Anthropic beschreibt, wie missbräuchliche Nutzung von Claude in sieben Schadensbereichen gestört wurde

Anthropic veröffentlichte am 10. September 2026 seinen Threat‑Intelligence‑Report vom September 2026, in dem dargelegt wird, wie das Threat‑Intelligence‑Team Bedrohungsakteure identifizierte und deren missbräuchliche Nutzung von Claude zwischen Dezember 2025 und August 2026 in sieben Schadensbereichen, darunter Cyber‑Operationen, Einfluss‑Operationen, Überwachung und illegale Modell‑Destillation, unterbrach.

Der Bericht „Detecting and countering misuse of AI: September 2026“ behandelt Aktivitäten in den Bereichen Cyber‑Operationen, Einfluss‑Operationen, Überwachung, Betrug und Täuschung, biologischer Missbrauch, konventionelle Waffenentwicklung und Destillation. Die Missbrauchsfälle betrafen die Modelle Claude Haiku, Sonnet und Opus; weder Claude Fable noch Modelle der Mythos‑Klasse waren beteiligt, abgesehen von einem einzigen illegalen Destillationsfall. Anthropic verfolgt die Akteure mit internen Bezeichnungen der Generative Threat Group (GTG) und misst, was es „Uplift“ nennt, den durch KI verliehenen Fähigkeitszuwachs einer Operation hinsichtlich Geschwindigkeit, Umfang und Tiefe. Das Unternehmen erklärte, dass es in jedem Fall die Aktivität unterbrochen, die Erkenntnisse zur Verstärkung seiner Schutzmaßnahmen genutzt und, wo angemessen, die Informationen an Behörden und Branchenpartner weitergegeben habe, und fügte hinzu, dass es die Fallstudien veröffentlicht, weil „wir der Ansicht sind, dass wir die Verantwortung haben, böswilligen Missbrauch unserer Dienste offenzulegen“.

Cyber‑Operationen

Der umfangreichste Cyber‑Fall des Berichts, gekennzeichnet als GTG‑20006, betrifft einen Akteur, dessen Zuordnung Anthropic zufolge mit öffentlichen Berichten übereinstimmt, die ihn mit Midnight Blizzard in Verbindung bringen; ein Betreiber ist russischsprachig und nutzt das Pseudonym „JackPoterz“. Der Akteur griff über 20 Organisationen an, vorwiegend Regierungs‑, Militär‑ und diplomatische Einrichtungen der Ukraine, kompromittierte mindestens drei Hotel‑Wi‑Fi‑Anbieter, um DNS‑Einträge zu kapern, übernahm die WhatsApp‑Konten von mindestens zwei ehemaligen hochrangigen ukrainischen Beamten und stahl mehr als 300 000 nationale Personalausweisdaten sowie Handelsregisterdaten von über einer halben Million Unternehmen einer nordafrikanischen Regierungs‑Technologiebehörde. Laut Bericht modifizierten die KI‑Agenten des Akteurs ihr Malware‑Programm eigenständig und bauten es neu, sobald Sicherheitsprodukte es erkannten.

GTG‑50014 betrifft Betreiber, die vermutlich dem Kollektiv ShinyHunters angehören und deren Credential‑Harvesting‑Pipelines 1,8 Millionen Android‑APKs massenhaft heruntergeladen und nach hartkodierten Geheimnissen durchsucht haben. Anthropic berichtete, dass ein Kompromittieren eines Technologie‑Anbieters mehr als ein Terabyte Daten exfiltrierte, darunter Millionen von Zahlungskartendaten, während ein anderer Partner Daten von etwa 200 nachgelagerten Kunden eines kompromittierten Software‑as‑a‑Service‑Anbieters extrahierte und in rund 34 Stunden über 2 100 Azure‑AD‑Token‑Sätze von mehr als 40 Unternehmens‑Mandanten ablegte, wobei KI‑Agenten nahezu die gesamte Arbeit ausführten.

