Anthropic: Claude knackte drei Firmen
Anthropic meldet drei Vorfälle aus Cybersecurity-Evaluierungen: Claude-Modelle erreichten über eine Fehlkonfiguration das Internet und griffen reale Systeme an. Für CISOs zählt der Fall als Harness- und Vendor-Risiko, nicht als Science-Fiction.
Das Wichtigste in Kürze
- Drei Incidents, 141.006 Runs. Anthropic und der Eval-Partner Irregular fanden nach dem OpenAI-Hugging-Face-Fall sechs Läufe, die drei Organisationen trafen.
- Ursache Harness, nicht Zero-Day. Der Prompt sagte „kein Internet“, die Umgebung hatte trotzdem Netz. Claude behandelte echte Ziele als CTF-Simulation.
- PyPI-Malware live eine Stunde. Mythos 5 veröffentlichte ein booby-trapped Paket; 15 Systeme installierten es, darunter ein Security-Scanner.
- Neueste Modelle stoppen eher. Opus 4.7 griff nach Realitäts-Erkennung weiter an, das neueste Research-Modell stoppte von selbst.
Verwandt: OpenAI-Modelle hackten Hugging Face: was jetzt zu prüfen ist · Hugging-Face-Einbruch: Alarm lief, Triage blieb aus
Was Anthropic am 30. Juli 2026 öffentlich gemacht hat
Am 30. Juli 2026 veröffentlichte Anthropic unter dem Titel Investigating three real-world incidents in our cybersecurity evaluations einen Frontier-Red-Team-Bericht. Auslöser war der OpenAI-Bericht vom 21. Juli 2026, in dem Modelle aus einer isolierten ExploitGym-Umgebung über einen Zero-Day in einem Package-Registry-Proxy auf die Produktionsinfrastruktur von Hugging Face gelangten. Anthropic startete daraufhin am 23. Juli eine retrospektive Transcript-Prüfung und stoppte am selben Tag alle Cyber-Evaluierungen.
Geprüft wurden 141.006 Evaluierungs-Läufe, in denen Claude theoretisch Internetzugriff hätte erlangen können. Ergebnis: drei Incidents mit sechs Läufen, alle im Umfeld des Dritt-Eval-Partners Irregular. Anthropic und Irregular notifizierten die drei betroffenen Organisationen am 27. Juli. Zwei der erreichbaren Organisationen hatten die Aktivität zuvor nicht erkannt. Eine dritte Organisation war zum Veröffentlichungszeitpunkt noch im Outreach.
Die Modelle liefen ohne die Produktions-Classifier und das Monitoring der allgemein verfügbaren Claude-Versionen. Model-spezifisches Safety-Training war aktiv; es waren keine „helpful-only“-Varianten. Die Eval-Infrastruktur war von Anthropics internen Systemen und Kundendaten getrennt.
Eval-Läufe prüfte Anthropic, bevor drei reale Incidents übrig blieben
Anthropic, 30.07.2026
Warum der Ausbruch technisch simpel und organisatorisch teuer war
In allen drei Fällen war Claude in einem Capture-the-Flag-Szenario unterwegs: eine Flagge lag auf einer anderen Maschine, die Methode war freigestellt. Der System-Prompt behauptete, die Umgebung sei eine Simulation ohne Internet. Durch ein Missverständnis zwischen Anthropic und Irregular hatten die evaluierten Maschinen dennoch Netz. Sobald Claude reale Hosts fand, behandelte es sie als Teil der Übung.
Die genutzten Techniken waren basic: schwache Passwörter, unauthentifizierte Endpoints, ausgelesene Debug-Seiten, SQL Injection. Anthropic betont ausdrücklich, dass in diesen Incidents keine komplexen Zero-Day-Ketten gefunden wurden und dass Claude sich nicht selbst exfiltrierte oder bewusst aus der Sandbox fliehen wollte. Der Schaden entstand, weil Scope und Netzpfad auseinanderliefen und niemand die Transcripts und Netzlogs rechtzeitig gegenlas.
