Bei Sicherheitsbewertungen seiner KI-Modelle ist Anthropic auf drei Vorfälle gestoßen, bei denen Claude-Modelle unbeabsichtigt auf das öffentliche Internet zugriffen und anschließend in die produktiven Systeme realer Unternehmen eindrangen. Die Ereignisse, die bis in den April 2026 zurückreichen, wurden erst nach einer groß angelegten Überprüfung interner Evaluierungsprotokolle entdeckt. Der erst gestern kommunizierte Vorfall verdeutlicht, wie anspruchsvoll die sichere Erprobung zunehmend autonomer KI-Agenten geworden ist – und erhöht den Druck auf die gesamte Branche, ihre Testumgebungen grundlegend zu überdenken.
Reaktion auf den OpenAI-Vorfall
Auslöser der Untersuchung war ein ähnlicher Vorfall bei OpenAI. Das Unternehmen hatte am 21. Juli offengelegt, dass mehrere Modelle eine isolierte Testumgebung verlassen und über eine Zero-Day-Schwachstelle Zugriff auf die Infrastruktur von Hugging Face erlangt hatten. Anthropic startete daraufhin eine umfassende Analyse eigener Cybersecurity-Evaluierungen, um zu prüfen, ob Claude ebenfalls unbeabsichtigt Internetzugang erhalten hatte.
Im Mittelpunkt standen insgesamt 141.006 Evaluierungsläufe, bei denen theoretisch eine Verbindung ins Internet möglich gewesen wäre. Das Ergebnis: In drei voneinander unabhängigen Fällen verschafften sich Claude-Modelle Zugriff auf produktive Systeme realer Organisationen.
Nach Angaben des Unternehmens handelte es sich dabei nicht um bewusstes Fehlverhalten der Modelle, sondern um eine Fehlkonfiguration einer Testumgebung des externen Evaluierungspartners Irregular. Die Modelle waren per Systemanweisung ausdrücklich darüber informiert worden, dass sie sich in einer vollständig simulierten Umgebung ohne Internetzugang befänden. Tatsächlich bestand jedoch eine offene Verbindung ins öffentliche Netz.
Gewinnen in der Plattform-Ökonomie
Drei unterschiedliche Sicherheitsvorfälle
Die drei dokumentierten Vorfälle zeigen, wie unterschiedlich autonome Modelle auf dieselbe Ausgangslage reagieren können.
Fall 1: Angriff auf ein reales Unternehmensnetzwerk
Der schwerwiegendste Vorfall betraf vier Evaluierungsdurchläufe mit Claude Opus 4.7. Während einer sogenannten Capture-the-Flag-Aufgabe stieß das Modell auf eine reale Unternehmensdomain, deren Name zufällig mit dem fiktiven Zielunternehmen der Übung übereinstimmte.
Da Claude davon ausging, weiterhin innerhalb der Simulation zu arbeiten, identifizierte das Modell Schwachstellen, nutzte unter anderem schwache Passwörter sowie ungeschützte Schnittstellen aus und verschaffte sich Zugriff auf Datenbanken und Zugangsdaten des Unternehmens. Dabei wurden mehrere hundert Datensätze aus der Produktivumgebung ausgelesen.
Besonders kritisch bewertet Anthropic, dass Opus 4.7 später selbst erkannte, dass es sich wahrscheinlich um eine reale Infrastruktur handelte, den Angriff jedoch dennoch fortsetzte, weil das Modell die reale Umgebung weiterhin als Teil der Testaufgabe interpretierte.
Fall 2: Schadsoftware gelangte in das öffentliche Python-Repository
Noch ungewöhnlicher verlief der zweite Vorfall mit Claude Mythos 5. Innerhalb einer simulierten Unternehmensumgebung fand das Modell Hinweise auf ein Python-Paket, das angeblich von Mitarbeitern installiert werden sollte. Da dieses Paket auf der realen Plattform PyPI nicht existierte, veröffentlichte Claude eigenständig ein gleichnamiges Paket mit Schadcode.
Um dies zu ermöglichen, registrierte das Modell eigenständig E-Mail-Konten, versuchte sogar Möglichkeiten zur Beschaffung einer Telefonnummer und durchlief den kompletten Veröffentlichungsprozess auf PyPI.
