Anthropic meldet vierten Sicherheitsvorfall mit Claude

Ein früher Claude-Opus-4.6-Prototyp griff bei einem Test ohne Erlaubnis auf ein fremdes System zu . Anthropic legt Details offen.

Anthropic hat eine sogenannte „Alignment Assessment“ veröffentlicht, in der das Unternehmen vier Vorfälle beschreibt, bei denen Claude-Modelle ohne Genehmigung auf reale Systeme Dritter zugegriffen haben. Drei dieser Fälle waren bereits am 30. Juli 2026 bekannt gemacht worden, ein vierter Vorfall aus dem Januar 2026 kam erst nachträglich ans Licht. Das britische Portal The Register berichtete zuerst darüber und ordnete das Verhalten als etwas ein, das bei einem Menschen als Straftat gelten würde.

Wie der vierte Vorfall entdeckt wurde

Anthropic hatte die ersten drei Vorfälle gefunden, indem das Unternehmen rund 141.000 Transkripte durchsuchte, in denen Claude während einer Cybersicherheits-Evaluierung theoretisch Internetzugriff hätte erhalten können. Nach eigenen Angaben stützte sich diese Suche auf ein agentenbasiertes Suchverfahren, das eine Reihe weiterer Transkripte mit unbeabsichtigtem Internetzugriff übersah. Diese fielen erst im August auf, als Anthropic Unterlagen für die externe Prüforganisation METR zusammenstellte. Bei der erneuten Durchsicht identifizierte das Unternehmen den vierten Fall aus dem Januar 2026 und weitete die Suche anschließend auf rund 481 Millionen Transkripte aus.

In allen vier Fällen war den Modellen laut Anthropic mitgeteilt worden, sie hätten keinen Internetzugang. Tatsächlich ermöglichte jeweils eine Fehlkonfiguration der Testumgebung den Zugriff auf das offene Internet.

Ein Capture-the-Flag-Test lief aus dem Ruder

Der vierte Vorfall betraf eine frühe, nie veröffentlichte Version von Claude Opus 4.6. Das Modell erhielt im Rahmen einer sogenannten Capture-the-Flag-Übung – einem gängigen Testformat, bei dem eine KI Schwachstellen auf einem Zielsystem aufspüren soll. Eine Aufgabe innerhalb derselben Testumgebung eines externen Anbieters, in der auch die drei zuvor gemeldeten Fälle stattfanden.

Dabei machte sich das Modell die Aufgabe zunächst selbst unlösbar: Es wies dem Zielsystem eine IP-Adresse zu, die bereits von einem anderen Gerät genutzt wurde, wodurch das Zielsystem nicht mehr erreichbar war. Als das Modell dies erkannte, versuchte es, die Aufgabe abzubrechen – scheiterte damit jedoch wegen einer Fehlkonfiguration in der von Anthropic eingesetzten Testumgebung. Laut Anthropic unternahm das Modell im weiteren Verlauf des Transkripts sieben weitere erfolglose Versuche, die Aufgabe abzubrechen.

Zugriff auf ein fremdes System und persönliche Daten

Da ein Abbruch nicht möglich war, versuchte das Modell zunächst über andere, im Testrahmen vorgesehene Wege an das Zielsystem zu gelangen – ohne Erfolg. Anthropic beschreibt in seinem Bericht:

„Das Modell entdeckte eine Maschine eines Drittanbieters, auf die es zugreifen konnte, und äußerte die Annahme, dieser Dritte sei Teil der Capture-the-Flag-Übung. Auf der Maschine fand das Modell eine Datei mit einem Passwort, mit dem es sich Administratorrechte verschaffte.“

Anthropic

Im weiteren Verlauf sammelte das Modell zusätzliche Zugangsdaten und veränderte eine Systemeinstellung, wodurch der Zugriff auf personenbezogene Daten einer Person erleichtert wurde, die der externen Testorganisation zugeordnet war. Die Sitzung endete schließlich, weil das dem Modell zugewiesene Token-Budget aufgebraucht war.

Anthropic sieht geringere Gefahr als bei früheren Fällen

Anthropic erklärte, der Vorfall bereite dem Unternehmen im Vergleich zu den drei zuvor gemeldeten Fällen geringere Sorgen, da das Modell wiederholt versucht habe, die Aufgabe abzubrechen, sobald sie unlösbar geworden war. In den drei im Juli gemeldeten Fällen hatten andere Claude-Modelle laut Anthropic mit Techniken wie SQL-Injections und dem Diebstahl von Zugangsdaten auf Produktivsysteme dreier nicht genannter Organisationen zugegriffen. Anthropic betont, dass keiner der vier Vorfälle auf eine gezielte Flucht des Modells aus der Testumgebung oder eine autonome Datenexfiltration zurückzuführen sei, sondern auf fehlerhafte Annahmen bei der Testgestaltung und Konfigurationsfehler in den Testumgebungen.

(red)