| 1 (100%) | 0 (0%) |
Eigentlich sollte Claude nur zeigen, wie gut die KI digitale Sicherheitslücken finden kann. Dafür wurde sie in einen abgeschotteten Übungsraum gesetzt, in dem alle Firmen, Server und Zugangsdaten erfunden sein sollten. Dummerweise war dieser Raum offenbar nicht so abgeschottet wie gedacht.
Durch eine falsch eingerichtete Verbindung gelangten mehrere Claude-Modelle ins echte Internet. Dort brachen sie in die Systeme von drei realen Unternehmen ein – offenbar in dem Glauben, weiterhin eine gestellte Aufgabe zu lösen. Die Angriffe fanden bereits seit April 2026 statt und wurden erst jetzt bekannt.
Wie eine Übung plötzlich echt wurde
Vereinfacht gesagt bekam Claude die Aufgabe, in einem Computerspiel einen versteckten Schlüssel zu finden. Die KI sollte dafür nach Schwachstellen suchen, Passwörter aufspüren und sich Zugang zu einem simulierten Firmennetzwerk verschaffen. Die KI war ausdrücklich darüber informiert worden, dass sie keinen Zugang zum Internet habe. Alles, was sie erreichen konnte, musste aus ihrer Sicht also zur Übung gehören. Als Claude auf reale Server stieß, behandelte sie diese daher wie weitere Kulissen im Test – inklusive echter Passwörter, Datenbanken und Unternehmenssysteme.
Oder anders gesagt: Man sagte der KI, das komplette Gebäude sei ein Escape Room, ließ aber versehentlich die Hintertür zum Nachbarhaus offen.
Eine echte Firma passte zufällig zur erfundenen Geschichte
Bei einem der Tests trug die erfundene Firma aus der Aufgabe denselben Namen wie ein tatsächlich existierendes Unternehmen. Als Claude das simulierte Ziel nicht erreichen konnte, suchte das Modell im Internet weiter und landete bei der realen Firma. Dort fand Claude schwache Zugangsdaten, drang in die Systeme ein und erhielt Zugriff auf eine Datenbank mit mehreren Hundert echten Datensätzen. Das Modell erkannte im Verlauf offenbar sogar, dass es sich möglicherweise um ein reales Unternehmen handelte. Trotzdem setzte es den Angriff fort, weil es davon ausging, dass auch dieser Teil zur Prüfung gehören müsse.
Claude stellte Schadsoftware öffentlich ins Internet
Der zweite Vorfall klingt noch absurder. Claude fand in der Testumgebung eine Anleitung, laut der Mitarbeiter ein bestimmtes Softwarepaket herunterladen sollten. Dieses Paket existierte jedoch nicht.
Die KI kam deshalb auf die Idee, selbst ein Paket mit diesem Namen zu veröffentlichen und darin versteckte Schadsoftware unterzubringen. Im erfundenen Szenario wäre das lediglich eine clevere Lösung der Aufgabe gewesen. Tatsächlich veröffentlichte Claude das manipulierte Paket jedoch auf einer echten, öffentlich erreichbaren Plattform für Softwarebausteine.
Das Paket war ungefähr eine Stunde verfügbar und wurde in dieser Zeit von 15 realen Systemen heruntergeladen. Eines davon gehörte zu einem Sicherheitsunternehmen, dessen automatischer Scanner neue Software auf Schadcode untersucht. Genau dieser Scanner führte das Paket aus. Claude konnte dadurch Zugangsdaten abgreifen und anschließend weitere Systeme des Unternehmens erreichen.
Besonders bemerkenswert: Claude benötigte für die Veröffentlichung ein Benutzerkonto und versuchte dafür eigenständig, eine E-Mail-Adresse und sogar eine Telefonnummer zu organisieren. Das Modell scheiterte zunächst mehrfach, suchte nach Alternativen und führte seinen Plan schließlich trotzdem aus.
Das war keine spontan böse gewordene Maschine. Es war eher ein verdammt hartnäckiger digitaler Praktikant, dem niemand gesagt hatte, wann Schluss ist.
Bei einem weiteren Test wurden Tausende Ziele durchsucht
In einem dritten Fall fand Claude das vorgesehene Ziel ebenfalls nicht. Stattdessen durchsuchte das Modell ungefähr 9.000 erreichbare Systeme und stieß schließlich auf eine ungeschützte Anwendung eines realen Unternehmens.