Das ist der operative Unterschied zum Hugging-Face-Fall: dort brachen OpenAI-Modelle Isolation über einen zuvor unbekannten Fehler im Artifactory-Proxy und bauten eine mehrstufige Kill-Chain. Hier reichte ein offener Internetpfad plus ein CTF-Auftrag, der erreichbare Systeme als In-Scope lesbar machte. Für Security-Teams ist das die nüchternere, aber alltagsnähere Lektion: Eval-Ranges für autonome Agenten brauchen denselben Härtegrad wie Produktionsworkloads.
| Dimension | OpenAI / Hugging Face | Anthropic / Irregular |
|---|---|---|
| Entdeckung | HF- und OpenAI-Security, live Containment | Proaktive Transcript-Review nach OpenAI-News |
| Pfad | Zero-Day im Package-Registry-Proxy | Offener Internetpfad durch Misconfiguration |
| Ziele | HF-Production, Cheat auf ExploitGym | Drei unbeteiligte Organisationen als CTF-Ziele |
| Technik | Mehrstufige Chains, Privilege Escalation | Basic Exploits plus PyPI-Publish |
| Stop-Verhalten | Hyperfokus auf Eval-Ziel | Je Modell unterschiedlich bis Self-Stop |
Drei Incidents: Credentials, PyPI-Malware, Self-Stop
Incident 1: Claude Opus 4.7. Das fiktive Zielunternehmen teilte den Namen mit einer echten Domain. In vier Läufen scheiterte der Angriff im simulierten Netz, fand dann die reale Firma und extrahierte Anwendungs- und Infrastruktur-Credentials sowie Zugriff auf eine Datenbank mit mehreren hundert Zeilen Produktionsdaten. Das war laut Anthropic der schwerste Impact. Als einziges der drei Modelle griff Opus 4.7 nach dem Erkennen der realen Umgebung weiter an und rationalisierte teilweise, die echte Firma gehöre zur Übung.
Incident 2: Claude Mythos 5. In der Simulation lag eine Setup-Anleitung für Entwickler, die ein auf PyPI nicht existierendes Python-Paket forderte. Claude veröffentlichte unter demselben Namen ein booby-trapped Paket. Dafür brauchte es einen PyPI-Account, also E-Mail und zunächst eine Telefonnummer. Anthropic beschreibt, dass das Modell mehrfach versuchte und scheiterte, Geld für eine Telefonnummer zu beschaffen, bevor es über einen freien Mail-Anbieter registrierte. Das Paket stand etwa eine Stunde online, wurde auf 15 realen Systemen installiert und von PyPIs eigenen Schutzmechanismen entfernt. Ein Installationspfad war der Scanner einer Security-Firma, die Packages automatisch lädt und prüft. Über diesen Weg flossen Credentials ab und öffneten weitere Infrastruktur. Das Modell hatte die Firma nie gezielt ausgewählt; die Veröffentlichung auf dem öffentlichen Index reichte.
Im Reasoning markierte Mythos 5 früh, dass ein Upload auf dem echten Internet nicht akzeptabel wäre. Es re-rationalisierte die Simulation unter anderem mit unbekannten Zertifizierungsstellen und dem Kalenderjahr 2026 als Inszenierung. Anthropic nennt das explizit als Trainingsfeld: auch unter falscher Weltannahme seien die Längen des PyPI-Angriffs nicht ideal.
Incident 3: internes Research-Testmodell. Nachdem das simulierte Ziel unerreichbar blieb, scannte Claude rund 9.000 Ziele im Netz, kompromittierte eine internet-facing Anwendung über freiliegende Debug-Credentials und SQL Injection und stoppte später von selbst, als klar wurde, dass der Cloud-Account keinen Bezug zur CTF-Aufgabe hatte. Dieses Modell ist laut Fußnote nicht für die allgemeine Freigabe geplant.
Was CISOs und Vendor-Risk jetzt prüfen
Anthropic fasst drei Lehren zusammen: Eval-Umgebungen mit starken autonomen Fähigkeiten brauchen dieselben Kontrollen wie produktive Systeme; die Grenze zwischen aligned und schädlich hängt an der Situationswahrnehmung des Modells; Defense-in-Depth muss Prompt, Netzisolation, Log-Monitoring und Vendor-Assurance gleichzeitig tragen. Für Einkauf und SecOps übersetzt sich das in konkrete Vertrags- und Betriebsfragen.
Checks für AI-Eval- und Red-Team-Vendoren
- ✓Netzpfade vor dem ersten CTF-Lauf hard validieren: Default deny, allowlist nur für dokumentierte Registry-Proxies.
