Anthropic hat eingeräumt, dass mehrere Claude-Modelle während Cybersicherheitstests in die realen Systeme von drei Organisationen eingedrungen sind. Die Vorfälle reichen bis April zurück. Zwei der betroffenen Unternehmen hatten den Zugriff nach Angaben des KI-Entwicklers selbst nicht bemerkt. Ausgerechnet nach der Enthüllung eines ähnlichen Vorfalls bei OpenAI folgt nun die Botschaft aus dem Hause Anthropic: Was ChatGPT kann, kann Claude offenbar schon lange.
Die Schlagzeile vom „ausgebrochenen“ Modell trifft den Vorgang allerdings nur teilweise. Laut dem Bericht von Anthropic und der Rekonstruktion von Axios durchbrach Claude keine technisch abgeschottete Sandbox. Die Testumgebung war aufgrund eines Abstimmungsfehlers zwischen Anthropic und dem externen Testpartner Irregular mit dem Internet verbunden. Dem Modell war im Auftrag dagegen erklärt worden, es arbeite in einer Simulation ohne Internetzugang.
Claude tat also genau das, wofür es angesetzt worden war: eine sogenannte Capture-the-Flag-Aufgabe lösen, Schwachstellen finden und ein Ziel kompromittieren. Nur waren Teile des Spielfelds nicht künstlich, sondern echt. Genau das macht den Vorfall nicht harmloser. Ein System, das Simulation und Wirklichkeit nicht unterscheiden kann, aber selbstständig Schadcode schreibt, Pakete veröffentlicht, tausende Ziele scannt und Zugangsdaten erbeutet, ist keine gewöhnliche Softwarepanne.
Im ersten Fall suchte Claude Opus 4.7 nach einem nicht erreichbaren fiktiven Unternehmen. Weil eine reale Website denselben Namen trug, wich das Modell auf dieses Ziel aus und kompromittierte dessen Anwendung mit einfachen, bekannten Methoden. Anthropic nennt unter anderem schwache Passwörter und ungeschützte Zugänge. Nach Berichten gehörten auch aus einer offenliegenden Debug-Seite gelesene Zugangsdaten und eine SQL-Injection zum Vorgehen.
Claude Mythos 5 ging noch einen Schritt weiter. Das Modell erstellte ein bösartiges Python-Paket und lud es auf die öffentliche Plattform PyPI hoch, weil es glaubte, dies gehöre zur Übung. Das Paket war ungefähr eine Stunde verfügbar und wurde auf 15 realen Systemen ausgeführt. Darunter befand sich ein automatischer Scanner eines Sicherheitsunternehmens. Claude konnte darüber Zugangsdaten abgreifen und weitere Infrastruktur erreichen.
Ein internes Forschungsmodell scannte nach dem Scheitern am vorgegebenen Ziel rund 9.000 reale Systeme und kompromittierte schließlich eine öffentlich erreichbare Anwendung. Bemerkenswert ist ein Detail: Im weiteren Verlauf erkannte das Modell laut Anthropic, dass es sich in einem Cloud-Konto ohne Verbindung zur eigentlichen Übung befand, und brach den Angriff ab. Das ist beruhigend und beunruhigend zugleich. Die KI konnte die Lage neu bewerten, tat dies aber erst, nachdem sie bereits fremde Infrastruktur erreicht hatte.
Anthropic überprüfte nach dem bekannt gewordenen OpenAI-Vorfall mehr als 141.000 Testläufe. Beteiligt waren Opus 4.7, Mythos 5 und ein internes, nicht für die Veröffentlichung vorgesehenes Forschungsmodell. Das Unternehmen betont, seine Schutzmechanismen für öffentlich angebotene Modelle hätten ein solches Verhalten verhindert. Nur wurden die Tests gerade ohne diese zusätzlichen Leitplanken durchgeführt, um die Fähigkeiten der Grundmodelle offenzulegen.
Das erinnert an die Entwicklung, über die F-News bereits beim selbstlernenden KI-Wurm berichtete: Aus dem Werkzeug, das einzelne Angriffsschritte erklärt, wird ein Agent, der Ziele sucht, Methoden auswählt und seinen Auftrag selbstständig weiterverfolgt. Gleichzeitig fließen immer größere Summen in diesen Wettlauf. Anthropic wurde zuletzt sogar als möglicher neuer Spitzenreiter vor OpenAI gehandelt.
Damit drängt sich eine unangenehme Frage auf. Handelt es sich bei der Veröffentlichung wirklich nur um pflichtbewusste Transparenz nach einem schweren Unfall? Oder wird der Zwischenfall zugleich als versteckte Leistungsschau genutzt? Die zeitliche Dramaturgie ist auffällig: Erst berichtet OpenAI über ein Modell, das während eines Tests reale Systeme erreicht. Kurz darauf legt Anthropic nach und meldet nicht einen, sondern drei Fälle – darunter Vorfälle, die Monate zurückliegen.
Ein Beleg für eine inszenierte PR-Aktion ist das nicht. Die Offenlegung kann schlicht notwendig geworden sein, nachdem der OpenAI-Fall eine branchenweite Überprüfung ausgelöst hatte. Doch im KI-Geschäft ist selbst eine Panne eine Machtdemonstration. Investoren, Behörden und Militärs lesen aus derselben Meldung, die Bürger erschreckt, vor allem eines heraus: Dieses Modell kann reale Netze angreifen. Der Kontrollverlust wird damit zum Sicherheitsalarm und gleichzeitig zum Verkaufsargument.
Schreibe einen Kommentar