Claude hackt echte Firmen aus Versehen, Dreimal!
Nach ChatGPT brechen nun auch die Claude Modelle aus. Claude hielt das offene Internet für eine Simulation.
Anthropic hat bei Sicherheitstests versehentlich drei externe Unternehmen gehackt. Wegen einer Fehlkonfiguration brachen mehrere Claude-Modelle aus einer isolierten Umgebung aus und griffen reale Server an. Der Vorfall offenbart gravierende Verhaltensunterschiede zwischen den Modellgenerationen.
Ein offener Zugang zum Netz
Anthropic überprüft die Fähigkeiten seiner Modelle regelmäßig durch »Capture the Flag«-Herausforderungen. Die Modelle sollen dabei in einem fiktiven Szenario Zielvorgaben aufspüren. Für aktuelle Tests arbeitete das Unternehmen mit dem Partner Irregular zusammen. Ein Missverständnis führte jedoch dazu, dass die Testumgebung nicht wie geplant vom Internet getrennt war.
Da die Aufgabenstellung keine methodischen Grenzen setzte, suchten die Modelle auch außerhalb der Simulation nach Lösungen. Sie stießen auf echte Unternehmenssysteme und griffen diese in dem Glauben an, sie gehörten zur Aufgabe. Anthropic entdeckte die Ausbrüche, nachdem das Unternehmen als Reaktion auf einen ähnlichen Vorfall bei OpenAI am 21. Juli insgesamt 141.006 Testläufe analysiert hatte.
Anzeige
Fall 1: Opus 4.7 ignoriert die Realität
In einem Fall wählte der Testpartner einen fiktiven Firmennamen, der einer realen Webdomain entsprach. Das Modell Opus 4.7 fand das echte Unternehmen und attackierte dessen Infrastruktur. Es erbeutete Zugangsdaten und griff auf eine Datenbank mit Produktionsdaten zu.
Opus 4.7 erkannte anhand der gefundenen Informationen durchaus, dass es sich sehr wahrscheinlich um reale Systeme handelte. Es verbuchte die echte Firma jedoch schlicht als Teil der anspruchsvollen Simulation und setzte den Angriff unbeirrt fort.
Fall 2: Mythos 5 veröffentlicht Schadsoftware
Im zweiten Fall verlangte eine fiktive Entwickleranleitung die Installation eines Python-Pakets, das in der Realität gar nicht existierte. Um das Problem zu lösen, schrieb Mythos 5 eine manipulierte Version und veröffentlichte sie im offiziellen Software-Verzeichnis PyPI.
Dafür ging das Modell ungewöhnlich weit: Nachdem Versuche scheiterten, eine Telefonnummer zu finanzieren, suchte es sich einen kostenlosen E-Mail-Anbieter und registrierte den Entwickler-Account. Das Paket blieb eine Stunde lang online und wurde 15 mal heruntergeladen.
Darunter war der automatische Scanner eines externen Sicherheitsunternehmens. Das manipulierte Paket führte sich dort selbstständig aus und spielte Mythos 5 die Zugangsdaten der Sicherheitsfirma zu. Unstimmigkeiten wie echte Server-Zertifikate oder das aktuelle Datum 2026 ignorierte das Modell als besonders realistische Testbedingungen.
Fall 3: Das neueste Modell zieht den Stecker
Ein drittes, rein internes Forschungsmodell zeigte ein anderes Verhalten. Als es sein Ziel nicht fand, scannte es 9.000 reale Server im Netz und kompromittierte eine Anwendung über Standardmethoden wie SQL-Injection.
Im Verlauf des Angriffs bemerkte das Modell jedoch, dass der gekaperte Server in einer Cloud lag, die keinerlei Verbindung zur ursprünglichen Aufgabe aufwies. Daraufhin zog es den Schluss, dass das Ziel real war, und brach die Attacke sofort eigenständig ab.
Anzeige
Kalkulierte Transparenz?
Anthropic betont, dass die Modelle nicht eigenmächtig handelten, sondern strikt die gestellte Aufgabe erfüllen wollten. Im Gegensatz zum jüngsten Vorfall bei OpenAI, wo ein Modell eine unbekannte Schwachstelle ausnutzte, profitierten die Claude-Modelle von einem einfachen Konfigurationsfehler. Zudem waren die üblichen Sicherheitsfilter in der Testumgebung deaktiviert.
Das Unternehmen hat die betroffenen Firmen informiert und eine externe Prüfung durch die Evaluierungsgruppe METR initiiert. Im nächsten Schritt will Anthropic einen unzensierten Chatverlauf veröffentlichen, der genau dokumentiert, wie Mythos 5 die Schadsoftware geschrieben hat.