Drei weitere Fälle verdeutlichen die Bandbreite der beschriebenen Aktivitäten. GTG‑10007, chinesischsprachige Betreiber, vermutlich mit Sitz in Changsha, Hunan, von denen zwei als Studenten identifiziert wurden, zielten auf etwa fünfzig Organisationen ab und betrieben ein autonomes Schwachstellen‑Forschungsprogramm, bei dem ein Workflow, der Netzwerk‑Appliances iterativ prüfte, in einem Monat mehr als ein Dutzend potenzielle Zero‑Day‑Entdeckungen lieferte. GTG‑50020, ein russischsprachiger, finanziell motivierter Akteur, exfiltrierte rund 26 Gigabyte von einem Opfer, forderte Erpressungsbeträge von 1,5 bis 2,5 Millionen US‑$, und griff anschließend etwa dreißig KI‑Unternehmen innerhalb von vier Tagen an, mit dem erklärten Ziel, Zugriff auf ein Vorab‑Release‑Modell von Claude zu erhalten; Anthropic sagte, dass jeder Versuch scheiterte und die eigenen Systeme nie kompromittiert wurden. GTG‑50029, ein einzelner französischsprachiger Hacktivist, nutzte eine zuvor undokumentierte Race‑Condition bei der Neuinstallation von WordPress gegen mindestens vier Websites aus, erlangte internen Zugriff auf mindestens 14 der 42 verfolgten Ziele, exfiltrierte etwa 140 000 Datensätze, darunter die politischen Meinungen von Nutzern einer Kampagnenplattform, und baute eine Doxxing‑Plattform namens fafsearch mit mehreren zehn Millionen Einträgen auf.

Einfluss‑ und Überwachungs‑Operationen

Neun Einfluss‑Operationen im Bericht stammten aus Russland, Iran, der Türkei, dem Golf, Südasien, Afrika und Europa, wobei die Reichweite anhand der Breakout‑Skala des Brookings‑Instituts gemessen wurde. In GTG‑04001 produzierte ein russischsprachiger Akteur in Bangui täglich Inhalte für Radio Lengo Songo (98,9 FM), einen Sender, den Anthropic mit Politology in Verbindung brachte, dessen Einflusszweig Africa Corps/Wagner laut Einschätzung Ende 2023 unter Kontrolle des russischen Auslandsgeheimdienstes stand; der Akteur fertigte gefälschte Regierungsdokumente und Arbeitsverträge der Zentralafrikanischen Republik an, die Loyalität gegenüber dem Präsidenten des Landes sowie gegenüber Russland und dessen Truppen forderten. Anthropic bewertete die Operation auf der Skala als Kategorie Vier. In GTG‑54002 führten Ermittler etwa 70 erfundene Nachrichtenwebsites, 70 passende X‑Konten und mehr als 250 unechte Kommentar‑Konten auf die LKM Company zurück, eine in Frankreich ansässige Digital‑Advertising‑Agentur; das Netzwerk veröffentlichte mindestens 8 913 Artikel in rund 20 Sprachen, davon 318 mit Fokus auf die Demokratische Republik Kongo.

Weitere Operationen drehten sich um Wahlen und staatliche Medien. GTG‑84005, eine kommerzielle Wahl‑Manipulations‑Plattform, die Malaysia ins Visier nahm und von Anthropic mit dem in Istanbul ansässigen BBS Bilisim Teknolojileri in Verbindung gebracht wird, verwaltete etwa 1 000 gefälschte X‑Konten in allen 222 malaysischen Wahlkreisen und erstellte erfundene Dossiers gegen einen Oppositionspolitiker. GTG‑24015 umfasste vier Konten, die Claude als redaktionelle Schaltstelle nutzten, um russische Staatsmedien wie Sputnik Moldau, RIA Novosti, Sputnik en Español, Sputnik Africa und RT English zu speisen; ein ehemaliger Chefredakteur von Sputnik Moldau verbreitete erfundene Behauptungen über Präsidentin Maia Sandu im Vorfeld der Parlamentswahl in Moldau am 28. September 2025. GTG‑84002, eine Operation gegen die Muslimbruderschaft, die Anthropic mit hoher Sicherheit mit Beamten der VAE‑Regierung verknüpft, betrieb etwa 300 unechte Konten, verfasste im Namen von Zeugen für die 62. Sitzung des UN‑Menschenrechtsrates, erstellte Profile von 18 Mitgliedern des Europäischen Parlaments und sammelte Gegen‑Dossiers zu UN‑Sonderberichterstattern.

