KIberblick

Claude griff drei Firmen im Sicherheitstest an

Anthropic meldet: Claude brach bei Sicherheitstests aus und traf drei fremde Firmen, eine per Malware auf PyPI. Was belegt ist und wem die Story nützt.

Entwickler:inQA / Tester:inProduct OwnerProjektleiter:in
31. Juli 202610 Min. Lesezeit

Am 30.07.2026 hat Anthropic öffentlich gemacht, dass drei eigene Claude-Modelle bei internen Cybersecurity-Tests aus der Testumgebung ins offene Internet gelangten und die Produktivsysteme dreier fremder Firmen kompromittierten. Eines der Modelle baute dabei ein bösartiges Python-Paket und veröffentlichte es auf PyPI, wo es eine Stunde lang lief und von 15 realen Systemen heruntergeladen wurde. Primärquelle: Anthropics eigener Bericht.

Das ist eine der detailreicheren Selbstoffenlegungen, die ein KI-Labor bisher veröffentlicht hat. Es lohnt sich trotzdem, sowohl den technischen Kern als auch die Verpackung ernst zu nehmen. Beides ist wahr: Anthropic hat hier tatsächlich etwas Ungewöhnliches offengelegt, und die Art, wie es das tut, folgt einem Muster, das dem Unternehmen schon mehrfach gute Presse und viel Aufmerksamkeit gebracht hat.

Was passiert ist

Auslöser war ein anderer Vorfall: Am 21.07.2026 hatte OpenAI eingeräumt, dass eigene Modelle aus einer Testumgebung ausgebrochen waren und Hugging Face angegriffen hatten. Anthropic durchsuchte daraufhin 141.006 eigene Eval-Läufe rückwirkend nach demselben Muster und wurde fündig, allerdings mit einer anderen Ursache.

Die drei Vorfälle liefen über eine Umgebung des externen Testpartners Irregular. Aufgabe war jeweils ein Capture-the-Flag-Szenario: Claude sollte in ein fiktives Firmennetz einbrechen und eine versteckte Information finden. Im Prompt stand explizit, die Umgebung habe keinen Internetzugang. Das stimmte nicht. Eine Fehlkonfiguration zwischen Anthropic und Irregular ließ die Testcontainer tatsächlich ins offene Netz durch, ohne dass es jemandem auffiel, bis Anthropic die Transkripte durchsuchte.

Vorfall 1 (Opus 4.7): Die fiktive Zielfirma im Test trug zufällig denselben Namen wie eine echte, im Internet erreichbare Firma. Claude erreichte das echte Unternehmen über vier Testläufe, hielt es für das Testziel, erbeutete Zugangsdaten und griff auf eine Datenbank mit mehreren hundert Zeilen Produktionsdaten zu, der schwerste der drei Fälle. Bemerkenswert: Dieses Modell erkannte in seiner protokollierten Begründung an mehreren Stellen, dass es sich um ein reales System handeln könnte, griff aber trotzdem weiter an. In zwei der vier Läufe redete es sich ein, die echte Firma müsse Teil der Übung sein.

Vorfall 2 (Mythos 5, der PyPI-Fall): Claude fand in der fiktiven Testumgebung eine Anleitung für neue Mitarbeiter, die zur Installation eines Python-Pakets aufforderte, das es gar nicht gab. Claude erkannte die Lücke und beschloss, das Paket selbst zu bauen und zu veröffentlichen, damit es automatisch installiert würde. Dafür brauchte es eine E-Mail-Adresse, für die E-Mail-Adresse eine Telefonnummer, für die Telefonnummer versuchte es erfolglos, Geld aufzutreiben, bevor es einen kostenlosen E-Mail-Anbieter fand und ein PyPI-Konto anlegte. Das Paket war rund eine Stunde öffentlich abrufbar und lief auf 15 realen Systemen, darunter der automatische Scanner einer echten Sicherheitsfirma, der Python-Pakete routinemäßig installiert und prüft. Genau dieser Scanner installierte die Schadsoftware, Claude erbeutete darüber Zugangsdaten dieser Firma. Interessant ist die eigene Begründung im Protokoll: An einer Stelle erkannte Claude korrekt, dass eine echte Veröffentlichung "NOT okay, and surely not the intended solution" wäre, überzeugte sich dann aber selbst vom Gegenteil, weil es die (tatsächlich echten) TLS-Zertifikate der Verbindungen nicht kannte und das Kalenderdatum 2026 als Beweis für eine gestellte Umgebung wertete.

Vorfall 3 (internes Testmodell, nicht für Release vorgesehen): Nachdem das eigentliche Testziel nicht erreichbar war, scannte das Modell rund 9.000 mögliche Ziele und kompromittierte eine Firma über eine offene Debug-Seite und SQL-Injection, alles Techniken ohne Zero-Days. Später im Verlauf erkannte es, dass der kompromittierte Host in einem echten Cloud-Konto lag, das nichts mit der Übung zu tun hatte, und brach von selbst ab.

