Anthropic: Claude attackierte im Sicherheitstest drei echte Firmen

Anthropic hat am Donnerstag offengelegt, dass drei Claude-Modelle bei internen Cybersicherheits-Tests die Produktivsysteme von drei echten Organisationen kompromittiert haben. Anlass für die Prüfung war der Fall bei OpenAI, dessen Modelle aus einer Testumgebung ausbrachen und Hugging Face angriffen. Anthropic durchsuchte daraufhin 141.006 Testläufe, in denen Claude überhaupt Internetzugang hätte bekommen können, und wurde in sechs davon fündig.

Die Modelle bearbeiteten sogenannte Capture-the-Flag-Aufgaben, ein Standardformat der IT-Sicherheit. Irgendwo im Netzwerk liegt eine geheime Information, das Modell soll einbrechen und sie holen. Der Auftrag sagte ausdrücklich, die Umgebung sei eine Simulation ohne Internetzugang. Das stimmte nicht. Bei den Testumgebungen des externen Partners Irregular war der Weg ins offene Netz frei, und niemand hatte es bemerkt.

Der schwerste Fall traf eine Produktionsdatenbank

Am folgenreichsten war laut Anthropic ein Szenario, in dem die erfundene Zielfirma zufällig denselben Namen trug wie eine echte Internet-Domain. Claude Opus 4.7 kam im simulierten Netz nicht weiter, fand die reale Firma und hielt sie für das eigentliche Ziel. In vier Durchläufen griff das Modell Zugangsdaten ab und landete in einer Datenbank mit mehreren hundert Zeilen echter Produktionsdaten. Opus 4.7 erkannte dabei, dass das System real war, und machte trotzdem weiter. In zwei Läufen redete es sich ein, die echte Firma gehöre zur Übung.

Ein Modell lud echten Schadcode zu PyPI hoch

Der zweite Vorfall ist der plastischste. Claude Mythos 5 fand in der Testumgebung eine Anleitung, die neuen Entwicklern die Installation eines Python-Pakets vorschrieb, das es gar nicht gab. Das Modell erkannte die Lücke und baute selbst ein Paket mit genau diesem Namen, versehen mit Schadcode. Für den Upload brauchte es ein Konto bei PyPI, dem öffentlichen Verzeichnis für Python-Software, dafür eine Mailadresse, dafür eine Telefonnummer. Nachdem mehrere Versuche scheiterten, an Geld für eine Nummer zu kommen, wich das Modell auf einen freien Mailanbieter aus und lud die Malware hoch.

Das Paket stand rund eine Stunde öffentlich. In dieser Zeit wurde es auf 15 echten Systemen installiert und ausgeführt, darunter der Malware-Scanner einer Sicherheitsfirma, die mit dem Szenario nichts zu tun hatte. Deren Zugangsdaten schickte Claude an eine selbst eingerichtete Sammelstelle und griff damit auf weitere Infrastruktur zu. Die eigenen Schutzmechanismen von PyPI entfernten das Paket automatisch.

Bemerkenswert ist, wie sich das Modell selbst überzeugte. Es hatte notiert, im echten Internet wäre ein solcher Upload ein realer Angriff und sicher nicht die beabsichtigte Lösung. Dagegen sprachen aus seiner Sicht zwei Dinge: Es kannte die Zertifizierungsstellen der Verbindungen nicht, und das Kalenderdatum 2026 auf den Systemen sei ein Beleg für eine gestellte Umgebung. Diese Einschätzung revidierte es nie.

Drei Monate unentdeckt

Der früheste Vorfall datiert auf April. Aufgefallen ist er erst, als Anthropic am 23. Juli mit der Durchsicht der Protokolle begann und noch am selben Tag alle Cybersicherheits-Tests stoppte. Am 24. Juli standen alle drei Vorfälle fest, am 27. Juli informierte das Unternehmen den Testpartner und die Betroffenen. Zwei der drei Organisationen wussten bis dahin nichts von den Zugriffen, die dritte war zum Zeitpunkt der Veröffentlichung noch nicht erreicht.

Im dritten Vorfall scannte ein internes Forschungsmodell rund 9.000 Ziele und kompromittierte eine ins Internet gerichtete Anwendung über eine offene Debug-Seite und eine SQL-Injection. Dann erkannte es von sich aus, dass das Ziel echt war, und brach ab. Anthropic wertet das als Fortschritt, warnt aber davor, aus drei Einzelfällen eine Regel abzuleiten.

Was das für Nutzer bedeutet

Direkt wenig. Die Tests liefen ohne die Klassifikatoren und die Überwachung, die bei den öffentlich verfügbaren Claude-Modellen aktiv sind. Nach Angaben von Anthropic hätten diese Schutzschichten das Verhalten blockiert. Nachgeprüft hat das bisher niemand von außen. Wichtig ist die andere Hälfte des Satzes: Das modellspezifische Sicherheitstraining war aktiv und hat nicht gereicht. Anthropic ordnet die Vorfälle deshalb als Versagen der Testinfrastruktur ein, nicht als Fehlausrichtung der Modelle, und nimmt die Verantwortung ausdrücklich auf die eigene Kappe statt sie beim Partner abzuladen.

Der Unterschied zum OpenAI-Fall ist technisch deutlich. Dort nutzten die Modelle eine bis dahin unbekannte Schwachstelle, um überhaupt ins Netz zu kommen. Claude fand eine offene Tür und brauchte danach nur schwache Passwörter und ungeschützte Endpunkte. Ein redigiertes Protokoll des PyPI-Falls will Anthropic innerhalb einer Woche veröffentlichen, mit der unabhängigen Prüforganisation METR laufen Gespräche über eine externe Auswertung. Wie sehr das Vertrauen in die eigenen Testverfahren gelitten hat, zeigt auch der offene Brief von über 1.290 Beschäftigten der Branche, die eine überprüfbare Bremse für die KI-Entwicklung fordern.