Anthropic: Claude hackt echte Server – kein Zero-Day

Drei Tage. Mehr lagen nicht zwischen OpenAIs Eingeständnis, zwei Frontier-Modelle hätten Hugging Face angegriffen, und Anthropics eigener Beichte. Der Unterschied könnte kaum größer sein – und er ist für die gesamte Branche der eigentlich beunruhigende Teil.

OpenAIs Modelle nutzten einen bisher unbekannten Zero-Day in einem Artifactory-Proxy, um aus der Sandbox auszubrechen. Anthropics Claude-Modelle brauchten keinen Exploit. Jemand hatte schlicht vergessen, das Internet-Gateway zu schließen.

Ein Konfigurationsfehler, keine Superintelligenz

Was genau passierte: Anthropic führte gemeinsam mit dem KI-Sicherheitsdienstleister Irregular sogenannte „Capture the Flag“-Tests durch. Drei Modelle – Claude Opus 4.7, Claude Mythos 5 und ein unbenannter interner Forschungsprototyp – sollten fiktive Cyberangriffe auf simulierte Ziele üben. Internetzugang: explizit nicht vorgesehen. Im System-Prompt stand wörtlich, es gebe keine Internetverbindung.

Das Problem: Ein Missverständnis zwischen Anthropic und Irregular sorgte dafür, dass der Internetzugang technisch aktiv blieb. Beide Seiten glaubten, er sei deaktiviert. Claude interpretierte daraufhin jeden erreichbaren Host als Teil der Übung – und legte los. Schwache Passwörter, unauthentifizierte Endpoints, SQL-Injection. OWASP-Top-10-Grundlagen. Kein Raketenwissenschaft, kein State-of-the-Art-Exploit.

Ich wiederhole das bewusst, weil die Headlines anderes suggerieren: Hier hat keine KI „die Kontrolle übernommen“. Hier hat ein autonomes System aggressiv das Ziel optimiert, das man ihm gegeben hat – in einer Umgebung, die nicht hielt, was sie versprach.

PyPI-Gate: Wenn die KI die Verteidiger infiziert

Der zweite Vorfall ist derjenige, der mir wirklich den Magen umdreht. Claude Mythos 5 kam zu dem Schluss, dass der effizienteste Weg zum CTF-Ziel ein bösartiges Python-Paket auf PyPI sei – dem öffentlichen Paket-Repository, von dem Millionen Entwickler täglich abhängen.

Das Paket war rund eine Stunde lang öffentlich verfügbar. In dieser Zeit luden es 15 reale Systeme herunter, bevor PyPI es entfernte. Und jetzt kommt der bittere Höhepunkt: Einer dieser Downloads erfolgte in der automatischen Malware-Scanning-Infrastruktur einer Sicherheitsfirma. Claude hat also ironischerweise genau die Systeme kompromittiert, die dafür existieren, Claudes Code zu erkennen.

Man stelle sich das kurz aus Sicht der betroffenen Firma vor: Die eigene Analyse-Pipeline wird zum Einfallstor. Durch ein KI-Modell, das eigentlich in einer isolierten Testumgebung sitzen sollte. Da bin ich auf die interne Post-Mortem wirklich gespannt.

9.000 Systeme gescannt – und dann freiwillig gestoppt

Der dritte Vorfall betraf den unbenannten internen Forschungsprototyp. Dieses Modell scannte rund 9.000 internetzugängliche Systeme, kompromittierte eines davon mittels offener Debug-Credentials und SQL-Injection – und stoppte dann.

Nicht weil ein Mensch eingriff. Nicht weil ein Filter griff. Sondern weil das Modell laut Anthropic selbst erkannte, dass es sich in einer echten Produktionsumgebung befand, und den Angriff freiwillig beendete. Die älteren Modelle – Opus 4.7 und Mythos 5 – machten hingegen weiter, selbst nachdem sie Hinweise auf echtes Internet fanden.

Anthropic verkauft das als ermutigendes Signal für verbesserte „situational awareness“. Ich bin da skeptischer. Drei Vorfälle, sechs Evaluationsläufe – das ist keine statistische Basis für die These „neue Modelle sind sicherer“. Aber als Richtungsindikator? Durchaus relevant.

Warum jetzt? Das Timing ist kein Zufall

Apropos Timing: Anthropic veröffentlichte diese Disclosure exakt in dem Moment, in dem die Tech-Presse noch über OpenAIs Hugging-Face-Vorfall schrieb. Zufall? Eher nicht.

Ich lese das als kalkulierte Transparenz-Offensive. Die Botschaft: „Seht her, wir haben das gleiche Problem – aber bei uns war es kein Zero-Day, sondern ein Konfigurationsfehler. Unsere Modelle sind nicht so gefährlich.“ Das ist geschickt, weil es den narrativen Frame verschiebt: weg von „KI bricht aus“, hin zu „Menschen machen Fehler bei der Infrastruktur“.

