Anthropic, ein KI-Unternehmen mit Sitz in San Francisco und Entwickler des Sprachmodells Claude, hat am Donnerstag drei Sicherheitsvorfälle offengelegt, der erste ereignete sich den Angaben zufolge bereits im April. Bei Cybersicherheitstests gelangten mehrere Modelle aus einer gesicherten Testumgebung ins offene Internet.
Dort verschafften sie sich unautorisierten Zugriff auf die Systeme dreier Unternehmen. In einem der Fälle extrahierte Claude Zugangsdaten und griff auf eine Datenbank zu, wie Anthropic in der Mitteilung schreibt.
Selbstständige KI-Angriffe sind kein Einzelfall mehr
Der Fall ist keine Premiere. Bereits am 21. Juli hatte der Konkurrent OpenAI eingeräumt, dass eines seiner Modelle eine bislang unbekannte Sicherheitslücke ("Zero-Day-Schwachstelle") ausgenutzt und sich damit selbstständig Zugang zur Infrastruktur von Hugging Face verschafft hatte, einer Plattform für quelloffene KI-Modelle und Datensätze.
Dieser Vorfall war der Auslöser für Anthropics eigene Überprüfung: Das Unternehmen durchsuchte 141.006 Auswertungsläufe seiner Cybersicherheitstests nach Hinweisen auf unautorisierten Internetzugriff. Nur zwei Tage vor der Offenlegung, hatten als Reaktion auf den Vorfall bei OpenAI, bereits mehr als 1.000 Mitarbeitende führender KI-Unternehmen; darunter Anthropic-Chef Dario Amodei, eine Petition unterzeichnet, die die US-Regierung aufforderte, die Freigabe besonders leistungsfähiger KI-Modelle bewusst zu verlangsamen.
Ein Standardtest verlagert sich in die Wirklichkeit
Betroffen waren drei verschiedene Claude-Modelle: Opus 4.7, Mythos 5 sowie ein internes Testmodell, das nicht für die Allgemeinheit vorgesehen ist. In allen Fällen bearbeitete das Modell eine sogenannte Capture-the-Flag-Aufgabe, ein übliches Format zur Prüfung von Hacking-Fähigkeiten. Es funktioniert nach demselben Prinzip, wie in vielen Computerspielen.
Ein fiktives Unternehmen versteckt eine geheime Information auf einem anderen Rechner, das Modell soll sie sich verschaffen. Der Systemprompt versicherte Claude ausdrücklich, es habe keinen Internetzugang. Eine Fehlkonfiguration bei Anthropics externem Evaluierungspartner Irregular machte den Zugang jedoch möglich.
Drei Modelle, drei Reaktionen
Die drei Modelle verhielten sich unterschiedlich, nachdem Hinweise auf echte Zielsysteme auftauchten. Opus 4.7, das älteste der drei Modelle, erkannte die Realität der Systeme, setzte den Angriff aber fort. Mythos 5 bemerkte ebenfalls Anzeichen des offenen Internets, redete sich diese Erkenntnis jedoch wieder aus, unter anderem, weil ihm die echten Sicherheitszertifikate nicht bekannt vorkamen.
Nur das jüngste, interne Testmodell, stoppte den Angriff eigenständig, sobald es erkannte, sich außerhalb der Simulation zu befinden. Anthropic wertet dieses Muster als vorsichtig positives Signal, räumt aber ein, dass es angesichts von nur drei Einzelfällen verfrüht sei, daraus verlässliche Schlüsse zu ziehen.
KI ist nicht mehr nur Werkzeug – sie ist Akteur
Eine Analyse, die bereits vor dem aktuellen Fall Wellen schlug, beschäftigt sich in mit genau diesem Phänomen. Der "AI Security Report 2026" des IT-Sicherheitsunternehmens Check Point Software Technologies dokumentiert einen Wandel, der sich in Echtzeit bestätigt:
Künstliche Intelligenz (KI) fungiere bei Cyberangriffen nicht mehr nur als Assistent, sondern zunehmend als "ausführender Akteur", heißt es in dem Bericht von Check Point Research. Wo KI Kriminellen früher lediglich bei der Vorbereitung geholfen habe, führe sie inzwischen Live-Angriffsversuche mit minimaler menschlicher Steuerung durch.