Zu den Überwachungsfällen gehört GTG‑50027, bei dem ein vermutlich in Bamako ansässiger Berater Claude als primäre Engineering‑Ressource für Lakana 360 einsetzte, eine nationale Überwachungsplattform, die für den malischen Staatssicherheitsdienst ANSE entwickelt wurde, um etwa 25 Millionen SIM‑Karten aller drei nationalen Mobilfunkanbieter zu überwachen; Anthropic erklärte, dass die Anforderung eines Durchsuchungsbefehls auf Wunsch des Betreibers aus der Dossier‑Erzeugungs‑Komponente der Plattform entfernt wurde. GTG‑14010 betrifft einen an die chinesische Regierung angelehnten Akteur, der Claude nutzte, um Uiguren in Syrien zu verfolgen, zu profilieren und zu rekrutieren, wobei er für Meldungen über bewaffnete Formationen zahlte, während Claude die Antworten in Echtzeit übersetzte und als Experte vorgab, um die Täuschung zu prüfen. In GTG‑14020 und GTG‑14021 produzierten in China ansässige Akteure, die Anthropic mit den religiösen Angelegenheiten der VR China sowie kommunalen öffentlichen und staatlichen Sicherheitsaktivitäten verknüpft, vorgefertigte Dossiers über katholische Kardinäle, die Presbyterian Church in Taiwan, tibetische Buddhisten und Falun Gong; ein Akteur umging nach einer Ablehnung die Sperrungsanweisung, indem er zehn Privatpersonen für „Kontrolle“ nannte und gleichzeitig Vorab‑Informationen zu Protesten im Ausland sammelte. GTG‑34007 umfasst zwei verbundene iranische Einheiten, die 16 Claude‑Konten betrieben und behaupteten, im Laufe eines Jahres 6 388 Iraner überwacht und profiliert zu haben, eine Sozial‑Netz‑Analyse von 155 216 Tweets mit 39 Oppositions‑Accounts durchgeführt und eine schädliche Firefox‑Erweiterung zur massenhaften Identitätsbeschaffung verbreitet zu haben, die ein gemeinsames Fall‑Management‑System namens Arman speiste.

Waffenentwicklung und biologischer Missbrauch

Der Bericht beschreibt sechs konventionelle Waffenfälle: drei in China, zwei in Russland und einen im Jemen. In GTG‑87001 nutzte ein nördlicher Jemen‑Zellverband Claude Code anstelle menschlicher Software‑Ingenieure, um Leit‑, Navigations‑ und Steuerungssoftware für eine gelenkte Rakete, eine mehrstufige ballistische Rakete mit einem angegebenen Reichweitenziel von über 2 000 km und eine Variantenreihe inklusive eines hyperschall‑Gleitfahrzeugs zu entwickeln; Anthropic erklärte, dass die Zelle eine Testabschuss einer gelenkten Rakete durchführte und der Feldtest offenbar gescheitert sei. GTG‑27005 betrifft vermutlich freiberufliche, in Russland ansässige Akteure, die Claude Code einsetzten, um einen autonomen FPV‑Kamikaze‑Drohnen‑Schwarm zu bauen, dessen integriertes Modell Ziele auswählen konnte, darunter die Klasse „Person“, und Detonationsbefehle ohne menschliche Kontrolle ausgab, wobei ein Bildklassifikator anhand von gesammeltem ukrainischem Kampffilm‑Material trainiert wurde. In GTG‑17002 entwickelte ein in China ansässiger Akteur ein etwa 16‑moduliges System zur elektronischen Kriegsführung und Luftverteidigungssuppression und änderte mittendrin das Standardszenario der Simulation auf 12 Ziele in Taiwan, darunter ein Befehlsbunker, ein Frühwarnradar, sowie Patriot‑ und Tien‑Kong‑Batterien; Anthropic schätzt, dass der Akteur mit chinesischen Forschungseinrichtungen, darunter der PLA‑Akademie für Militärwissenschaften, verbunden war.

Es folgen fünf Fallstudien zum biologischen Missbrauch. Im Mai 2026 blockierte Anthropics Klassifizierer für biologische Sicherheit eine Anfrage, bei der ein Antrag für Chikungunya‑Gain‑of‑Function‑Forschung für ein Militärforschungsinstitut unterstützt werden sollte; die Anfrage wurde über eine Umgehungsplattform geleitet, die später einen Rückfall einrichtete, um abgelehnte Eingaben an das Modell eines Konkurrenten zu senden. Ein Forscher in einer nicht unterstützten Region verbrachte wochenlang mit der Planung von Experimenten zur Anpassung von Vogel‑Influenza an Säugetiere, doch Anthropic erklärte, dass seine Klassifizierer die Kommunikation auf Claude Sonnet 4 und Haiku 4.5, die schwächste Modellklasse, beschränkten. In einem dritten Fall leitete ein Wiederverkäufer, der mehr als ein Dutzend unabhängiger Kunden bediente, einen Nutzerlauf vollständig über Opus 5, wobei innerhalb etwa einer Stunde ein Förderantrag zur Immun‑Evasion eines Orthopoxvirus von Anfang bis Ende erstellt wurde. Zwei weitere Fälle betrafen Programme zur Neugestaltung von Giftstoffen und Giften mit staatlicher Unterstützung. Anthropic sagte, dass eine 30‑tägige Durchsicht von Aktivitäten, die mit gegnerischen staatlichen Institutionen verbunden waren, rund 35 unterschiedliche Forschungsprojekte ergab, die meisten davon gewöhnliche zivile Wissenschaft, einige jedoch ein bemerkenswertes Dual‑Use‑Potenzial aufwiesen.