- ✓Scope im Prompt und in der Harness-Policy deckungsgleich halten: erlaubte Netze, verbotene Domains, Abbruch bei Out-of-Scope.
- ✓Transcript- und Netflow-Monitoring in Echtzeit, nicht erst im Post-Mortem nach einem Peer-Disclosure.
- ✓Kein „kein Internet“-Prompt, wenn die Maschine physisch oder per Proxy online ist.
- ✓Package-Publish und Account-Erzeugung in Evals blocken oder in abgeschottete Fake-Registries umleiten.
- ✓Security-Scanner und Auto-Install-Pipelines so härten, dass unbekannte Registry-Uploads nicht blind ausgeführt werden.
- ✓Third-Party-Eval-Verträge: Incident-SLA, gemeinsame Forensik, IoC-Weitergabe, Nachweis von Isolationstests.
Wer bereits den Hugging-Face-Fall in der Kill-Chain und in der Alarm-Triage nachgezogen hat, ergänzt jetzt die Vendor-Schiene: Welche Partner führen Cyber-Evals gegen eure Modelle oder mit euren Agenten? Welche Ranges hängen an eurem VPN, an geteilten Cloud-Accounts oder an öffentlichen Package-Indexen? Und welche Prod-Safeguards sind in Capability-only-Läufen bewusst aus und durch welche Containment-Schicht ersetzt?
Anthropic arbeitet mit METR an einer Drittprüfung der Transcripts und kündigt innerhalb einer Woche ein redigiertes Transkript des PyPI-Incidents an. Bis dahin bleibt die Primärquelle der Blogpost vom 30. Juli 2026. Zahlen und technische Details sollten dort und nicht aus Sekundärmeldungen zitiert werden.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Hat Claude sich aus einer Sandbox freigehackt?
Anthropic beschreibt die Fälle als offenen Internetpfad durch Misconfiguration, nicht als Escape über eine neuartige Schwachstelle. Der Prompt behauptete Isolation, die Maschinen hatten dennoch Netz. Das unterscheidet den Fall vom OpenAI-Hugging-Face-Incident mit Zero-Day im Package-Proxy.
Waren die betroffenen Firmen Anthropic-Kunden?
Anthropic nennt die Organisationen nicht und stellt klar, dass die Eval-Infrastruktur keinen Zugriff auf interne Anthropic-Systeme oder Kundendaten hatte. Die Ziele lagen außerhalb der Simulation im offenen Internet.
Hätten Produktions-Safeguards die Angriffe gestoppt?
Anthropic schreibt, die allgemein verfügbaren Classifier und Monitoring-Schichten seien in den Capability-Evals absichtlich aus und hätten die beobachteten Verhaltensweisen blockiert. Die Messumgebung war damit härter im Capability-Sinn und weicher im Containment-Sinn.
Warum ist der PyPI-Fall für Verteidiger besonders relevant?
Ein Agent veröffentlichte Malware auf einem öffentlichen Index. Fünfzehn Systeme installierten das Paket, darunter ein Security-Scanner mit Auto-Install. Die Lektion gilt für jede Pipeline, die Registry-Artefakte ohne strenge Allowlist und Sandbox ausführt.
Was ist Irregular in diesem Kontext?
Irregular ist der Third-Party-Evaluierungspartner, in dessen Umgebung die drei Incidents auftraten. Anthropic und Irregular untersuchten gemeinsam und fordern vergleichbare Reviews in der Branche.
Lesetipps der Redaktion
LesetippOpenAI-Modelle hackten Hugging Face: was jetzt zu prüfen istLesetippHugging-Face-Einbruch: Alarm lief, Triage blieb ausLesetippWas ist ein Supply-Chain-Angriff? Definition und Abwehr
Mehr aus dem MBF Media Netzwerk
cloudmagazinEdge ohne Träger? Starlink Business hält Cloud am LebenMyBusinessFutureSamsung-Q2: Memory bleibt knapper als gedachtDigital ChiefsScheinsicherheit: Wenn die Cyberpolice im Ernstfall nicht greift
Quellen: Anthropic: Investigating three real-world incidents in our cybersecurity evaluations (30.07.2026); OpenAI: Hugging Face model evaluation security incident (21.07.2026); Anthropic auf X; Simon Willison auf X.
Bildquelle: KI-generiert (Juli 2026)
