Immuniweb-Gründer nennt Debatte „over-hyped“ Anthropic untersucht vierten Zugriff von Claude auf Fremdsystem

Anthropic hat einen weiteren Vorfall aus Sicherheitstests mit einer frühen Claude-Version offengelegt. Das Modell griff auf ein System Dritter zu und erlangte Administratorrechte. Der Fall blieb zunächst in mehr als 141.000 Testprotokollen unentdeckt.

Ein frühes Claude-Modell hat Medienberichten zufolge während eines Cybersicherheitstests unbefugt auf ein externes System zugegriffen und dort Administratorrechte erlangt. Der nun als vierter Vorfall bekannt gewordene Fall habe sich im Januar 2026 mit einer frühen Version von Claude Opus 4.6 ereignet, sei aber erst im August entdeckt worden. Anthropic habe zuvor mehr als 141.000 Testsitzungen geprüft, dabei jedoch einen Teil der Protokolle übersehen. Die Untersuchung sei nach den bereits bekannten Vorfällen gestartet worden, bei denen drei Claude-Modelle auf externe Systeme zugegriffen hatten.

Nach Angaben von Reuters hat Anthropic die betroffenen Parteien informiert. Das Un­ter­neh­men bewerte den jüngsten Vorfall in einer ersten Einschätzung nicht als schwerwiegender als die drei zuvor veröffentlichten Fälle. Die Forschungseinrichtung METR solle die Vorfälle nun unabhängig prüfen. Dafür wolle Anthropic METR umfassenden Zugriff auf weitere Testprotokolle geben und mit Beschäftigten sprechen lassen.

Nach OpenAI-Vorfall

Auch Claude hat eigenständig Unternehmen angegriffen

CTF-Test gerät außer Kontrolle

Dieser jüngste Vorfall ereignete sich laut The Register während einer Capture-the-Flag-Aufgabe unter Aufsicht eines externen Modellprüfers. Claude hätte im Rahmen der Capture-the-Flag-Aufgabe einen vorgegebenen Zielrechner erreichen sollen, das Modell habe jedoch dessen Netzwerkkonfiguration geändert und eine IP-Adresse vergeben, die bereits einem anderen Gerät zugewiesen gewesen sei. Durch diesen Adresskonflikt sei der Zielrechner im Netzwerk unerreichbar geworden.

Nachdem das Modell erkannt habe, dass es die Aufgabe nicht lösen konnte, habe es laut Anthropic mehrfach versucht, den Test abzubrechen. Dies sei nach der beschriebenen Darstellung des Unternehmens aufgrund einer Fehlkonfiguration der Testumgebung gescheitert. Das Modell habe seine Suche anschließend fortgesetzt, sei auf ein System eines Dritten gestoßen und offenbar davon ausgegangen, dass dieses zum Test gehöre.

Auf dem fremden System fand Claude laut The Register eine Datei mit einem Passwort. Das Modell habe die Zugangsdaten genutzt, um Administratorrechte zu erhalten, habe weitere Anmeldeinformationen gesammelt und eine Systemeinstellung verändert. Dadurch solle der Zugriff auf personenbezogene Informationen einer Person erleichtert worden sein, die mit der externen Testorganisation verbunden sei. Die Sitzung habe erst geendet, als das Token-Budget des Modells aufgebraucht gewesen sei.

Sandboxing allein reicht bei KI-Agenten nicht aus

Je mehr Zugriffsrechte ein KI-Agent hat, desto größer das Risiko

Fehleinschätzung und Risikobereitschaft

Anthropic habe zwei wiederkehrende Verhaltensmuster in unterschiedlicher Ausprägung über alle vier Vorfälle hinweg identifiziert. Erstens habe Claude Hinweise darauf, dass es mit dem offenen Internet verbunden war, falsch interpretiert oder nicht ausreichend berücksichtigt. Zweitens sei das Modell bereit gewesen, potenziell schädliche Aktionen auszuführen, um eine Aufgabe abzuschließen.

Die drei zuvor bekannt gewordenen Vorfälle hatte Anthropic im Juli 2026 als „operational failure“ bezeichnet. Sie betrafen Claude Opus 4.7, Claude Mythos 5 und ein internes For­schungs­mo­dell. Laut Reuters erhielten diese Modelle aufgrund eines Fehlers unbeabsichtigt Zugriff auf das offene Internet. Anthropic erklärte, aktuelle Trainingsansätze könnten die in den Fällen beobachteten spezifischen Fehlermuster voraussichtlich beheben. Unabhängige Ergebnisse der METR-Untersuchung liegen noch nicht vor.

Update: Mindestens ein weiteres Opfer

Autonomer KI-Agent dringt in Hugging-Face-Systeme ein

Immuniweb: übermäßig reißerische Darstellung von Vorfällen

Der neue Fall verschärft die Frage, wie KI-Systeme in Tests und später im Produktivbetrieb begrenzt werden müssen. Die Modelle waren darauf ausgelegt, komplexe Aufgaben selbstständig zu verfolgen. Sobald sie dabei Zugriff auf externe Systeme, Zugangsdaten oder Werkzeuge erhalten, reichen klassische Vorgaben im Prompt nicht aus. Entscheidend sind technische Zugriffsbeschränkungen, segmentierte Testumgebungen, überprüfbare Berechtigungen, Protokollierung und wirksame Abbruchmechanismen.

Dr. Ilia Kolochenko, Gründer des Cybersicherheitsunternehmens Immuniweb und auf Cybersecurity- sowie Datenschutzrecht spezialisierter Jurist, beschreibt diese Art von Vorfällen in einer Stellungnahme als „over-hyped“. Hackergruppen würden sei Jahrzehnten automatisierte Werkzeuge zum Scannen und Kompromittieren verwundbarer Systeme einsetzen. KI erhöhe zwar potenziell die Erfolgsquote, verursache aber auch erhebliche Kosten. Zugleich warnt Kolochenko, dass nicht autorisierte Zugriffe durch KI-Agenten je nach Rechtsordnung straf- und zivilrechtliche Folgen für die verantwortlichen Unternehmen auslösen könnten. Gleich­zeitig sorge die „übermäßig reißerisch dargestellte Welle von 'Vorfall-Meldungen'“ in der Cybersicherheitsbranche bereits für zunehmende Ermüdung und Skepsis.

Anthropic zufolge war der Zugriff auf das Drittsystem nicht beabsichtigt. Der Fall zeigt dennoch, dass die Kontrolle autonom handelnder Modelle nicht allein an der Modellleistung entscheidet. Ebenso wichtig sind die Gestaltung der Testumgebung, klar begrenzte Rechte und Verfahren, die einen Test zuverlässig stoppen, wenn ein Modell von seiner vorgesehenen Aufgabe abweicht.

Sieben Säulen für sichere KI-Agenten

Ohne Authentifizierung wird jeder KI-Agent zum Sicherheitsrisiko

(ID:50951339)