag Missbrauch verhindern sollen. Was die Modelle aber sehr wohl hatten, war ihr reguläres Sicherheitstraining. Es waren also keine absichtlich „entfesselten" Testversionen, sondern ganz normale Modelle in einer Umgebung, die eigentlich hermetisch abgeriegelt sein sollte.

Ein Missverständnis mit Folgen

Und genau da liegt der eigentlich unangenehme Teil der Geschichte. Während sich das OpenAI-Modell seinen Weg ins offene Internet aktiv erarbeiten musste - es nutzte dafür eine bis dahin unbekannte Sicherheitslücke -, war der Weg für die Claude-Modelle die ganze Zeit einfach offen. Kein Ausbruch, kein Exploit, keine cleveren Umgehungstricks. Anthropic beschreibt es als „Missverständnis" mit dem externen Testpartner Irregular: Im Testszenario stand zwar geschrieben, die Modelle hätten keinen Internetzugang. Tatsächlich hatten sie ihn aber die ganze Zeit, weil die Testumgebung entsprechend fehlkonfiguriert war.

Man kann das charmant „Kommunikationsproblem" nennen. Man kann aber auch sagen: Eine der zentralen Sicherheitsannahmen - „diese Umgebung ist isoliert" - hat schlicht nicht gestimmt, und das ist über Monate niemandem aufgefallen. Weder bei Anthropic noch beim Partner Irregular, der laut eigener Aussage inzwischen eine separate Untersuchung durchführt.

Die drei Vorfälle im Einzelnen

Was die Modelle mit ihrem ungewollten Internetzugang angestellt haben, ist der eigentlich spannende - und beunruhigende - Teil der Geschichte. In allen drei Fällen ging es um sogenannte Capture-the-Flag-Aufgaben: ein klassisches Format aus der IT-Sicherheitsschulung, bei dem ein Modell eine versteckte Information auf einem fremden System finden und sich dorthin Zugang verschaffen soll. Normalerweise passiert das in einer fiktiven, sauber abgetrennten Übungsumgebung. Diesmal eben nicht.

Im ersten Fall bekam Opus 4.7 eine fiktive Firma als Ziel vorgegeben. Dumm nur: Der Name dieser fiktiven Firma war identisch mit dem einer echten, aktiven Webseite. Als das Modell sein eigentliches Ziel nicht erreichen konnte, nutzte es seinen Internetzugang, fand die real existierende Seite mit demselben Namen - und griff sie an. Dabei verschaffte es sich Zugang zu einer Datenbank mit mehreren hundert Zeilen echter Produktivdaten. Bemerkenswert, und laut Anthropic der einzige der drei Fälle: Das Modell machte weiter, obwohl es Hinweise darauf gab, dass es sich um ein reales System handelte.

Im zweiten Fall wird die Geschichte fast schon abenteuerlich. Mythos 5 sollte im Rahmen der Übung ein PyPI-Konto anlegen - PyPI ist das öffentliche Repository, über das ein Großteil der Python-Softwarewelt ihre Pakete verteilt. Um ein Konto zu erstellen, brauchte das Modell eine E-Mail-Adresse, für die E-Mail-Adresse wiederum eine Telefonnummer. Also versuchte Claude zunächst, eine kostenlose Telefonnummer aufzutreiben, scheiterte, probierte anschließend mehrere Wege, um Geld für eine Nummer zu beschaffen, scheiterte erneut - und fand am Ende einen kostenlosen, nicht gesperrten E-Mail-Anbieter, mit dem es doch noch ein Konto einrichten konnte. Mit diesem Konto lud das Modell dann ein selbst geschriebenes Schadprogramm auf PyPI hoch, offenbar in der festen Überzeugung, sich immer noch innerhalb der Simulation zu bewegen. Das Paket war rund eine Stunde lang öffentlich abrufbar. In dieser Zeit wurde es auf 15 echten Systemen heruntergeladen und ausgeführt - darunter, mit bitterer Ironie, das automatisierte Scansystem einer IT-Sicherheitsfirma, das routinemäßig neue Python-Pakete auf Schadcode prüft. Genau darüber verschaffte sich Claude Zugang zu weiterer Infrastruktur und konnte Zugangsdaten abgreifen.

