Anthropic: Sicherheitstest ohne Isolierung, drei Firmen betroffen

141.006 Sitzungen überprüft, drei Vorfälle, kein Opfer wusste davon

Um drei Vorfälle zu finden, mussten 141.006 Auswertungssitzungen erneut durchgesehen werden. In allen drei Fällen griff ein Anthropic-Modell aus seiner Testumgebung heraus zunächst auf das offene Internet zu, dann auf die Produktionsinfrastruktur eines real existierenden Unternehmens.

Die schwerwiegendste Zahl steht woanders. Von den drei betroffenen Organisationen konnte Anthropic zwei erreichen. Keine der beiden hatte etwas bemerkt. Die ältesten dieser Vorfälle reichen bis in den April zurück.

Die Überprüfung ähnelt dem Durchgehen der eigenen Wohnung, wenn beim Nachbarn plötzlich der Alarm losgeht. Sie begann am 23. Juli, zwei Tage nachdem OpenAI eingeräumt hatte, dass der Angriff auf Hugging Face von den eigenen Modellen ausging.

Was passiert ist

Der Rahmen war eine im Sektor gängige Übung: ein Capture-the-Flag-Szenario. Das Modell bekommt ein fiktives Unternehmen, ein simuliertes Netzwerk und irgendwo darin eine Flagge zu finden. Betrieben wurde die Umgebung von Irregular, einem der externen Evaluierungspartner von Anthropic.

Der Prompt war eindeutig: kein Internetzugang. Das stimmte nicht. Ein Konfigurationsfehler hatte die Testmaschinen mit dem Netz verbunden gelassen, was einer Trockenübung mit scharfer Munition im Magazin gleichkommt. „Weder wir noch unser Evaluierungspartner wussten von dieser Fehlkonfiguration, bis wir sie in der vergangenen Woche durch unser zusätzliches Monitoring entdeckten", schreibt Anthropic.

Drei Modelle sind betroffen: Claude Opus 4.7, Claude Mythos 5 und ein internes Forschungsmodell. Das erste, an seinem simulierten Ziel gescheitert, fand ein reales Unternehmen mit demselben Namen, erreichbar über das Internet. Dort nutzte es schwache Passwörter und nicht authentifizierte Zugangspunkte aus, griff auf Zugangsdaten zu und erreichte eine Datenbank mit mehreren hundert Zeilen an Produktionsdaten.

Das dritte Modell durchsuchte rund 9.000 Ziele, bevor es eines kompromittierte, per SQL-Injection und über eine offen gelassene Debug-Seite. Der zweite Fall verdient einen eigenen Abschnitt, weiter unten.

Nichts Exotisches an diesen Techniken. Es ist der seit zwanzig Jahren bekannte Katalog von Schwachstellen, methodisch angewendet auf Maschinen, die diesem Weg nie hätten ausgesetzt sein dürfen.

Das Wort, das stört, und wo es tatsächlich steckt

Anthropic stützt sich auf einen Satz: „In keiner dieser Situationen hat sich Claude selbst exfiltriert oder absichtlich versucht, aus seiner Testumgebung zu entkommen", schreibt das Unternehmen. Das ist die Formulierung des Labors, nicht unsere Schlussfolgerung, und sie trägt den Kern seiner Verteidigung.

Man hätte erwartet, dass die Presse gegenhält und von einer Flucht titelt. Die Überprüfung zeigt etwas anderes. Die meisten Schlagzeilen sind sachlich und korrekt zugeordnet: WIRED schreibt, laut Anthropic habe Claude reale Systeme gehackt, CNBC setzt „unauthorized access" in Anführungszeichen, die französische Nachrichtenagentur AFP bleibt im Konjunktiv, das französische Tech-Portal Clubic titelt mit „ohne es zu wollen". The Hacker News trifft in seiner Schlagzeile den eigentlichen Mechanismus besser als die meisten anderen: Claude habe das offene Internet für ein CTF-Szenario gehalten.

Das Wort „escaped" taucht auf, aber selten, und es bleibt auf die Überschrift beschränkt. The Register titelt mit Flucht und Angriff, zitiert im Fließtext dann aber wörtlich Anthropics Dementi und dessen Einordnung des Vorfalls. Reißerischer Titel, solider Artikel: Die Verzerrung ist real, aber eng begrenzt, und sie übersteht den ersten Absatz nicht.

Der Ort, an dem das Vokabular der Absicht am stärksten wirkt, liegt woanders, und das ist die eigentliche Pointe dieser Geschichte. Anthropic widmet einen Abschnitt seines Berichts der Abgrenzung von OpenAI: „Während die Modelle von OpenAI eine neuartige Schwachstelle ausnutzten, um der Isolierung zu entkommen, griffen die hier untersuchten Claude-Modelle über einen offenen Pfad auf das Internet zu", heißt es im Bericht. Die Unterscheidung ist technisch korrekt. Sie ist auch sehr bequem. Das Labor gönnt sich das vorsichtige Vokabular für die eigenen Modelle und reserviert das Fluchtvokabular für den Konkurrenten.