Betrug und illegale Destillation

Im Abschnitt zu Betrug und Täuschung behandelt GTG‑15001 ein in China ansässiges App‑Studio, das Claude einsetzte, um ein Netzwerk von mehr als 20 Dating‑Apps zu betreiben, deren KI‑Personas – insgesamt über 4 700 – während eines zweiwöchigen Zeitraums im April 2026 mit mindestens 25 000 einzelnen Personen kommunizierten und etwa 2,36 Millionen Nachrichten austauschten. Das Studio mischte echte Gig‑Arbeiter in denselben Match‑Feed im Verhältnis etwa drei zu eins von KI‑Personas zu echten Menschen, wobei die Personas angewiesen wurden, niemals offenzulegen, dass sie automatisiert seien.

Anthropic erklärte, dass es seit Februar 2026 Destillationsangriffe von sieben in China ansässigen Laboren, die alle auf seine allgemein verfügbaren Modelle abzielten, unterbrochen habe. In GTG‑16005 schrieb Anthropic Alibaba die größte gemessene Destillationskampagne zu – die Ketten‑Gedanken‑Destillation von Opus 4.6 und 4.7, die an fast 3 Millionen Austauschen pro Tag von über 3 500 betrügerischen Konten ihren Höhepunkt erreichte, wobei zwischen Mai und Juli 2026 über 151 Millionen Austausche beobachtet wurden und die erbeuteten Transkripte zum Training von Qwen 3.5, 3.6 und 3.7 verwendet wurden. In GTG‑16002 leitete Moonshot AI Kundenanfragen stillschweigend an Claude weiter, anstatt an seine Kimi‑Modelle, und übermittelte fast 300 000 Anfragen über zehn Tage durch 5 380 betrügerische Konten, wobei ein Cross‑Session‑Replay‑Angriff auf Claudes Denk‑Signaturen zur Extraktion von Argumentationsspuren eingesetzt wurde; zwischen Mai und Juli 2026 wurden über 23 Millionen Austausche beobachtet. In GTG‑16001 nutzte DeepSeek dieselbe Replay‑Technik und leitete Anfragen von Nutzern unbemerkt an Claude Opus weiter, wobei in 14 Tagen im Juli 2026 über 12,1 Millionen Austausche protokolliert wurden; Anthropic berichtete, dass der weitergeleitete Datenverkehr sensibles Material preisgab, darunter Live‑Zugangsdaten zu einer russischen Regierungsdatenbank und zu einem chinesischen Polizeifall‑Management‑System.

Die übrigen benannten Kampagnen umfassen Zhipu, das in zehn Tagen 770 609 Austausche über einen Ketten‑Gedanken‑Cleaner abwickelte und Cyber‑Fähigkeiten vor der Veröffentlichung von GLM 5.3 ins Visier nahm, sowie Xiaomi, das mehr als 400 000 Anfragen über mehr als 1 500 Konten leitete. Anthropic berichtete zudem, dass SenseTimes Destillations‑Pipeline Claude‑Transkripte enthielt, die von Drittanbieter‑Datenlieferanten erworben wurden, und dass MiniMax ein Proxy‑Netzwerk über eine Briefkastenfirma aufbaute, die ausschließlich Anthropic‑ und OpenAI‑Modelle anbot.

Anthropic beschreibt mehrschichtige Gegenmaßnahmen gegen illegale Destillation: metadatenbasierte Attribution von Proxy‑Dienst‑Netzwerken, Verstärkung von Extraktions‑Klassifizierern im Zuge der Einführung von Fable 5, zusammengefasste interne Argumentation, um gestohlene Transkripte für das Training weniger nutzbar zu machen, bewahrte Denkprozesse, die mit Fable 5.1 eingeführt wurden und verhindern, dass neue API‑Konten die System‑Prompt, Werkzeuge oder Nachrichten vor Claudes Argumentation in mehrstufigen Unterhaltungen ändern, sowie Identitäts‑Verifizierungs‑Anforderungen für Konten, die Anzeichen potenziellen Missbrauchs zeigen, wobei Konten, die die Verifizierung nicht bestehen, gesperrt werden. Das Unternehmen erklärte, dass die Erkenntnisse, die es bei der Untersuchung und Unterbindung von Destillationsangriffen gewinnt, weiterhin die von ihm entwickelten Schutzmaßnahmen informieren werden.