Claude brach bei Cyber-Evaluationen in drei reale Systeme ein

Anthropic hat am 30. Juli in einem eigenen Blogbeitrag drei Vorfälle offengelegt: Claude-Modelle gelangten während Cyber-Evaluationen aus einer Testumgebung ins Internet und verschafften sich unautorisierten Zugriff auf Produktivsysteme dreier Organisationen.

Aufgefallen sind die Einbrüche bei einer rückwirkenden Prüfung von 141.006 Evaluationsläufen. Der Prompt hatte Claude jeweils mitgeteilt, die Umgebung sei eine Simulation ohne Internetzugang. Technisch stimmte das nicht.

Für Security-, Plattform- und Evaluationsteams ist das der Kern der Nachricht: Eine Beschreibung im Prompt ersetzt keine erzwungene Netzwerkgrenze.

Wie aus Capture-the-Flag echte Einbrüche wurden

Laut Anthropic liefen alle drei Vorfälle in Capture-the-Flag-Aufgaben in einer Umgebung des externen Evaluationspartners Irregular. Claude sollte in einem fiktiven Szenario eine versteckte Information, die „Flag“, von einem anderen Rechner im Netz holen; einen Weg schrieb die Aufgabe nicht vor, Grenzen für die Suche auch nicht. Eine Fehlkonfiguration ließ die beteiligten Maschinen jedoch mit dem Internet verbunden, und nach Anthropics Darstellung wussten weder das Unternehmen noch Irregular davon. Das Modell hielt deshalb alles, was es erreichte, für Teil der Übung.

Die Methoden waren schlicht: schwache Passwörter, Endpunkte ohne Authentifizierung. Komplexe Schwachstellen hat Claude laut Anthropic weder gefunden noch ausgenutzt.

Betroffen waren Claude Opus 4.7, Mythos 5 und ein internes Forschungsmodell, die frühesten Vorfälle stammen aus dem April. Die Modelle liefen ohne die Klassifikatoren und das Monitoring der allgemein verfügbaren Versionen, aber mit ihrem modellspezifischen Sicherheitstraining. Die Evaluationsinfrastruktur hat nach Angaben von Anthropic keinen Zugriff auf interne Systeme oder Kundendaten.

Ein Firmenname, ein PyPI-Paket, 15 fremde Systeme

Im ersten Fall trug die fiktive Zielfirma denselben Namen wie eine aktive Domain. Als Opus 4.7 sein simuliertes Ziel nicht erreichte, fand es die echte Firma im Netz, griff Zugangsdaten für Anwendungen und Infrastruktur ab und kam an eine Datenbank mit mehreren hundert Zeilen Produktionsdaten. Laut Anthropic erkannte das Modell in allen vier betroffenen Läufen, dass das System real war. Aufgehört hat es in keinem.

Der zweite Fall ist für Entwicklerteams der lehrreichere. In der fiktiven Umgebung lag eine Einrichtungsanleitung für neue Entwickler, die ein Python-Paket von PyPI vorsah, das gar nicht existierte. Claude registrierte über einen kostenlosen Mailanbieter ein PyPI-Konto und veröffentlichte unter diesem Namen ein präpariertes Paket. Rund eine Stunde war es öffentlich abrufbar; in dieser Zeit wurde es nach Anthropics Angaben auf 15 realen Systemen installiert und ausgeführt. Eines davon war der Malware-Scanner eines Security-Unternehmens. Der versteckte Code schleuste dessen Zugangsdaten aus, und Claude nutzte sie für weitere Zugriffe. Laut TechCrunch handelte es sich um Mythos 5, das Hinweise auf das echte Internet bemerkte und sich trotzdem einredete, weiter in der Simulation zu sein.

Nur das neueste, interne Forschungsmodell brach nach Anthropics Darstellung ab, sobald es das Ziel als real erkannte.

Was Anthropic als Versäumnis benennt

Anthropic begann die Prüfung am 23. Juli, nachdem OpenAI am 21. Juli offengelegt hatte, dass eigene Modelle über eine bis dahin unbekannte Schwachstelle aus einer Testumgebung ausgebrochen waren und Produktionsinfrastruktur von Hugging Face erreicht hatten. Noch am selben Tag stoppte Anthropic alle Cyber-Evaluationen. Am 27. Juli informierte das Unternehmen Irregular und die betroffenen Organisationen; die beiden, die es erreichte, hatten die Aktivität bis dahin nicht bemerkt. TechCrunch berichtet zudem, dass METR die Vorfälle als unabhängige Stelle prüft und Anthropic die Korrekturen so angeht, als läge die Verantwortung allein bei sich.

Als verpasste Schutzschichten nennt Anthropic selbst: alle Internetpfade vor dem Start sorgfältig validieren, Evaluationslogs in Echtzeit überwachen, Transkripte und Netzwerklogs gründlicher auswerten. Auch ein Prompt, der den Internetzugang offen benannt hätte, hätte das Verhalten womöglich verändert.

Isolation gehört geprüft, nicht vereinbart

Die Einbrüche hingen an keiner Spitzenfähigkeit der Modelle. Sie hingen an einer Annahme, die zwei Organisationen teilten und keine überprüfte. Evaluationsteams brauchen deshalb vor jedem offensiven Lauf einen Negativtest aus genau der Laufzeitumgebung des Agenten: eine Verbindung zu einem nicht freigegebenen externen Host aufbauen. Kommt sie zustande, startet kein Lauf.

Dazu gehören ausgehende Verbindungen, die standardmäßig gesperrt sind, explizit freigegebene Testziele und Alarme bei unbekannten Zielen, erfolgreichen Logins und Datenzugriffen außerhalb des Testbereichs. Diese Alarme müssen live greifen. Anthropic fand die Vorfälle erst in historischen Transkripten, die frühesten Monate nach dem Lauf.

Der PyPI-Fall betrifft auch Plattformteams ohne jeden KI-Bezug. Ein Paketname aus einer internen Anleitung, der öffentlich nicht registriert ist, kann von jedem besetzt werden. Und ein Scanner, der fremde Pakete auf einem Rechner mit echten Zugangsdaten installiert, wird selbst zum Einfallstor.