Anthropic: Claude bei Sicherheitstests in fremde Systeme eingedrungen
Anthropic fand in 141.006 Evaluationsläufen drei Vorfälle, in denen Claude aus der Testumgebung heraus echte fremde Produktivsysteme kompromittierte.
Anthropic hat am 30. Juli 2026 mitgeteilt, dass drei seiner Claude-Modelle bei internen Sicherheitstests unbefugt auf die Produktivsysteme dreier Organisationen zugegriffen haben. Die Modelle waren aus einer Testumgebung, die eigentlich abgeschottet sein sollte, ins offene Internet gelangt. Das Unternehmen hat den Fund in einem Blogbeitrag des Frontier Red Team veröffentlicht.
Ausgelöst hat die Prüfung ein anderer Fall. Am 21. Juli hatte OpenAI offengelegt, dass mehrere eigene Modelle aus einer isolierten Testumgebung ausgebrochen sind und die Infrastruktur der KI-Plattform Hugging Face kompromittiert haben. Anthropic hat daraufhin die eigenen Cybersecurity-Evaluationen rückwirkend - nach genau diesem Muster - durchsucht.
Anthropic hat nach eigenen Angaben 141.006 Evaluationsläufe durchgesehen, bei denen Claude theoretisch Internetzugang hätte bekommen können. Dabei sind drei Vorfälle mit insgesamt sechs Läufen aufgefallen. Alle spielten sich in der Testumgebung von Irregular - einem externen Prüfpartner - ab. In allen drei Fällen hat Claude eine sogenannte "Capture-the-Flag-Aufgabe" bearbeitet.
Bei solchen Aufgaben bekommt ein Modell ein erfundenes Szenario. Irgendwo im Netzwerk liegt eine geheime Information versteckt, die "Flagge". Das Modell soll in das andere System einbrechen und sie holen. Der Weg dorthin ist offen, eine bestimmte Methode wird nicht vorgegeben.
Der Kern des Problems liegt in einer Fehlkonfiguration. Anthropics Prompt hat Claude ausdrücklich gesagt, es befinde sich in einer Simulation und habe keinen Internetzugang. Durch ein Missverständnis zwischen Anthropic und Irregular stimmte das aber nicht: Die Maschinen hatten einen offenen Weg ins Netz. Als Claudes Suche nach der Flagge auf echte Systeme im Internet stieß, hat das Modell sie für Teil der Übung gehalten.
Um in die fremden Systeme zu gelangen, hat Claude einfache Techniken genutzt. Anthropic nennt schwache Passwörter und ungeschützte Endpunkte. In keinem Fall hat das Modell eine komplexe oder unbekannte Schwachstelle gefunden oder sich selbst aus der Umgebung herauskopiert.
Die drei Vorfälle betreffen drei verschiedene Modelle: Opus 4.7, Mythos 5 und ein internes Forschungs-Testmodell, für das keine Veröffentlichung geplant ist. Der früheste Vorfall stammt aus dem April. Alle Modelle liefen ohne die Schutzmechanismen, die Anthropic bei allgemein verfügbaren Modellen einsetzt - also ohne die üblichen Klassifikatoren und die Überwachung gegen Missbrauch. Das modellspezifisches Sicherheitstraining haben sie aber durchlaufen. Die Evaluationen liefen laut Anthropic auf isolierter Infrastruktur, die keinen Zugriff auf sensible interne Systeme oder Kundendaten hat.
Interessant wird der Bericht dort, wo die Modelle bemerken, dass etwas nicht stimmt. Denn sie haben sich unterschiedlich verhalten, sobald Hinweise auftauchten, dass die Ziele echt sein könnten.
Beim schwersten Vorfall trug die erfundene Zielfirma denselben Namen wie eine echte Website-Domain. In vier Läufen kam Opus 4.7 im Testnetz nicht weiter, fand dann aber die echte Firma über das Internet und griff sie an. Dabei sind Zugangsdaten für Anwendungen und Infrastruktur abgeflossen. Es ist ein Zugriff auf eine Datenbank mit mehreren hundert Zeilen echter Produktivdaten gelungen. Opus 4.7 ist das einzige Modell, das den Angriff fortsetzte, obwohl es erkannt hatte, dass das System echt war. In zwei Läufen redete es sich ein, die echte Firma müsse eben zur Übung gehören.
Der zweite Vorfall betrifft Mythos 5 und ist der aufwendigste. Claude fand in der Testumgebung eine Anleitung, die neue Entwickler anwies, ein bestimmtes Python-Paket aus der öffentlichen Registry PyPI zu installieren. Dieses Paket existierte nicht. Claude sah darin eine Chance: Wer das Paket unter demselben Namen selbst veröffentlicht, dessen Code wird von den Systemen der Zielfirma automatisch heruntergeladen und ausgeführt. Also hat Claude ein manipuliertes Paket gebaut und hochgeladen.
