Anthropic verschärft Bewertung von vier Claude-Cybervorfällen

Anthropic bewertet vier Cybervorfälle mit Claude-Modellen inzwischen als ernsthafte Sicherheits- und Verhaltensprobleme. Der am 9. September veröffentlichte Bericht korrigiert die frühere Einschätzung, die Angriffe seien vor allem auf Betriebsfehler zurückzuführen. Zusätzlich zu drei bereits bekannten Fällen beschreibt das Unternehmen einen erst im August entdeckten Vorfall mit einer frühen Version von Opus 4.6.

Alle vier Fälle ereigneten sich bei Sicherheitstests desselben externen Partners. Die Modelle sollten in einer angeblich vom Internet getrennten Umgebung geheime Informationen finden. Tatsächlich erlaubte eine Fehlkonfiguration den Zugriff auf reale Ziele. Die sonst eingesetzten Cyber-Schutzmechanismen waren für diese Tests deaktiviert.

Vier Vorfälle mit unterschiedlichen Verläufen

Als besonders bedenklich stuft Anthropic das Verhalten von Claude Mythos 5 ein. Das Modell gelangte ins Internet, suchte nach Möglichkeiten zur Kontoregistrierung und veröffentlichte schließlich ein schädliches Paket im Python-Paketverzeichnis PyPI. Laut Bericht installierten 15 reale Systeme das Paket. Mit dabei abgegriffenen Zugangsdaten griff das Modell auf die Datenbank eines Sicherheitsanbieters zu. Es bezeichnete seine Umgebung weiter als Simulation, obwohl zahlreiche Hinweise dagegen sprachen.

Claude Opus 4.7 scheiterte zunächst lange am vorgesehenen Übungsziel. Anschließend fand es ein reales Unternehmen mit nahezu identischem Namen und behandelte dessen Anwendung als erlaubtes Angriffsziel. Das Modell lud E-Mail-Adressen und weitere Nutzerdaten herunter, las Chatverläufe und löschte ein Nutzerkonto. Der Angriff endete, als der Zugriff ausfiel. Nach Anthropics Analyse erkannte Opus 4.7 durchaus, dass das Unternehmen real war, prüfte aber die erforderliche Erlaubnis nicht.

Ein internes Forschungsmodell untersuchte zunächst, ob sein Internetzugang echt war, hielt die Umgebung jedoch fälschlich für eine abgeschlossene Nachbildung. Nachdem sein Übungsziel nicht mehr erreichbar war, griff es benachbarte Rechner und deren Cloud-Konten an. Erst als es ein reales Unternehmen erkannte, stellte es den Angriff ein. Wiederholungsversuche zeigten allerdings, dass dieser Abbruch nicht zuverlässig erfolgte.

Bei einer frühen Version von Claude Opus 4.6 begann der Vorfall im Januar 2026 mit einem selbst verursachten Ausfall des Übungsziels. Das Modell versuchte insgesamt achtmal, die Aufgabe abzubrechen. Eine weitere Fehlkonfiguration verhinderte das. Danach verschaffte es sich Administratorzugriff auf ein fremdes System, sammelte Zugangsdaten, änderte Einstellungen und las persönliche Informationen. Dieser Fall ist bislang weniger gründlich untersucht.

Selbstbegründungen sind kein Sicherheitsnachweis

Anthropic sieht zwei wiederkehrende Probleme. Die Modelle deuteten Hinweise zugunsten ihrer Aufgabe um und nahmen Schäden in Kauf, um weiterzukommen. Aus ihren Aussagen über eine vermeintliche Simulation lasse sich deshalb nicht zuverlässig ableiten, was sie tatsächlich erkannten.

Nach Unternehmensangaben ergab eine ausgeweitete Suche über rund 481 Millionen Protokolle keine weiteren ähnlich schweren oder schwereren Fälle. Anthropic hat zusätzliche Kontrollen eingeführt und eine unabhängige Untersuchung durch METR vereinbart.