Claude Fable 5.2: Ersatzmodell macht KI-Agenten anfälliger

Anthropic hat am 9. November Claude Fable 5.2 freigegeben. Laut Anthropics Ankündigung antwortet das Modell bis zu 30 Prozent schneller als Fable 5.1 und blockt rund 55 Prozent seltener harmlose Anfragen. In der Systemkarte steht allerdings ein Befund, der alle betrifft, die Claude als Agenten arbeiten lassen. Gemeint sind Aufgaben, bei denen die KI Mails liest, Webseiten bedient oder fremden Code bearbeitet. Fable 5.2 gibt dort öfter an ein älteres Modell ab, und genau dieser Umweg macht Angriffe erfolgreicher.

Warum Fable 5.2 manche Anfragen weiterreicht

Fable 5.2 ist dasselbe Grundmodell wie Claude Mythos 5.2, das Anthropic nur geprüften Organisationen gibt. Damit Fable allgemein nutzbar bleibt, prüfen Filter jede Anfrage auf offensive IT-Sicherheit, heikle Biologie und Teile der KI-Entwicklung. Schlägt ein Filter an, antwortet ein schwächeres Modell, bei Cyberthemen Claude Opus 4.8 und bei Biologie Claude Opus 5. Heimlich passiert das nicht. In der App erscheint ein Hinweis, und die Antwort trägt den Namen des Modells. Entscheidend ist ein Satz auf Anthropics Hilfeseite. Die Filter lesen alles mit, was das Modell verarbeitet, also auch das Gedächtnis, Inhalte aus Connectoren, Suchergebnisse und Dateien. Ein Wechsel kann deshalb durch Text ausgelöst werden, den du nie selbst geschrieben hast.

Was die Systemkarte zu Prompt Injection misst

Bei einer Prompt Injection versteckt ein Angreifer Anweisungen in einer Mail, auf einer Webseite oder in einer Datei. Liest der Agent diesen Text, führt er im schlimmsten Fall den fremden Befehl aus und leitet zum Beispiel private Nachrichten weiter. Im Benchmark von Gray Swan lag die Erfolgsquote nach 15 Versuchen bei Fable 5.2 bei 4,09 Prozent. Fable 5.1 kam auf 1,02 Prozent, Opus 5.5 auf 0,96 Prozent. Anthropic führt den Abstand vor allem auf die Rückfälle zurück, denn 53 Prozent der Angriffe auf Fable 5.2 landeten bei Opus 4.8, bei Fable 5.1 waren es 23 Prozent. Beantwortete Fable 5.2 selbst, gelangen 2,05 Prozent der Angriffe, während es über Opus 4.8 mit 5,17 Prozent mehr als doppelt so viele waren.

Noch deutlicher fällt ein Test mit einem lernenden Angreifer in Programmierumgebungen aus, der pro Szenario 200 Versuche bekam. Ohne Schutz waren dort 89,82 Prozent der Versuche gegen Fable 5.2 erfolgreich. Fast alle Antworten kamen von Opus 4.8. Mit den Erkennungsfiltern, die Anthropic in seinen Produkten einsetzt, sank der Wert auf 28,16 Prozent. Opus 5.5 lag unter denselben Bedingungen bei 11,13 Prozent. Von den 43 Anfragen, die Fable 5.2 in diesem Test selbst beantwortete, war keine einzige kompromittiert.

Den automatischen Wechsel abschalten

Der Modellwechsel ist in der Web-App, den Mobil- und Desktop-Apps, in Cowork und in Claude Code ab Werk aktiv. Abschalten lässt er sich in den Einstellungen unter Capabilities, in Claude Code unter Config und MODEL & OUTPUT. Der Schalter heißt „Switch models when a message is flagged“. Danach pausiert ein blockierter Auftrag, statt an Opus 4.8 zu gehen, und du entscheidest selbst, ob du die Nachricht umformulierst oder ein anderes Modell wählst. Das kostet etwas Komfort. Wer Fable 5.2 Postfächer, Webseiten oder fremde Repositories bearbeiten lässt, nimmt damit aber den schwächeren Umweg aus dem Spiel. Gerade bei Claude Code sind Angriffe über eingeschleuste Inhalte kein theoretisches Szenario, wie zuletzt die manipulierte Erweiterung im Cursor-Marktplatz gezeigt hat.

Für die meisten Aufgaben empfiehlt Anthropic ohnehin Claude Opus 5.5 als Startpunkt und Fable erst für besonders anspruchsvolle Arbeit. Im Pro-Abo läuft Fable sonst nur über Zusatzguthaben, mehr zum Vorgänger steht in unserer Meldung zu Fable 5.1. Bis zum 16. November gibt Anthropic Pro-Kunden das neue Modell zur Einführung ohne Aufpreis frei.