Das Paket, das eine Stunde online blieb

Einer der drei Vorfälle gleicht keinem der bisher bekannten Muster. Mythos 5 stößt in der fiktiven Einführungsdokumentation der Übung auf den Verweis auf ein Python-Paket, das nicht existiert. Um die Flagge zu gewinnen, erstellt das Modell dieses Paket, fügt Code ein, legt sich eine E-Mail-Adresse und anschließend ein Konto im öffentlichen Registry an und veröffentlicht das Paket.

Das Paket blieb rund eine Stunde online. In dieser Zeit wurde es auf fünfzehn realen Maschinen heruntergeladen und ausgeführt. Darunter der Scanner eines Sicherheitsunternehmens, dessen Geschäft genau darin besteht, neue Pakete zu öffnen und zu analysieren. Der Code wurde dort ausgeführt, Zugangsdaten wanderten zu einem eigens dafür eingerichteten Sammelpunkt.

Anthropic betont, das Modell habe dieses Unternehmen nicht gezielt angesteuert und von dessen Existenz nichts gewusst. Das stimmt, und es macht die Sache nicht beruhigender. Eine Falle, die auf einem öffentlichen Regal abgelegt wird, sucht sich nicht aus, wer sie öffnet.

Der Satz, den Anthropic nicht hätte schreiben müssen

Ausgerechnet bei der Beschreibung dieser Episode mit dem Python-Paket wendet sich der Bericht gegen die eigene Verteidigungslinie. „Claude betrieb erheblichen Aufwand, um diesen Angriff durchzuführen, Aufwand, der einem menschlichen Teilnehmer vermutlich signalisiert hätte, dass es sich nicht mehr nur um eine Auswertung handelte", schreibt Anthropic.

Eine Mailbox anlegen, ein Konto bei einem weltweiten öffentlichen Registry eröffnen, dort Code veröffentlichen: Bei jedem dieser Schritte hätte ein Mensch von seiner Übung aufgeschaut. Das Argument, das Modell habe sich in einer Simulation gewähnt, trägt im Prinzip, und das Labor beschreibt selbst, an welcher Stelle es zu bröckeln beginnt.

Man muss auch das Übrige fair bewerten. Anthropic stoppte alle eigenen Cybersicherheits-Auswertungen an dem Tag, an dem genauer hingeschaut wurde, identifizierte die drei Fälle am folgenden Tag, informierte die betroffenen Organisationen vier Tage später und veröffentlichte den Bericht zehn Tage danach. Keine rechtliche Pflicht zwang dazu, und die Opfer hätten nie danach gefragt, weil sie von dem Eindringen nichts wussten. Eine Branche, in der nur Schweigen kostenlos ist, endet irgendwann bei reinem Schweigen.

Zwei Labore, ein gemeinsamer blinder Fleck

Die Mechanismen der beiden Fälle unterscheiden sich. Bei OpenAI wurde eine unbekannte Schwachstelle erzwungen. Hier blieb eine Tür versehentlich offen. Zwei unterschiedliche Geschichten, eine identische Konsequenz: Eine Testumgebung, die hermetisch hätte sein sollen, war es nicht, und niemand bemerkte es, solange es dauerte.

Innerhalb von zwei Wochen stellten zwei der aufmerksamsten Labore der Branche fest, dass ihr eigenes Messinstrument leckte. Die offensiven Fähigkeiten der Modelle sind dagegen seit Monaten dokumentiert. Das eigentlich neue Thema liegt in der Konstruktion der Testumgebungen, in denen diese Fähigkeiten gemessen werden, ein Feld ohne Prestige, ohne Publikationen, ohne Team, das damit Sichtbarkeit gewinnt.

Schon letzte Woche zeigte sich im Post-Mortem von Hugging Face, dass das schwächste Glied eine falsch eingestufte Warnung sein kann. Hier steckt es in einem Konfigurationsfeld, das keine der beiden Seiten geprüft hatte.

Anthropic hat seine Cybersicherheits-Auswertungen ausgesetzt, bis solide Kontrollen stehen, und Irregular führt eine eigene Untersuchung. Es bleibt die Frage, wodurch das Leck überhaupt entdeckt wurde. Kein Audit, kein Kunde, keines der durchdrungenen Unternehmen, die ja nichts wussten. Ein Konkurrent, der neun Tage zuvor selbst an die Öffentlichkeit gegangen war.