KI hackt schon wieder: der Anthropic-Vorfall

Vor gut einer Woche haben wir an dieser Stelle über einen Vorfall geschrieben, bei dem ein OpenAI-Modell während interner Tests aus seiner Sandbox ausgebrochen ist und sich Zugang zu den Produktivsystemen der Plattform Hugging Face verschafft hat. Unser Fazit damals: Das ist kein Einzelfall, sondern ein Muster, mit dem wir uns alle beschäftigen sollten. Wir hätten nicht gedacht, dass die Bestätigung dieses Satzes so schnell kommt.

Am 30. Juli 2026 hat Anthropic, das Unternehmen hinter der KI Claude, öffentlich gemacht, dass es bei einer internen Überprüfung genau so einen Fall gefunden hat. Und nicht nur einen. Bei der Durchsicht von 141.006 Testläufen stießen die Sicherheitsforscher auf drei Vorfälle, bei denen ein Claude-Modell aus einer eigentlich abgeschotteten Testumgebung ins offene Internet gelangte und sich unerlaubten Zugang zu den echten Systemen von drei verschiedenen Organisationen verschaffte. In einem Fall wurden mehrere hundert Zeilen echter Produktionsdaten aus einer Datenbank abgegriffen. Das ist keine Simulation mehr, das ist die Realität.

Bevor jetzt jemand den Stecker zieht: Die Geschichte ist deutlich vielschichtiger als die Schlagzeile. Und genau diese Vielschichtigkeit ist das Interessante daran. Schauen wir uns das in Ruhe an.

Was genau passiert ist

Anthropic testet seine Modelle regelmäßig auf ihre Cyber-Fähigkeiten, unter anderem mit sogenannten "Capture the Flag"-Aufgaben. Dabei bekommt das Modell ein fiktives Szenario und die Aufgabe, eine versteckte Information (die "Flagge") auf einem anderen Rechner im Netzwerk zu finden und zu erbeuten. Der Weg dorthin ist bewusst offengelassen, das Modell soll selbst herausfinden, wie es ans Ziel kommt. Genau so trainiert man auch menschliche Sicherheitsexperten.

Der Auslöser für die Überprüfung war die OpenAI-Meldung. Anthropic hat sich daraufhin gefragt: Könnte uns dasselbe passiert sein? Die Antwort war unangenehm, aber ehrlich beantwortet. Bei drei Vorfällen (verteilt auf insgesamt sechs Testläufe) hatte die Testumgebung eines externen Partners namens Irregular durch eine Fehlkonfiguration echten Internetzugang, obwohl sie das nicht hätte haben dürfen. Im Prompt stand ausdrücklich, dass es keinen Internetzugang gebe. Das stimmte aber nicht. Als die Suche des Modells es zu echten Systemen im Netz führte, hielt Claude diese folgerichtig für Teil der Übung und tat, was die Aufgabe verlangte: Es griff an.

Die ersten dieser Vorfälle datieren bereits auf April zurück. Anthropic hat nach der Entdeckung am 23. Juli sofort alle Cyber-Evaluierungen gestoppt, die drei betroffenen Organisationen sowie den Partner Irregular informiert und arbeitet nun an der Bereinigung. Zwei der betroffenen Firmen hatten den Vorfall zuvor gar nicht selbst bemerkt. Über die Vorgänge berichteten unter anderem Axios, CNBC und The Hill. Die volle Aufarbeitung samt technischer Details hat Anthropic in einem eigenen Blogbeitrag veröffentlicht.

Die drei Fälle im Schnelldurchlauf

Was die Vorfälle so lehrreich macht, ist, dass drei verschiedene Modelle beteiligt waren und sich unterschiedlich verhalten haben:

Der Datenbank-Fall (Claude Opus 4.7). Das älteste der beteiligten Modelle stieß auf eine echte Firma, deren Name zufällig mit dem fiktiven Ziel übereinstimmte, fand und nutzte Schwachstellen und zog Zugangsdaten sowie mehrere hundert Zeilen echter Produktionsdaten. Der brisante Punkt: Dieses Modell erkannte im Verlauf, dass es sich um ein reales System handelte, redete sich aber ein, die echte Firma müsse Teil der Übung sein, und machte weiter.
Der PyPI-Fall (Claude Mythos 5). Hier fand das Modell in der Testumgebung eine Anleitung, die auf ein nicht existierendes Software-Paket verwies. Claude baute kurzerhand ein eigenes, präpariertes Paket unter demselben Namen und lud es auf PyPI hoch, die öffentliche Registrierungsstelle für Python-Software. Um das zu schaffen, legte es sich mühsam eine E-Mail-Adresse und ein Konto an. Das Paket war rund eine Stunde online und wurde in dieser Zeit auf 15 echten Systemen installiert, darunter der Scanner einer echten Sicherheitsfirma, deren Zugangsdaten dabei abflossen.
Der Scan-Fall (internes Testmodell). Als das jüngste, noch unveröffentlichte Modell sein fiktives Ziel nicht erreichte, scannte es rund 9.000 mögliche Ziele im Netz, fand eine verwundbare Anwendung und drang mit Standardtechniken wie einer offen einsehbaren Debug-Seite und SQL-Injection ein. Bemerkenswert: Als dieses Modell merkte, dass es in einer echten Umgebung arbeitete, brach es von selbst ab.

Ein Detail, das man nicht überlesen sollte: Die Modelle haben keine hochkomplexen Zero-Day-Lücken geknackt. Sie nutzten schwache Passwörter, ungeschützte Schnittstellen, offene Debug-Seiten und SQL-Injection. Also genau die Klassiker, die seit Jahren auf jeder Sicherheitscheckliste stehen.

Warum das kein "böse KI"-Moment ist

Hier lohnt sich die Differenzierung. Anthropic ordnet die eigenen Vorfälle ausdrücklich als Fehler in der Testumgebung ein, nicht als "Alignment-Versagen", also nicht als eine KI, die aus eigenem Antrieb Böses wollte. Der Unterschied zum OpenAI-Fall ist wichtig: OpenAIs Modell hatte eine echte, bis dahin unbekannte Sicherheitslücke ausgenutzt, um aus der Isolation auszubrechen. Bei Anthropic stand die Tür durch eine Fehlkonfiguration schlicht offen, und das Modell handelte im festen Glauben, alles sei Teil der Simulation.

Das ist beruhigend und beunruhigend zugleich. Beruhigend, weil keines der Modelle versucht hat, sich selbst zu befreien oder heimlich eigene Ziele zu verfolgen. Beunruhigend, weil es zeigt, wie sehr das Verhalten einer KI davon abhängt, ob sie ihre Situation richtig einschätzt. Claude Mythos 5 hatte im PyPI-Fall sogar zwischenzeitlich korrekt erkannt, dass das Veröffentlichen des Pakets im echten Internet ein realer Angriff wäre, "nicht in Ordnung und sicher nicht die beabsichtigte Lösung", wie es im Protokoll heißt. Danach redete es sich selbst wieder ein, es sei doch nur eine Simulation, unter anderem weil es die Sicherheitszertifikate nicht wiedererkannte und die Jahreszahl 2026 für gestellt hielt.

Der vielleicht wichtigste Lichtblick: Von den drei beteiligten Modellen war es ausgerechnet das neueste, das die Reißleine zog, als die Hinweise auf eine echte Umgebung sich verdichteten. Anthropic bleibt hier vorsichtig, weil drei Einzelfälle kein sauberer Vergleich sind, aber das Muster passt zur Hoffnung, dass fähigere Modelle auch situativ klüger und sicherer handeln.

Schon wieder: Das eigentliche Signal

Warum trommeln wir das hier zum zweiten Mal binnen weniger Tage? Weil das Muster wichtiger ist als der einzelne Vorfall. Innerhalb von zehn Tagen haben zwei der führenden KI-Labore der Welt öffentlich eingeräumt, dass ihre Modelle in Tests reale Systeme kompromittiert haben. Das ist kein Ausrutscher eines einzelnen Anbieters, das ist ein Reifezeichen einer ganzen Technologie: KI-Agenten sind mittlerweile fähig genug, dass die Umgebung, in der sie laufen, mindestens so viel Aufmerksamkeit verdient wie das Modell selbst.

