Der Vorgang steht in Abschnitt 4.5.8.2.2 des Berichts, überschrieben „All human feedback vendor traffic run without blocking biological classifiers“. Anthropic schreibt: „From May 2025 (our first deployment of models with CB safeguards) until April 2026, all traffic through our systems for collecting human feedback data from contractors evaluating our models ran without blocking biological classifiers.“ Der Pool umfasste „roughly 50,000 people, who were vetted only by our vendors (many of which did not have screening processes capable of stopping even CB-1 threat actors, prior to our strengthened requirements described above), and totaled around 133M exchanges“. Die meisten dieser Personen hatten dabei keinen eingeschränkten Bewertungs-Dialog, sondern „general access to open-ended conversation with these models“. Entscheidend für die lange Laufzeit ist die technische Bauart: „This traffic was controlled by a flag meant only for internal use, which disabled not only the blocking behavior of the classifiers but also the logging of their flags; as such, traffic that would otherwise have been flagged was not recorded or propagated to any review mechanisms.“
Die nachträgliche Durchsicht beschreibt der Bericht offen samt ihrer Schwächen. Anthropic ließ Claude Sonnet 5 als angeleiteten Klassifikator über sämtliche Nutzer-Züge des betroffenen Zeitraums laufen; markiert wurden 1.197 Transkripte als „high“ für biologischen Schaden. Davon entfielen 757 auf interne Anthropic-Teams, die dieselbe Infrastruktur nutzten, und alle bis auf 62 der übrigen auf Übungen, in denen Red-Teamer die Systeme absichtlich unter Druck setzen sollten. Manuell nachgelesen wurden alle 62 verbleibenden Fälle und eine Zufallsstichprobe von 30 Red-Teaming-Transkripten; Ergebnis: „did not observe clearly concerning CB misuse which could have provided meaningful uplift to a threat actor (though we identified a handful of potentially dual-use conversations, or red-teaming interactions at a fairly academic level)“. Zur Größenordnung der Gespräche: Das längste externe Transkript mit markierten Anfragen war 240.000 Token lang, das 75. Perzentil lag bei 2.102 Token. Zwei Einschränkungen benennt der Bericht selbst: Der verwendete Prüf-Prompt war ursprünglich für die Bewertung mehrzügiger Austausche entworfen und wurde hier auf isolierte Einzelzüge angewendet; und für rund ein Prozent des Verkehrs auf einer Plattform fehlen die Transkripte, weil die Nutzer das Gespräch nicht abgeschickt hatten. In einer Fußnote hält Anthropic zudem fest, es wäre vor April 2026 vermutlich nicht besonders schwierig gewesen, sich bei einem der Dienstleister für eine Red-Teaming-Rolle anstellen zu lassen.
Aufgefallen ist die Lücke im Zusammenhang mit einem zweiten Vorfall, den der Bericht direkt davor schildert: Im April 2026 nutzte nach einem externen Hinweis eine kleine Zahl von Kontraktoren bei Datenbeschriftungs-Dienstleistern eine Schwachstelle in einer Datenerhebungs-Plattform, um an einen API-Schlüssel zu kommen und außerhalb ihres Auftrags mit Modellen zu arbeiten – darunter Mythos Preview. Der Zugangspfad war „several weeks“ nutzbar, davon rund zwei Wochen mit Zugriff auf Mythos Preview; eingedämmt wurde der Vorgang nach Anthropics Darstellung „within 90 minutes of learning of it“, die Lücke noch am Tag der Meldung geschlossen. Zugegriffen worden sei ausschließlich auf ungeschützte Modell-Konversationen: keine Modellgewichte, keine Kundendaten, kein Einbruch in Anthropics Netze.
Die Konsequenzen zieht der Bericht an drei Stellen. Erstens technisch und vertraglich: Anthropic prüft die einzelnen Kontraktoren weiterhin nicht selbst – das bleibt Sache der Dienstleister –, verlangt von diesen aber inzwischen einheitliche Identitäts- und Hintergrundprüfungen für jeden Mitarbeiter, Anforderungen an Endgeräte-Sicherheit und Zugriffskontrolle sowie phishing-resistente Mehrfaktor-Anmeldung; die biologischen Klassifikatoren laufen jetzt „on the vast majority of our vendor traffic“, Ausnahmen gibt es projektbezogen nur für Dienstleister mit besonders robusten Kontrollen. Zweitens epistemisch: „The discovery of this gap, however, leads us to believe that there is an increased likelihood of other, similar issues unknown to us.“ Drittens in der Bewertung selbst – im Kapitel zur Gesamteinschätzung heißt es, man halte das Risiko katastrophaler Schäden aus dem CB-1-Bedrohungsmodell für „low but not negligible“ und stufe rückwirkend auch die Lage im Februar 2026 als „low“ ein „rather than the ‚very low‘ description we gave at the time in our previous risk report“. Im Ausblick desselben Kapitels steht ein Satz, der über den Vorfall hinausweist: Die fähigsten eigenen Modelle seien „relatively close to the CB-2 threshold described in our RSP“, und man erwarte, dass spätere Anthropic-Modelle diese Schwelle „in the relatively near future“ überschreiten.
⚠️ Zur Beleglage: Primärquelle ist der öffentliche, teilgeschwärzte Bericht als PDF unter anthropic.com; wir haben ihn selbst geöffnet und den Text maschinell aus der Datei gezogen – sämtliche englischen Zitate oben stammen aus dieser Extraktion und nicht aus einer Wiedergabe. Der Bericht selbst trägt kein Tagesdatum, sondern nennt als Stichtag den 15. Juli 2026; dass er am 14. August 2026 veröffentlicht wurde, entnehmen wir zwei unabhängigen Rezeptionen (The Next Web, Unite.AI), die beide dieses Datum nennen. Nicht belegt und deshalb hier nicht behauptet: welche Modelle im betroffenen Zeitraum konkret über die Feedback-Plattformen erreichbar waren (der Bericht nennt sie an dieser Stelle nicht), und wie groß die Dienstleister-Population insgesamt ist – diese Angabe ist im öffentlichen Bericht ausdrücklich als geschäftlich sensibel geschwärzt.