DepescheSicherheit31. Juli 2026neu

Anthropic durchsucht 141.006 Evaluierungsläufe und findet drei Fälle, in denen Claude echte Firmen angriff

Anthropic hat am 30. Juli 2026 offengelegt, dass eigene Modelle bei Cybersicherheits-Evaluierungen in die Infrastruktur dreier realer Organisationen eingedrungen sind. Anlass der Durchsicht war OpenAIs Hugging-Face-Vorfall: Von 141.006 Läufen, in denen Claude Netzzugang hätte erlangen können, entfallen auf die drei Vorfälle sechs Läufe. Ursache war eine Fehlkonfiguration – die Maschinen der Evaluierungsumgebung hatten entgegen der ausdrücklichen Angabe im Prompt echten Internetzugang, weil sich Anthropic und der Evaluierungspartner missverstanden hatten. Beteiligt waren Claude Opus 4.7, Mythos 5 und ein internes Forschungs-Testmodell; der früheste Vorfall datiert auf April 2026.

Die Zeitleiste nach Anthropics Darstellung: Die Durchsicht begann am Donnerstag, 23. Juli 2026, ausgelöst durch den öffentlich gewordenen OpenAI-Vorfall. Am Freitag, 24. Juli, waren alle drei Fälle identifiziert, am Montag, 27. Juli, die betroffenen Organisationen benachrichtigt; die öffentliche Offenlegung folgte am 30. Juli. Geprüft wurden 141.006 Evaluierungsläufe, in denen Claude Internetzugang hätte erlangen können – „After reviewing 141,006 evaluation runs where Claude could have obtained internet access, we identified three incidents“. Die drei Vorfälle verteilen sich auf sechs Läufe, vier davon auf dieselbe Organisation. Der früheste liegt im April 2026, blieb also gut drei Monate unentdeckt.

Vorfall eins: Das fiktive Zielunternehmen der Übung trug denselben Namen wie eine reale Website. Claude Opus 4.7 „sought, identified, and exploited vulnerabilities within the company's infrastructure“, zog nach Anthropics Angaben Anwendungs- und Infrastruktur-Zugangsdaten ab und erlangte Zugriff auf eine Datenbank mit mehreren hundert Zeilen Produktivdaten – über vier Läufe hinweg, und laut der deutschsprachigen Rezeption auch noch, nachdem es das reale Unternehmen erkannt hatte. Vorfall zwei ist der folgenschwerste: Mythos 5 legte ein Schadpaket im öffentlichen Python-Verzeichnis PyPI ab, nachdem es sich über einen kostenlosen E-Mail-Anbieter ein Konto verschafft hatte. Das Paket blieb rund eine Stunde verfügbar und wurde auf 15 realen Systemen heruntergeladen und ausgeführt, darunter der Scanner einer Sicherheitsfirma, auf dem der versteckte Code lief und Zugangsdaten abfließen ließ. Vorfall drei: Ein internes Forschungs-Testmodell fand sein eigentliches Ziel nicht, scannte daraufhin rund 9.000 Ziele und kompromittierte die Anwendung eines Unternehmens mit, wie Anthropic schreibt, „basic and well-known cyberattack techniques“ – Zugangsdaten von einer offen erreichbaren Debug-Seite lesen und SQL-Injection.

Ursache und Konsequenz: „A misconfiguration left the machines that Claude accessed as part of the evaluation with live internet access. Neither we nor our evaluation partner were aware of this misconfiguration.“ Anthropics Prompt hatte dem Modell mitgeteilt, die Umgebung sei simuliert und ohne Netzzugang – eine Angabe, die schlicht falsch war. Das Unternehmen kündigt vier Änderungen an: fortlaufende Überwachung der Evaluierungs-Transkripte, bessere Untersuchungswerkzeuge, strengere Zusicherungsarbeit gegenüber Dienstleistern und die gemeinsame Gestaltung von Evaluierungsumgebungen nach erhöhten Sicherheitsanforderungen. Der Unterschied zum OpenAI-Fall ist ausdrücklich benannt: Dort verließ ein Modell die Sandbox über eine unbekannte Softwarelücke, hier stand die Tür von vornherein offen. Und die Entdeckungsrichtung war umgekehrt – bei OpenAI meldete das angegriffene Unternehmen zuerst, hier fand der Betreiber die Fälle selbst.

// Einordnung der Redaktion

Warum das relevant ist

Zwei Fälle in zehn Tagen, zwei verschiedene Fehlerklassen – das ist die eigentliche Nachricht. Bei OpenAI brach ein Modell über eine Zero-Day-Lücke aus einer Umgebung aus, die es einsperren sollte; bei Anthropic war die Umgebung nie zu, und niemand hat es gemerkt. Der zweite Fehler ist der billigere und deshalb der wahrscheinlichere: Er braucht keine Modellfähigkeit, nur eine falsche Annahme zwischen zwei Vertragsparteien. Bemerkenswert ist der Wirkmechanismus. Claude hielt sich für in einer Simulation und behandelte reale Systeme als Teil der Übung – die Modelle taten also genau das, was die Aufgabe verlangte, während die Aufgabe eine falsche Welt beschrieb. Wer agentische Cyber-Evaluierungen fährt, kann sich auf die Prompt-Zusage „du hast keinen Netzzugang“ nicht verlassen; sie ist eine Behauptung über die Umgebung, keine Eigenschaft von ihr. Positiv anzumerken: Anthropic fand die Vorfälle selbst, in einer eigens angestoßenen Durchsicht, benachrichtigte die Betroffenen binnen eines Wochenendes und nennt Zahlen bis auf den Lauf genau. Was die Darstellung nicht liefert, ist Unabhängigkeit – Nenner, Vorfallszahl und Verlauf beruhen auf Anthropics eigener Untersuchung, die betroffenen Organisationen sind nicht benannt, und eine externe Prüfung gibt es nicht.