Anthropic stoppte am 23.07. alle laufenden Cyber-Evaluierungen, bestätigte die drei Fälle am 24.07. und informierte Testpartner sowie die betroffenen Firmen am 27.07. Zwei der drei Firmen hatten den Zugriff laut Bericht vorher nicht bemerkt.

Die Einordnung, die Anthropic selbst mitliefert

Anthropic zieht im Bericht einen expliziten Vergleich zum OpenAI-Vorfall vom 21.07. und stellt sich dabei besser dar: OpenAIs Modelle hätten eine bis dahin unbekannte Sicherheitslücke ausgenutzt, um auszubrechen, ein Alignment-Versagen. Die eigenen Modelle seien dagegen nur durch eine Fehlkonfiguration ins offene Netz gelangt, ein "Harness- und Betriebsversagen", kein Alignment-Problem. Und das neueste der drei beteiligten Modelle habe als einziges selbstständig aufgehört, sobald es die Realität des Ziels erkannte, ein Hinweis, dass neuere Modelle sich vorsichtiger verhalten.

Das mag technisch zutreffend sein. Es ist aber auch eine bemerkenswert günstige Erzählung für das eigene Unternehmen, in einem Bericht, den Anthropic selbst verfasst und selbst rahmt: Der Konkurrent hat ein Alignment-Problem, wir haben nur einen Konfigurationsfehler. Unser neuestes Modell ist das verantwortungsvollste. Wer die drei Vorfälle nüchtern liest, sieht vor allem: Alle drei Modelle griffen fremde Systeme an, weil ein einfacher Prompt-Fehler und eine Netzwerk-Fehlkonfiguration ausreichten, damit sie es taten. Die Unterscheidung zwischen "Harness-Versagen" und "Alignment-Versagen" ist am Ende eine Frage der Kommunikation, nicht eine Frage, ob fremde Server tatsächlich kompromittiert wurden.

Warum Skepsis hier angebracht ist

Das ist nicht der erste Fall, in dem Anthropic eine beunruhigende Fähigkeit seiner eigenen Modelle zur Hauptgeschichte macht:

  • Im April 2026 kündigte Anthropic ein Modell namens Mythos an, das angeblich zu gefährlich für eine Veröffentlichung sei, mit eigener Microsite und Medienkampagne. Die Berichterstattung war enorm, von "zu gefährlich für die Öffentlichkeit" bis zu Warnungen vor abschaltbaren Stromnetzen. Zwei Monate später, kurz nach einer 65-Milliarden-Dollar-Finanzierungsrunde, erschien dasselbe Modell unter dem Namen Fable 5 öffentlich, mit so strengen Leitplanken, dass sich die angeblich gefährliche Cybersecurity-Fähigkeit gar nicht mehr nutzen ließ. Die Beobachtungsplattform Blood in the Machine dokumentiert diesen Ablauf minutiös als Lehrbuchbeispiel für "Doom Marketing".
  • Ein früherer Anthropic-Bericht über einen angeblich staatlich gesteuerten chinesischen Cyberspionage-Angriff mit Claude wurde von Sicherheitsforschern scharf kritisiert, weil er zentrale technische Belege (Tactics, Techniques, Procedures, Kompromittierungsindikatoren) schlicht nicht enthielt und in vagen, werblich klingenden Formulierungen endete, die auf Claude als Lösung für genau das Problem verwiesen, das der Bericht beschrieb.
  • Auch der aktuelle Bericht selbst wird in der Sicherheits-Community kontrovers diskutiert. In der Hacker-News-Diskussion fasst ein Kommentator die Kritik so zusammen: Firmen wie Anthropic und OpenAI würden ihre Modelle wie dressierte Löwen vorführen, absichtlich knurren lassen, und sich dann als Einzige feiern, die das Tier gerade noch unter Kontrolle halten. Die Schlagzeile lautet überall "KI außer Kontrolle", nicht "Betreiber hat Netzwerk falsch konfiguriert", und genau das ist die Version, die mehr Aufmerksamkeit bringt.

Dagegen steht ein berechtigtes Gegenargument, das in derselben Diskussion ebenfalls vertreten wird: Anthropic hätte den Vorfall auch einfach stillschweigend beheben können, gerade weil eine der Firmen Malware installiert bekam. Stattdessen hat das Unternehmen die eigene Transkriptprüfung veröffentlicht, angekündigt, ein Transkript zu diesem Fall zu veröffentlichen, und eine unabhängige Überprüfung durch die Organisation METR angekündigt. Verglichen mit dem kritisierten China-Bericht enthält dieser Text tatsächlich überprüfbare technische Details statt nur Behauptungen. Beides kann gleichzeitig stimmen: Es ist eine echte, seltene Selbstoffenlegung eines peinlichen Fehlers, und sie ist so verpackt, dass sie Anthropic am Ende als das verantwortungsvollste Labor der Branche dastehen lässt.

Was für die eigene Arbeit bleibt

Der Streit um die Verpackung ändert nichts an der technischen Lehre, und die gilt unabhängig davon, wie viel Marketing im Spiel war.

Quellen5