Testumgebung falsch konfiguriert: Claude hackt drei Firmen

Wenige Tage nach OpenAI muss auch Anthropic einräumen, dass ein Sicherheitstest etwas zu realistisch geraten ist. Claude griff im Rahmen vermeintlich abgeschotteter Übungen drei echte Unternehmen an – offenbar nach dem Motto: Wenn der Server erreichbar ist, wird er schon zum Test gehören.

Entdeckt wurden die Vorfälle erst, nachdem Anthropic als Reaktion auf den OpenAI-Angriff auf Hugging Face mehr als 141.000 frühere Testläufe überprüft hatte. Die ältesten Zwischenfälle reichen bis in den April zurück.

Das Internet war versehentlich eingeschaltet

Die Modelle sollten bei sogenannten Capture-the-Flag-Aufgaben in simulierte Computersysteme eindringen. Laut Anweisung gab es dabei keinen Internetzugang. Durch eine Fehlkonfiguration beim externen Testpartner Irregular stimmte das allerdings nicht.

Claude hielt erreichbare Webseiten und Server daher zunächst für Bestandteile der Übung. Die Modelle nutzten schwache Passwörter, offene Schnittstellen und bekannte Angriffsmethoden. Neue Superhacker-Techniken waren laut Anthropic nicht nötig – die Realität war bereits unsicher genug.

Im schwersten Fall erbeutete Claude Opus 4.7 Zugangsdaten und griff auf eine Datenbank mit mehreren Hundert Einträgen zu. Hinweise darauf, dass es sich um ein echtes Unternehmen handelte, bemerkte das Modell offenbar, machte aber trotzdem weiter.

Schadcode landete im echten Internet

Claude Mythos 5 veröffentlichte bei einem weiteren Test ein manipuliertes Softwarepaket im öffentlichen Python-Verzeichnis PyPI. Eigentlich sollte damit eine fiktive Firma angegriffen werden. Stattdessen stand der Schadcode rund eine Stunde lang für alle bereit und wurde auf 15 realen Systemen ausgeführt.

Ein neueres Forschungsmodell zeigte immerhin mehr Zurückhaltung. Es scannte rund 9.000 Ziele und kompromittierte eine Anwendung, brach den Angriff aber ab, nachdem es den Irrtum erkannt hatte. Fortschritt sieht in diesem Fall so aus, dass die KI nach dem Einbruch selbst merkt, dass sie hinter der falschen Tür steht.

Anthropic zieht den Stecker

Anthropic stoppte die betreffenden Cybertests am 23. Juli und informierte die drei Unternehmen vier Tage später. Zwei davon hatten den Angriff bis dahin nicht bemerkt. Künftig sollen Internetzugänge besser abgeschottet, Testläufe live überwacht und externe Partner genauer kontrolliert werden.

Der Vorfall liefert neuen Stoff für die Forderung nach gemeinsamen Bremsmechanismen für leistungsfähige KI. Sicherheitstests sollen eigentlich zeigen, was schiefgehen könnte. Bei OpenAI und Anthropic demonstrieren sie inzwischen lieber direkt, was schiefgeht.