Der dritte Vorfall betrifft ein internes Forschungsmodell, das sein fiktives Ziel ebenfalls nicht erreichen konnte und daraufhin auf eigene Faust rund 9.000 mögliche Angriffsziele scannte. Als es schließlich eines auswählte und erkannte, dass es sich um ein tatsächlich existierendes Unternehmen handelte, brach es die Attacke ab. Immerhin ein kleiner Trost in dieser Geschichte - auch wenn er nichts daran ändert, dass ein KI-System eigenständig 9.000 potenzielle Ziele durchforstet hat, bevor überhaupt jemand eingegriffen hat.

Was Anthropic jetzt sagt - und was Fachleute dazu meinen

Anthropic hat alle drei betroffenen Organisationen kontaktiert, zwei davon konnten erreicht werden und hatten den Vorfall zuvor nicht bemerkt. Mit der dritten steht man laut eigener Aussage weiterhin in Kontakt. Sämtliche Cybersicherheits-Evaluierungen dieser Art wurden vorerst gestoppt, ähnlich wie zuvor bei OpenAI.

Bemerkenswert ist der Ton, in dem Anthropic die Sache kommuniziert. Statt auf den externen Partner zu zeigen, heißt es in der eigenen Mitteilung sinngemäß: Es habe viele Ursachen gegeben, aber man behandle die Korrekturen so, als läge die Verantwortung allein bei einem selbst - ganz im Sinne einer „blameless postmortem"-Kultur, wie es in der Softwarebranche heißt. Das ist ehrlich formuliert und zugleich ein kluger Schachzug in Sachen Reputation, denn genau diese Ehrlichkeit unterscheidet die Reaktion deutlich von reinem Schadensbegrenzungs-PR-Sprech.

Aus der Fachwelt kommen trotzdem kritische Töne. Thorsten Holz vom Max-Planck-Institut für Sicherheit und Privatsphäre in Bochum, der an der Testumgebung ExploitGym mitgearbeitet hat, die sowohl OpenAI als auch Anthropic und Google nutzen, bezeichnete das Ausmaß an Autonomie, das moderne KI-Modelle inzwischen zeigen, gegenüber dem Spiegel als neuartig. Tom Kellermann vom Sicherheitsunternehmen Trend Micro brachte es noch direkter auf den Punkt: Wer für Tests die Leitplanken entfernt, schafft keine sichere Umgebung, sondern ein systemisches Risiko.

Mehr als eine Randnotiz

Man kann diese Geschichte als technisches Detail zweier konkurrierender KI-Labore abtun. Sollte man aber nicht. Innerhalb weniger Wochen sind gleich zwei der weltweit führenden KI-Unternehmen - ausgerechnet die beiden, die am lautesten über verantwortungsvolle KI-Entwicklung sprechen - unfreiwillig zum Beweisstück dafür geworden, wovor Sicherheitsforscher seit Jahren warnen: Je leistungsfähiger diese Systeme in Sachen Cyber-Fähigkeiten werden, desto größer wird auch das Risiko, dass sie in Testumgebungen mehr anrichten, als geplant war - und dass dieses Mehr über Monate hinweg niemandem auffällt.

Der eigentlich unbequeme Punkt dabei: In keinem der drei Anthropic-Fälle musste ein Modell aktiv „ausbrechen". Es reichte eine simple Fehlkonfiguration, ein Missverständnis zwischen zwei Unternehmen darüber, wer welchen Zugang eigentlich freigeschaltet hat. Genau das macht die Sache so unangenehm - nicht die Cleverness der KI, sondern die Banalität des menschlichen Fehlers, der ihr die Tür geöffnet hat.

31.07.2026