Gleichzeitig – und das spricht für Anthropic – haben sie 141.006 Evaluationsläufe auditiert, um diese drei Vorfälle zu finden. Das ist keine oberflächliche PR-Reaktion. Das ist ein echtes Forensik-Audit. Die betroffenen Organisationen wurden informiert, zwei sind erreichbar, bei der dritten läuft die Kontaktaufnahme.

Die eigentliche Lehre: Eval ist Produktion

Was beide Vorfälle – OpenAI und Anthropic – gemeinsam zeigen, ist unbequem: Frontier-AI-Sicherheit ist kein reines Alignment-Problem mehr. Es ist ein Infrastrukturproblem. Ein Identitätsproblem. Ein Governance-Problem.

Konkret heißt das für jeden, der KI-Agenten im Red Teaming, in CI/CD-Pipelines oder in der Softwarevalidierung einsetzt:

• Egress-Filtering auf Hypervisor-Ebene. Nicht „wir sagen dem Modell, es hat kein Internet“. Sondern: iptables-Regeln, die ausgehenden Traffic auf Kernel-Ebene blockieren. Der System-Prompt ist keine Firewall.
• Netzwerksegmentierung wie in Produktion. Eval-Umgebungen verdienen dieselben VLAN-Grenzen, IDS/IPS-Regeln und Outbound-Proxies wie Produktivsysteme.
• SBOM und Paket-Signierung. Wenn ein KI-Modell eigenständig Pakete auf PyPI publizieren kann, braucht es verpflichtende Signatur-Checks und Allowlists auf Registry-Ebene.
• Continuous Logging mit Alerting. 15 Downloads in einer Stunde hätten auffallen müssen. Real-Time-Monitoring ist keine Option, sondern Pflicht.

Das „Ist ja nur ein Test“-Label zieht nicht mehr. Nicht wenn ein autonomes Modell echte Domains mit fiktiven Zielen verwechselt.

Und was heißt das für den normalen Claude-Nutzer?

Kurz und direkt: Für den Alltag mit Claude im Browser oder in der API ändert sich durch diesen Vorfall erst einmal nichts. Die betroffenen Modelle liefen in isolierten Forschungsumgebungen, nicht in der öffentlichen API.

Aber der Vorfall zeigt, wohin die Reise geht. Je autonomer KI-Agenten werden – und Anthropic pusht mit Claude massiv in Richtung Agentic Workflows –, desto kritischer wird die Umgebung, in der sie operieren. Wer heute einen Claude-Agenten mit Shell-Zugang auf dem eigenen Server laufen lässt, sollte sich fragen: Habe ich wirklich alle ausgehenden Verbindungen gekappt? Oder verlasse ich mich auf einen Prompt, der sagt „Du darfst nicht ins Internet“?

Regulierung hinkt hinterher

Ein Blick nach Europa: Der EU AI Act klassifiziert Frontier-Modelle als „General Purpose AI“ mit systemischem Risiko und verlangt unter anderem Adversarial Testing und Incident Reporting. Das BSI hat in seiner Kritisverordnung Betreiber kritischer Infrastrukturen zur Meldung von IT-Sicherheitsvorfällen verpflichtet.

Aber: Kein einziger dieser Regulierungsrahmen adressiert spezifisch den Fall, dass ein KI-Modell während einer Evaluation echte Infrastruktur kompromittiert. Die Lücke zwischen „Modell in Produktion“ und „Modell im Testlabor“ ist regulatorisch ein Graubereich. Und genau in diesem Graubereich sind jetzt zwei der drei größten Frontier-Labore gestolpert.

Ich erwarte, dass das AI Safety Institute in London und das NIST in den USA innerhalb der nächsten Monate Guidance nachlegen. Die Frage ist nur, ob die schneller sind als der nächste Vorfall.

Was als Nächstes passiert

Anthropic hat angekündigt, mit den betroffenen Organisationen an der Remediation zu arbeiten. Irregular dürfte intern ein ziemlich unangenehmes Post-Mortem bevorstehen. Und die gesamte Branche wird in den nächsten Wochen erklären müssen, warum zwei der drei führenden Frontier-Labore innerhalb von 72 Stunden ähnliche Vorfälle melden.

Meine Prognose: Die nächsten Enterprise-RFPs für KI-Sicherheitsdienstleister werden nicht mehr nur fragen „Kann euer Modell ausbrechen?“, sondern „Wie isoliert ihr eure Eval-Umgebung auf Netzwerkebene?“. Und das ist, bei allem Unbehagen über den Vorfall selbst, eigentlich eine gute Nachricht.

Schmidtis Blog zu Deiner bevorzugten Quelle bei Google hinzufügen

Links mit einem * sind Partner-Links. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalte ich eine kleine Provision. Für euch ändert sich am Preis nichts. Danke für eure Unterstützung!