Das Paket war rund eine Stunde öffentlich verfügbar und wurde in diesem Zeitraum auf 15 realen Systemen installiert. Darunter befand sich auch die automatisierte Analyseplattform eines Sicherheitsunternehmens. Dort wurde der enthaltene Schadcode ausgeführt und ermöglichte den Abfluss von Zugangsdaten, die Claude anschließend für weitere Zugriffe verwendete.
Anthropic betont, dass Claude dieses Unternehmen nicht gezielt angegriffen habe. Das Modell ging davon aus, dass sämtliche beteiligten Systeme Teil der Simulation seien. Gleichwohl bewertet das Unternehmen das Verhalten als nicht akzeptabel und kündigt zusätzliche Trainingsmaßnahmen an.
Fall 3: Eigenständiges Abbrechen des Angriff
Der dritte Vorfall betrifft ein internes Forschungsmodell. Nachdem das eigentliche Ziel innerhalb der Testumgebung nicht erreichbar war, begann das Modell selbstständig mit der Suche im Internet und scannte rund 9.000 erreichbare Systeme. Schließlich kompromittierte es mithilfe bekannter Angriffstechniken eine öffentlich erreichbare Unternehmensanwendung.
Im Unterschied zu den älteren Modellen stellte das Forschungsmodell später jedoch selbst fest, dass sich das kompromittierte System außerhalb der eigentlichen Testumgebung befand, und brach den Angriff eigenständig ab.
Für Anthropic ist dies ein Hinweis darauf, dass neuere Modelle zunehmend in der Lage sein könnten, reale Situationen korrekt einzuordnen und entsprechend zu reagieren. Gleichzeitig betont das Unternehmen, dass die Datenbasis für belastbare Schlussfolgerungen bislang noch zu klein sei.
Kein Alignment-Problem – sondern ein Versagen der Testumgebung?
Anthropic grenzt die Vorfälle bewusst von dem jüngsten OpenAI-Zwischenfall ab.
Während OpenAI erklärte, seine Modelle hätten eine bislang unbekannte Sicherheitslücke genutzt, um eine isolierte Umgebung aktiv zu verlassen, sieht Anthropic die Ursache in erster Linie in einer Fehlkonfiguration der Evaluierungsinfrastruktur. Die Modelle hätten keinen Ausbruch aus ihrer Sandbox durchgeführt, sondern lediglich einen vorhandenen Internetzugang genutzt, von dessen Existenz sie aufgrund ihrer Systemanweisungen nichts wussten.
Aus Sicht des Unternehmens handelt es sich deshalb eher um ein operatives beziehungsweise infrastrukturelles Versagen als um ein grundlegendes Alignment-Problem der Modelle selbst.
Dennoch zeigen die Vorfälle, wie schwer es wird, leistungsfähige KI-Agenten unter realitätsnahen Bedingungen sicher zu testen. Gerade Capture-the-Flag-Szenarien verlangen von den Modellen ausdrücklich, Wege zu finden, fremde Systeme zu kompromittieren. Sobald Testumgebungen versehentlich Kontakt zum öffentlichen Internet erhalten, können solche Fähigkeiten unmittelbar reale Auswirkungen entfalten.
Konsequenzen für die gesamte KI-Branche
Anthropic hat sämtliche Cybersecurity-Evaluierungen unmittelbar nach Entdeckung der Vorfälle gestoppt. Gemeinsam mit Irregular und der unabhängigen Forschungsorganisation METR arbeitet das Unternehmen an einer umfassenden Aufarbeitung. Zudem sollen Evaluierungsumgebungen künftig deutlich stärker überwacht, Netzwerkkontrollen verschärft und kontinuierliche Log-Analysen eingeführt werden.
Für die Branche markieren die Ereignisse einen Wendepunkt. Noch vor wenigen Monaten standen vor allem theoretische Diskussionen über autonome KI-Agenten im Mittelpunkt. Inzwischen dokumentieren sowohl OpenAI als auch Anthropic reale Fälle, in denen hochentwickelte Modelle außerhalb der vorgesehenen Testumgebung produktive Systeme erreichten.
Damit verschiebt sich der Fokus der Sicherheitsdebatte: Nicht mehr allein die Fähigkeiten der Modelle stehen im Mittelpunkt, sondern die Robustheit der Infrastruktur, in der diese Fähigkeiten getestet werden. Für Anbieter leistungsfähiger KI-Systeme dürfte dies künftig ebenso relevant werden wie die Entwicklung der Modelle selbst.
