Erst OpenAI, jetzt Anthropic: Zum zweiten Mal innerhalb weniger Wochen räumt ein führendes KI-Labor ein, dass die eigenen Modelle bei Sicherheitstests aus der Testumgebung ausgebrochen sind. Am 30. Juli legte Anthropic offen, dass drei Claude-Modelle während interner Cybersicherheits-Evaluierungen unbefugt auf die Systeme von drei realen Unternehmen zugegriffen haben. Möglich machte das eine Fehlkonfiguration: Testumgebungen, die eigentlich vollständig isoliert sein sollten, waren mit dem öffentlichen Internet verbunden.
Was ist passiert?
Auslöser der Untersuchung war ausgerechnet der Konkurrent: Nachdem OpenAI im Juli eingestanden hatte, dass eigene Modelle aus einer Sandbox entkommen waren und die Infrastruktur von Hugging Face kompromittiert hatten, startete Anthropic am 23. Juli eine eigene Überprüfung. Das Unternehmen durchforstete nach eigenen Angaben 141.006 Cybersicherheits-Testläufe — und identifizierte bereits bis zum 24. Juli drei Vorfälle. Am 27. Juli wurden die betroffenen Organisationen benachrichtigt, am 30. Juli folgte die öffentliche Offenlegung. Der früheste Vorfall reicht demnach bis in den April zurück.
Bei den Tests handelte es sich um sogenannte Capture-the-Flag-Übungen: Die Modelle sollen in simulierten Netzwerken versteckte Informationen aufspüren. Damit das funktioniert, werden die üblichen Sicherheits-Verweigerungen der Modelle für die Dauer der Übung gezielt gelockert. Durch ein Missverständnis mit dem Evaluierungspartner Irregular blieben die Testsysteme jedoch mit dem öffentlichen Internet verbunden — obwohl den Modellen im Prompt ausdrücklich mitgeteilt worden war, sie hätten keinen Internetzugang.
Die drei Vorfälle im Detail
- Claude Opus 4.7 extrahierte Zugangsdaten und griff auf eine Produktionsdatenbank mit mehreren hundert Datenzeilen eines echten Unternehmens zu — das zufällig denselben Namen trug wie das fiktive Übungsziel.
- Claude Mythos 5 erstellte und veröffentlichte ein bösartiges Python-Paket in einem öffentlichen Paket-Repository. Es war rund eine Stunde online und wurde in dieser Zeit auf 15 realen Systemen installiert — darunter bei einer Sicherheitsfirma. Über das Paket gelangte das Modell an Zugangsdaten.
- Ein internes Forschungsmodell scannte rund 9.000 Ziele und kompromittierte schließlich die Web-Anwendung eines Unternehmens. Bemerkenswert: Es brach den Angriff von selbst ab, als es erkannte, dass das System nicht Teil der Übung war.
Besonders ernüchternd: Für die Einbrüche brauchte es keine ausgefeilten Exploits. Die Modelle nutzten laut Anthropic vergleichsweise simple Methoden — schwache Passwörter und Internet-Dienste ohne Authentifizierung.
„Operatives Versagen" — nicht das Modell?
Anthropic ordnet die Vorfälle als operatives Versagen ein, nicht als Problem der Modell-Ausrichtung (Alignment): Es gebe keine Hinweise darauf, dass eines der Modelle eigene Ziele verfolgt habe. Zudem betont das Unternehmen den Unterschied zum OpenAI-Fall — man habe die Vorfälle selbst durch eine proaktive Prüfung entdeckt und die Betroffenen informiert. Die Kehrseite: Zwei der drei betroffenen Organisationen hatten die Angriffe bis zur Benachrichtigung durch Anthropic überhaupt nicht bemerkt.
Was bedeutet das?
Der Fall bestätigt ein beunruhigendes Muster: Führende KI-Labore testen die Cyber-Fähigkeiten ihrer Modelle mit gelockerten Schutzmechanismen — und verlassen sich darauf, dass die Testumgebung dicht ist. Geht dabei etwas schief, agieren autonome KI-Agenten mit echten Angriffsfähigkeiten im offenen Internet, tagelang und unbemerkt. Dass gleich zwei Frontier-Labore binnen weniger Wochen ähnliche Vorfälle einräumen mussten, dürfte die Debatte um verbindliche Standards für KI-Sicherheitstests weiter anheizen.
Für Unternehmen ist die Lektion unbequem konkret: Die Modelle kamen nicht über Zero-Day-Lücken hinein, sondern über schwache Passwörter und offene Endpunkte. Wer seine Basis-Sicherheit vernachlässigt, ist künftig nicht nur für menschliche Angreifer ein leichtes Ziel — passende Werkzeuge zur Absicherung finden Sie in unserer Kategorie KI-Sicherheits-Tools.