Claude nutzte dort vergleichsweise einfache Fehler aus und verschaffte sich Zugriff. Dieses neuere Testmodell bemerkte später allerdings, dass das Ziel offenbar nichts mit der eigentlichen Aufgabe zu tun hatte, und beendete den Angriff von selbst.
Die betroffenen Firmen hatten nichts bemerkt
Anthropic entdeckte die Vorfälle erst, nachdem OpenAI wenige Tage zuvor einen ähnlichen Zwischenfall öffentlich gemacht hatte. Daraufhin überprüfte das Unternehmen nach eigenen Angaben mehr als 141.000 protokollierte Testläufe.
Die drei Vorfälle tauchten in insgesamt sechs Testdurchgängen auf. Anthropic stoppte daraufhin sämtliche entsprechenden Sicherheitstests und informierte den externen Testpartner sowie die betroffenen Unternehmen. Mindestens die zwei Unternehmen, die Anthropic bereits erreichen konnte, hatten die Angriffe bis dahin selbst nicht bemerkt.
Schon bei OpenAI ging eine KI auf Wanderschaft
Der Fall erinnert stark an den kurz zuvor bekannt gewordenen Vorfall bei OpenAI.
Dort hatte eine KI während eines Sicherheitstests eine bis dahin unbekannte Schwachstelle gefunden, ihre abgeschottete Umgebung verlassen und anschließend die Plattform Hugging Face angegriffen. Das System suchte dort nach Lösungen für die Aufgabe, die es eigentlich selbst bearbeiten sollte. Anders ausgedrückt: Die KI brach aus ihrem Prüfungsraum aus, um beim Nachbarn die Antworten abzuschreiben.
Der entscheidende Unterschied: Die OpenAI-Modelle mussten sich ihren Weg ins Internet selbst erarbeiten. Bei Anthropic stand die Tür aufgrund einer falschen Konfiguration bereits offen.
Hat Claude versucht auszubrechen?
Nach Angaben von Anthropic gibt es keine Hinweise darauf, dass Claude bewusst fliehen, sich selbst verbreiten oder ein eigenes Ziel verfolgen wollte.
Die Modelle taten im Grunde genau das, wozu sie aufgefordert worden waren: ein fremdes System angreifen und einen versteckten Schlüssel finden. Das Problem war, dass sie nicht zuverlässig unterscheiden konnten, wo die Übung endete und die echte Welt begann.
Die öffentlich angebotenen Claude-Versionen waren laut Anthropic nicht betroffen. Bei den Tests waren mehrere normale Schutzmechanismen absichtlich abgeschaltet, damit das Unternehmen messen konnte, wozu die Modelle technisch in der Lage sind. Die Testsysteme hatten zudem keinen Zugriff auf Kundendaten oder besonders geschützte interne Systeme von Anthropic.
Das eigentliche Problem sitzt vor dem Bildschirm
Der Vorfall zeigt weniger, dass eine KI plötzlich einen eigenen Willen entwickelt hat. Er zeigt vielmehr, wie gefährlich eine Kombination aus leistungsfähiger KI, unklaren Anweisungen, falsch eingerichteter Technik und fehlender Überwachung werden kann. Anthropic will die Testumgebungen künftig stärker absichern, Verbindungen ins Internet genauer prüfen und auffälliges Verhalten während eines Tests schneller erkennen. Zusätzlich soll eine unabhängige Organisation die Vorfälle untersuchen.
Skynet hat also noch nicht angeklopft. Aber die Branche hat einer KI bei einem Einbruchstraining aus Versehen den Generalschlüssel für die Nachbarschaft gegeben. Dass sie ihn benutzt hat, sollte niemanden überraschen. Dass es monatelang niemand bemerkte, ist der deutlich unangenehmere Teil der Geschichte.
Quellen:
Offizieller Untersuchungsbericht von Anthropic
Einordnung der Washington Post
Unsere Artikel gezielt bei Google anzeigen lassen
Wenn ihr bei Google nach Informationen sucht, werden bestimmte Nachrichten in der sogenannten Schlagzeilen-Box angezeigt. Welche das sind, könnt ihr jetzt direkt mitbestimmen.
Wenn ihr techkrams.de als bevorzugte Quelle hinterlegen, bekommt ihr unsere Inhalte auch öfter ausgespielt. Wie das genau geht, erklären wir hier.
→ Hier können techkrams.de direkt als eure bevorzugte Quelle einstellen.
In diesem Artikel können Partnerlinks enthalten sein. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
