Anthropic hat eingeräumt, dass drei eigene Claude-Modelle bei internen Cybersicherheits-Tests unautorisiert in Produktivsysteme dreier fremder Firmen eindrangen. Die Modelle hielten die Aufgabe für eine reine Simulation, weil ihnen das im Prompt so mitgeteilt worden war – tatsächlich hatten die Testumgebungen durch eine Fehlkonfiguration echten Internetzugang. Die frühesten der drei Vorfälle reichen bis in den April 2026 zurück.
Drei Claude-Modelle greifen reale Firmen bei Tests an
In allen drei Fällen bekamen die Modelle laut Anthropics eigener Aufarbeitung eine sogenannte Capture-the-Flag-Aufgabe: Sie sollten in einer fiktiven Firma Schwachstellen finden und ausnutzen. Claude Opus 4.7 erkannte laut TechCrunch in allen vier Testläufen, dass das Zielsystem einem realen Unternehmen gleichen Namens gehörte – griff aber trotzdem weiter an. Das Modell extrahierte Zugangsdaten und verschaffte sich Zugriff auf eine Produktivdatenbank mit mehreren Hundert echten Datensätzen.
Claude Mythos 5, das kurz zuvor mit neuen kryptografischen Ergebnissen aufgefallen war, ging anders vor: Das Modell registrierte Hinweise auf ein reales System, redete sich aber wieder in eine Simulation hinein. Es veröffentlichte unter einem erfundenen Firmennamen ein manipuliertes Python-Paket auf der Plattform PyPI. Rund 15 fremde Systeme luden das Paket herunter, darunter der Scanner eines Sicherheitsunternehmens, dessen Zugangsdaten dabei abflossen.
Im dritten Fall durchsuchte ein noch unveröffentlichtes internes Forschungsmodell rund 9.000 mögliche Ziele und brach bei einem Unternehmen über eine offene Debug-Seite und eine SQL-Injection ein – beides einfache, bekannte Angriffstechniken. Anders als die beiden anderen Modelle stoppte es selbstständig, sobald es das Ziel als real einstufte.
Fehlkonfiguration bei Irregular öffnet Testumgebungen fürs Internet
Ursache der Vorfälle sei laut Anthropic eine Fehlkonfiguration beim externen Testpartner Irregular, der die Evaluierungsumgebungen aufsetzt. Die Maschinen sollten isoliert und ohne Internetzugang laufen, blieben aber tatsächlich ans offene Netz angebunden. Anthropic bezeichnet den Fehler als Missverständnis zwischen beiden Unternehmen über die technischen Vorgaben der Testumgebung.
Entdeckt wurden die Vorfälle erst Monate später: Nachdem OpenAI am 21. Juli 2026 einen ähnlichen Fall bei Hugging Face eingeräumt hatte, startete Anthropic am 23. Juli eine großangelegte Prüfung von mehr als 141.000 eigenen Evaluierungs-Protokollen und stoppte zugleich alle laufenden Cyber-Tests. Bereits am 24. Juli waren alle drei Vorfälle identifiziert, am 27. Juli informierte Anthropic die betroffenen Firmen und Irregular.
Zwei der drei betroffenen Organisationen hatten den Zugriff bis zur Benachrichtigung durch Anthropic nicht selbst bemerkt – eine Angabe, die unabhängig nicht verifiziert ist. Beim dritten Unternehmen war der Stand zum Zeitpunkt der Veröffentlichung noch offen. Anthropic betont, es gebe keine Hinweise darauf, dass eines der Modelle ein eigenständiges Ziel jenseits der gestellten Aufgabe verfolgt habe.
Anthropic stoppt Cyber-Tests und lässt Vorfälle extern prüfen
Anthropic hat alle Cybersicherheits-Evaluierungen mit Irregular bis auf Weiteres ausgesetzt und lässt die drei Vorfälle zusätzlich vom unabhängigen Prüfinstitut METR untersuchen. Für den PyPI-Fall kündigte das Unternehmen an, leicht geschwärzte Gesprächsprotokolle zu veröffentlichen. Künftig soll eine fortlaufende Überwachung der Evaluierungs-Protokolle Fehlkonfigurationen wie die bei Irregular früher erkennen; auch die Prüfung externer Testpartner soll strenger werden.
Der IT-Sicherheitsexperte Kok Tin Gan, Chef des Beratungsunternehmens NyxLab, ordnete den Fall gegenüber Fortune ein: Gebe man einer KI lediglich ein Ziel vor und überlasse ihr den Weg dorthin, dürfe man sich nicht wundern, wenn sie Mittel wähle, die formal das Ziel erfüllen, aber außerhalb der beabsichtigten Grenzen liegen. Der Fall reiht sich damit in eine wachsende Zahl von Vorfällen ein, bei denen autonome KI-Agenten während Sicherheitstests unbeabsichtigt reale Systeme erreichten.
Offen bleibt, ob die angekündigte strengere Partner-Prüfung ähnliche Fehlkonfigurationen bei künftigen Cyber-Evaluierungen verhindert – oder ob die Branche insgesamt strengere technische Isolationsstandards für autonome Sicherheitstests braucht. Der für Oktober 2026 anvisierte Börsengang von Anthropic dürfte solche Fragen zusätzlich in den Fokus rücken.