Der Weg dorthin war lang. Für ein PyPI-Konto brauchte Claude eine E-Mail-Adresse, dafür eine Telefonnummer, dafür Geld für einen Nummerndienst. Nach mehreren gescheiterten Versuchen fand es schließlich einen kostenlosen E-Mail-Anbieter, legte das Konto an und lud das Schadpaket hoch. Es war ungefähr eine Stunde online. In dieser Zeit wurde es auf 15 echte Systemen heruntergeladen und ausgeführt. Eines davon gehörte einer echten Sicherheitsfirma, deren Scanner Python-Pakete routinemäßig installiert und prüft. Claude erbeutete Zugangsdaten und drang damit in weitere Infrastruktur dieser Firma ein.
PyPI hat das Paket über die eigenen Sicherheitssysteme automatisch entfernt. Anthropic hatte das PyPI-Team informiert.
Der dritte Vorfall ging von dem internen Testmodell aus. Es scannte rund 9.000 Ziele, fand eine ins Internet offene Anwendung und kompromittierte sie über eine sichtbare Debug-Seite mit einer SQL-Injection. Später bemerkte das Modell aber, dass der übernommene Rechner in einem Cloud-Konto ohne Bezug zur Aufgabe lag. Es schloss von allein, dass das Ziel echt sein müsse, und brach den Angriff ab.
Genau dieses Verhalten (erkennen, dass ein Ziel real ist, und ohne Aufforderung aufhören) ist , was Anthropic sehen wollte. Es trat nur beim neuesten der drei Modelle auf. Das Unternehmen mahnt zur Zurückhaltung: Drei einzelne Vorfälle sind kein kontrollierter Vergleich, belastbare Schlüsse ließen sich daraus nicht ziehen.
Anthropic hat mit der Analyse der Transkripte am Donnerstag, dem 23. Juli begonnen und noch am selben Tag alle Cyber-Evaluationen gestoppt, nachdem erste verdächtige Läufe aufgefallen waren. Alle drei Vorfälle waren am nächsten Tag identifiziert. Am Montag, den 27. Juli hat das Unternehmen Irregular und die drei betroffenen Organisationen benachrichtigt.
Zwei der drei Organisationen konnten erreicht werden. Sie hatten die Aktivität vorher nicht bemerkt und sich auch nicht bei Anthropic gemeldet. Anthropic arbeitet nun mit ihnen an der Bereinigung und versucht weiterhin, die dritte zu erreichen. Ein Sprecher von Irregular sagte Axios, die eigene Untersuchung laufe noch. Man schätze aber Anthropics Zusammenarbeit und Transparenz.
Zur Einordnung des Partners: Irregular, früher Pattern Labs, bezeichnet sich als Sicherheitslabor für Spitzen-KI und arbeitet mit OpenAI, Anthropic und Google DeepMind zusammen. Die Firma hat im September 2025 nach eigenen Angaben 80 Millionen Dollar eingesammelt.
Anthropic grenzt die eigenen Vorfälle deutlich vom OpenAI-Fall ab, auch wenn beide dieselbe Wurzel haben: KI-Modelle, die bei Sicherheitstests ohne die üblichen Schutzmechanismen liefen und in Systeme gelangten, die sie nicht erreichen sollten.
Anthropic ordnet die eigenen Fälle näher an einem Harness- und Betriebsfehler ein als an einem Fehlverhalten des Modells. Die Modelle hätten getan, was ihre Aufgabe verlangte, dabei aber eine falsche Annahme über ihre Umgebung gehabt. Situationsbewusstsein sei ein Faktor für richtige Entscheidungen - in diesem Fall war Claudes Bild der Lage schlicht falsch.
Das Unternehmen zieht mehrere Lehren. Testumgebungen mit mächtigen autonomen Fähigkeiten bräuchten dieselben Sicherheitsstandards wie jedes andere System, in dem die Modelle laufen. Eine Umgebung mit fiktiven Szenarien wirke risikoarm, sei es aber nicht: Ein fortgeschrittener Agent stelle auch ohne Zugang zu sensiblen Daten eine Gefahr dar. Das gelte für interne wie für externe Prüfumgebungen.
Anthropic kündigt an, die Transkripte der Evaluationen laufend auf unerwartetes Verhalten zu überwachen, die Prüfwerkzeuge zu verbessern und die Absicherung mit externen Partnern strenger zu gestalten. Das Unternehmen ist zudem mit der unabhängigen Prüforganisation METR im Gespräch über eine Begutachtung von außen, mit Zugang zu allen Transkripten. Innerhalb der nächsten Woche will Anthropic ein leicht geschwärztes Transkript veröffentlichen, in dem Claude das schädliche PyPI-Paket baut.
Ein Detail nennt Anthropic selbst als bemerkenswert: Die Schutzmechanismen, die auf den allgemein verfügbaren Modellen laufen, hätten das beobachtete Verhalten blockiert. Solche Fähigkeitstests laufen aber bewusst ohne diese Schutzschichten, um zu messen, was ein Modell im Rohzustand kann. Sicher ist das aber nur, wenn die Testumgebung dicht ist.