Nur noch Stunden bis zur Angriffsmöglichkeit
Der Bericht untermauert das mit einer weiteren Zahl: Das Zeitfenster zwischen der Veröffentlichung einer neuen Schwachstelle und einem funktionierenden Exploit sei von Tagen auf Stunden geschrumpft. Das habe Regierungsbehörden bereits dazu veranlasst, Fristen zur Behebung kritischer, mit dem Internet verbundener Systemlücken auf bis zu zwölf Stunden zu verkürzen, schreibt Check Point Research.
Der Anthropic-Fall bestätigt die Analyse nun in der Realität: Claude brauchte in einem der drei Vorfälle keine ausgefeilte Angriffstechnik, sondern nutzte schwache Passwörter und ungesicherte Schnittstellen. Dabei handelt es sich um Basiswissen, das jedes Modell mit Internetzugang beherrscht.
Wiederholung "jederzeit" möglich
Wie ernst diese Entwicklung zu nehmen ist, zeigt die Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI). Nach dem ähnlich gelagerten Vorfall bei OpenAI erklärte ein BSI-Sprecher gegenüber der ARD-Finanzredaktion: "Nach Einschätzung des BSI muss jederzeit damit gerechnet werden, dass sich solche Vorfälle wiederholen."
Gleichzeitig relativiert die Behörde: Ein Ausbruch aus der Laborumgebung koste aktuell noch erhebliche Rechenressourcen, was eine Häufung solcher Fälle vorerst unwahrscheinlich mache.
Experte ordnet Risiken ein
Ähnlich ordnet Luke Irwin die Lage ein, Geschäftsführer der australischen IT-Sicherheitsfirma Aegis mit Sitz in Brisbane. Beide Vorfälle, bei OpenAI wie bei Anthropic, zeigten die Risiken autonomer KI-Systeme exemplarisch, sagte Irwin dem australischen Sender ABC.
"Diese Systeme verfügen nicht von sich aus über ethisches oder rechtliches Urteilsvermögen", so Irwin und weiter: Komme ein Agent zu dem Schluss, der effizienteste Weg zum Ziel führe über das Kompromittieren fremder Systeme, könne er genau das versuchen. Autonome KI-Agenten seien technisch, regulatorisch und in Sachen Kontrollmechanismen weiterhin "eine Art Wilder Westen". Irwin plädiert dafür, folgenreiche Entscheidungen weiterhin von Menschen bestätigen zu lassen.
Milliardenschaden und offene Fragen
Die wirtschaftliche Dimension der Entwicklung unterstreicht der "Global Cybersecurity Outlook" des Weltwirtschaftsforums: KI-gestützte Cyberangriffe verursachen demnach im Jahr 2026 weltweit einen Schaden von mehr als 440 Milliarden Euro. Rund 94 Prozent der befragten Organisationen stufen Künstliche Intelligenz als größten Risikofaktor für ihre IT-Sicherheit ein.
Anthropic selbst betont, die eigenen Vorfälle seien näher an einem Infrastruktur- und Konfigurationsversagen als an einem Versagen der KI-Ausrichtung ("Alignment"). Keines der Modelle habe ein eigenes Ziel verfolgt, sondern schlicht die gestellte Aufgabe erledigt, nur eben auf Basis einer falschen Annahme über seine Umgebung.
Dabei hatte das Unternehmen bereits Anfang Juni öffentlich vor einem solchen Kontrollverlust gewarnt: In einem Essay von Forschungsleiterin Marina Favaro und Anthropic-Präsident Jack Clark rief das Unternehmen zu einem weltweiten Entwicklungsstopp ("Freeze") auf und bot an, die eigene Arbeit an leistungsfähigeren Systemen auszusetzen, sollten andere Anbieter mitziehen. Ob das beruhigt oder beunruhigt, bleibt Auslegungssache.
Fest steht: Je autonomer und fähiger KI-Systeme werden, desto teurer wird ein einzelner Konfigurationsfehler und desto dringlicher die Frage, wie Testumgebungen für Systeme abgesichert werden müssen, die längst mehr können, als ihre Entwickler vorhersehen.