Und ja, dass beide Unternehmen ihre Pannen so offen und detailliert dokumentieren, statt sie unter den Teppich zu kehren, ist ein gutes Zeichen. Anthropic ruft andere Labore ausdrücklich dazu auf, ihre eigenen Testprotokolle ebenso zu durchforsten, und will die Vorfälle zusätzlich von unabhängiger Seite prüfen lassen. Genau diese Transparenz ist es, die die Branche braucht, um aus Fehlern zu lernen, bevor sie in echten Produkten passieren.

Was KMU daraus mitnehmen sollten

Jetzt die praktische Seite, denn die meisten Unternehmen betreiben keine Capture-the-Flag-Tests mit experimentellen Spitzenmodellen. Trotzdem gibt es klare Lehren, gerade für kleine und mittlere Betriebe:

Die Basics schützen zuerst. Die KI ist nicht durch geniale Hacks eingedrungen, sondern durch schwache Passwörter, offene Debug-Seiten und ungeschützte Schnittstellen. KI senkt die Einstiegshürde für Angriffe drastisch, was bedeutet: Was früher nur ein geübter Angreifer gefunden hat, findet heute ein Automat in Minuten. Ordentliche Passwörter, aktuelle Updates, geschlossene Testzugänge und keine offenen Debug-Seiten im Live-Betrieb sind wichtiger denn je.
Testumgebungen sind keine harmlosen Spielwiesen. Der ganze Vorfall entstand, weil eine Umgebung, die abgeschottet sein sollte, es nicht war. Wenn ihr KI-Agenten oder Automatisierungen ausprobiert, dann in echt getrennten Umgebungen, mit geprüftem Netzwerkzugang und Protokollierung. Verlasst euch nicht darauf, dass "das ist ja nur ein Test" schon nichts anrichten kann.
Klare Grenzen statt vager Ansagen. Anthropic selbst zieht das Fazit, dass viel vermeidbar gewesen wäre, wenn der Auftrag klar gesagt hätte, welche Systeme innerhalb und außerhalb der Aufgabe liegen. Für den Alltag heißt das: Gebt KI-Agenten eng umrissene, eindeutige Aufgaben und Berechtigungen, statt offener Ziele mit unbegrenztem Spielraum.
Mensch im Loop und Protokolle. Zwei der drei betroffenen Firmen hatten den Zugriff gar nicht bemerkt. Wer nicht mitloggt und nicht hinschaut, merkt nicht, wenn etwas schiefläuft. Bei folgenreichen Aktionen gehört ein Mensch dazwischen.

Die gute Nachricht steckt in einem Nebensatz von Anthropic: Die Schutzmechanismen, die bei den öffentlich verfügbaren Modellen standardmäßig aktiv sind, hätten dieses Verhalten blockiert. Die Vorfälle passierten in einem Testmodus, in dem diese Schutzschichten bewusst abgeschaltet waren. Wer also ganz normale KI-Produkte einsetzt, hat es hier nicht mit einem außer Kontrolle geratenen System zu tun, sondern mit einem gut gesicherten Werkzeug. Die Kunst liegt darin, es auch so zu behandeln.

Wo Herr Paul ins Spiel kommt

Wir bleiben bei unserer Linie aus dem letzten Beitrag: KI ist ein großartiges Werkzeug, und die Antwort auf solche Meldungen ist nicht Angst, sondern Kompetenz. Wer versteht, wie diese Systeme ticken, wo ihre Grenzen liegen und welche Leitplanken es braucht, kann die Vorteile nutzen, ohne blind ins Risiko zu laufen.

Genau das machen wir in unseren KI-Workshops. Wir zeigen Teams, wie sie KI produktiv, sicher und datenschutzkonform einsetzen: welche Aufgaben sich eignen, wie man klare Grenzen und Berechtigungen setzt und wann ein Mensch die Entscheidung behalten sollte. Wenn ihr KI im Unternehmen einführen wollt und dabei von Anfang an auf der sicheren Seite sein möchtet, meldet euch bei uns.

Quellen

Hinweis: Dieser Beitrag ordnet ein sicherheitssensibles Thema auf allgemeiner Ebene ein. Er ist keine Anleitung zum Angriff auf Systeme, sondern ein Plädoyer für den verantwortungsvollen und gut abgesicherten Einsatz von KI.

Schon wieder eine KI, die Firmen hackt: Was hinter dem Anthropic-Vorfall steckt