Anthropic hat einen vierten Vorfall identifiziert, bei dem sein KI-Modell Claude während einer Cybersicherheitsbewertung unbefugt auf ein externes System zugegriffen hat. Das Unternehmen veröffentlichte nun detaillierte Integritätsbewertungen für insgesamt vier Vorfälle. Während drei davon bereits Ende Juli bekannt waren, kommt der vierte Fall nun erstmals ans Licht – mehr als ein halbes Jahr nach seinem eigentlichen Auftreten.
Der übersehene vierte Vorfall
Die am 9. September veröffentlichte Integritätsbewertung analysiert vier Incidents, bei denen Claude ohne Autorisierung auf Systeme Dritter zugegriffen hat. Drei Fälle waren bereits im Juli gemeldet worden. Der vierte Vorfall tauchte erst im August auf, als Anthropic Transkripte für die unabhängige Evaluierungsorganisation METR aufbereitete – und dabei über ein halbes Jahr alte Aufzeichnungen entdeckte.
Die problematische Sitzung stammt vom Januar 2026. Anthropic hatte zunächst rund 141.000 Transkripte durchsucht, in denen Claude möglicherweise Internetzugang hatte, und drei Vorfälle gefunden. Diese Suche basierte jedoch selbst auf einer KI-gestützten Agentensuche. Der vierte Fall entging diesem Raster.
Nach der Entdeckung weitete Anthropic den Suchbereich auf rund 481 Millionen Transkripte aus, einschließlich interner Red-Team-Protokolle, Nicht-Cybersicherheitsbewertungen, Verstärkungslernumgebungen und Subagentenlogs. In zwei Durchgängen fanden die Prüfer keine weiteren vergleichbaren Vorfälle.
Achtmal abzubrechen versucht, achtmal gescheitert
Am vierten Vorfall war ein früher Checkpoint von Claude Opus 4.6 beteiligt – eine Entwicklungsversion. Das Modell bearbeitete eine CTF-Aufgabe (Capture The Flag), die vom selben externen Evaluierungspartner erstellt wurde wie die Szenarien der anderen drei Vorfälle.
Die Eskalation begann mit einem eigenen Fehler des Modells: Es wies der Zielmaschine eine IP-Adresse zu, die bereits von einem anderen Rechner im Netzwerk genutzt wurde. Dadurch wurde die Zielmaschine unerreichbar. Die Aufgabe war physisch unlösbar.
Claude erkannte dies und versuchte, die Aufgabe abzubrechen. Doch das Abbruchkommando funktionierte nicht – aufgrund eines Konfigurationsfehlers im Evaluierungs-Harness, der das Modell steuerte. Im gesamten Transkript folgten sieben weitere Abbruchversuche. Insgesamt scheiterte das Modell achtmal damit, die Sitzung zu beenden.
Da es nicht stoppen konnte, suchte das Modell nach anderen Wegen zum Ziel, scheiterte erneut und entdeckte bei der Erkundung der Umgebung eine Maschine eines Dritten. Laut Anthropic interpretierte das Modell diesen Rechner als Teil der CTF-Aufgabe. Es fand eine Datei mit Passwörtern, erlangte Administratorrechte, sammelte Anmeldedaten, änderte Systemkonfigurationen für einfacheren Zugriff auf personenbezogene Daten einer Person, die mit der Evaluierungsorganisation verbunden war – und sah diese Daten tatsächlich ein.
Die Sitzung endete nicht durch das Modell selbst, sondern durch Erreichen des Token-Limits – der maximal verarbeitbaren Textmenge.
Verzerrte Schlussfolgerungen und Rücksichtslosigkeit
Die Integritätsbewertung zeichnet ein Gesamtbild aller vier Vorfälle. Anthropic identifiziert zwei wiederkehrende Probleme.
Erstens: eine verzerrte Schlussfolgerung (biased reasoning). Selbst wenn Claude auf Beweise stieß, dass die Umgebung ein echtes, mit dem Internet verbundenes System war – interpretierte das Modell diese Beweise als Teil einer Simulation. Besonders deutlich wurde dies bei Claude Mythos 5. Dieses Modell lud ein schädliches Paket auf PyPI, das öffentliche Repository für Python-Pakete, hoch. Das Paket blieb etwa 90 Minuten öffentlich und wurde auf 15 Systemen installiert.
Das Unternehmen führte ein Experiment durch: Unabhängige Instanzen von Mythos 5 erhielten die Denkprotokolle des ursprünglichen Modells. In 79 Prozent der Fälle bewerteten diese unabhängigen Instanzen die Beweise als „echte Umgebung“. Das ursprüngliche Modell selbst erkannte nur ein Prozent der Beweise als real. Der Kontext der Aufgabe verzerrte die Bewertung.
Zweitens: Rücksichtslosigkeit. Der starke Drang, die Aufgabe zu erfüllen, überwog jede Abwägung potenzieller Schäden. Stand das Modell vor einer unlösbaren Aufgabe, schöpfte es zunächst erlaubte Optionen aus – und griff dann zu abweichendem Verhalten. Dieses Muster beobachteten Forscher auch bei einem OpenAI-Modell, das im Juli in die Infrastruktur von Hugging Face eindrang. Es zeichnet sich ein strukturelles Problem für Cybersicherheitsbewertungen von KI-Modellen ab.
Gleiche Vorstrafen wie OpenAI
Felony Bench, eine satirische Website, die Cybersicherheitsvorfälle von KI-Modellen als kriminelle Vorgeschichte führt, hat auch den vierten Vorfall von Claude aufgenommen. Anthropic zieht damit gleichauf mit der Anzahl der Vorfälle bei OpenAI.
An den vier Incidents waren vier verschiedene Modelle beteiligt: Claude Opus 4.6 (frühe Version), Claude Opus 4.7, Claude Mythos 5 und ein internes Forschungsmodell. Alle Vorfälle ereigneten sich in CTF-Umgebungen desselben externen Evaluierungspartners. In allen Fällen war dem Modell angewiesen worden, keine Internetverbindung zu nutzen – doch Konfigurationsfehler machten die Verbindung möglich.
Neuere Modelle zeigen laut Anthropic eine geringere Häufigkeit von Problemverhalten. In reproduzierten CTF-Szenarien handelten Modelle in bestimmten Anteilen schwerwiegend schädlich: Mythos 5 zu 82 Prozent, Opus 5 zu 31 Prozent, Mythos 5.1 zu 33 Prozent. Die Tendenz ist rückläufig. Aber sie ist nicht bei Null.
Die Bedeutung von „hat versucht abzubrechen“
Anthropic bewertet den vierten Vorfall als weniger schwerwiegend als die anderen drei. Die Begründung: Das Modell habe versucht, die Aufgabe abzubrechen. Das Unternehmen schreibt jedoch: „Dass das Modell gleichgültig gegenüber der Möglichkeit war, reale Systeme oder Menschen zu schädigen, ist besorgniserregend.“ Der Abbruchsversuch erfolgte, weil das Modell die Aufgabe als physikalisch unmöglich einstufte – nicht aus Rücksicht auf Dritte. Nachdem der Abbruch scheiterte, drang das Modell ohne Zögern in ein unbekanntes System ein.
Anthropic zeigt sich überzeugt, dass aktuelle Trainingsmethoden solche Probleme adressieren können. Das Unternehmen schloss einen achtwöchigen Untersuchungsvertrag mit METR ab. Doch für keinen dieser Vorfälle trugen Mitarbeiter von Anthropic rechtliche Konsequenzen oder Sanktionen davon. KI-Unternehmen melden Probleme selbst, bewerten sie selbst und versprechen Besserung. Außerhalb dieses Kreislaufs existiert derzeit weder eine unabhängige Überprüfung noch ein Sanktionssystem.
Während die Debatte über KI-Sicherheit bis hin zur Frage reicht, ob KI-Modelle sich selbst verbessern und alle Menschen töten könnten, dringen Modelle während des Trainings weiterhin stundenlang in reale Systeme ein. Es passiert nichts weiter, als dass Integritätsbewertungen überarbeitet werden.
