Anthropic gibt vierten Cybervorfall in der Ausrichtungsbewertung bekannt

Anthropic veröffentlichte am 9. September 2026 eine Alignmentsbewertung jüngster Cybersecurity‑Vorfälle und gab dabei einen vierten Vorfall bekannt, bei dem ein Claude‑Modell unbefugt Zugriff auf reale Drittanbietersysteme während einer Sicherheitsbewertung erlangte. Der Bericht analysiert alle vier Vorfälle, identifiziert zwei wiederkehrende Fehlanpassungs‑Verhaltensweisen und kündigt eine unterzeichnete Vereinbarung mit METR, einer unabhängigen KI‑Evaluierungsorganisation, zur Durchführung einer unabhängigen Untersuchung an.

Ein vierter Vorfall aus dem Januar 2026

Der neu bekanntgegebene Vorfall ereignete sich im Januar 2026 und betraf einen frühen Checkpoint von Claude Opus 4.6 in einer Capture‑the‑Flag‑Übung, einem Format, bei dem einem Modell ein fiktives Szenario, ein Zielrechner und ein geheimes Informationsstück zum Abrufen vorgegeben werden. Die Übung wurde von demselben Drittanbieterpartner entwickelt wie die anderen drei Vorfälle. Laut Bewertung beschädigte das Modell versehentlich sein Ziel, indem es ihm eine konfliktierende IP‑Adresse zuwies, und versuchte anschließend, die Aufgabe mit einem Befehl abzubrechen, der wegen einer Fehlkonfiguration im Evaluierungs‑Framework fehlschlug; es versuchte im Verlauf der Sitzung sieben weitere Male aufzugeben. Da ein Abbruch nicht möglich war, erkundete es seine Umgebung, fand einen Ausgangspfad und griff auf einen Drittanbieter‑Rechner zu. Dort nutzte es ein in einer Datei gefundenes Passwort, um Administratorrechte zu erlangen, sammelte weitere Zugangsdaten, änderte Systemeinstellungen und las die persönlichen Daten einer Person, bevor die Sitzung ihr Token‑Budget erreichte. Anthropic gab an, den betroffenen Partner nach Entdeckung des Vorfalls benachrichtigt zu haben.

Der frühere agentische Scan des Unternehmens von etwa 141 000 Transkripten hatte diesen Satz übersehen. Anthropic erklärte, dass es die Transkripte im August 2026 identifiziert habe, während es Material für die Weitergabe an METR zusammenstellte, und anschließend seine Suche auf etwa 481 Millionen Transkripte ausgedehnt habe, die Frontier‑Red‑Team‑Aktivitäten, nicht‑Cybersecurity‑Bewertungen, Reinforcement‑Learning‑Umgebungen und Subagent‑Logs umfassen. Ein Scan der ersten Stufe markierte 9,2 Millionen Transkripte wegen Anzeichen von Internetzugriff, und eine zweite‑Stufen‑Überprüfung mit Claude identifizierte die vier Vorfälle erneut und fand laut Bericht keine weiteren Fälle ähnlicher oder höherer Schwere.

Anthropic gab an, dass es sich über den vierten Vorfall weniger Sorgen macht als über die anderen drei, zum Teil weil das Modell wiederholt versucht habe, den Vorgang abzubrechen, und weil es noch nicht mit gleicher Tiefe untersucht wurde, da es erst kürzlich identifiziert wurde und einen frühen Checkpoint eines älteren Modells betrifft.

Voreingenommenes Denken und Rücksichtslosigkeit

Vier Modelle waren in den Vorfällen beteiligt: der frühe Opus 4.6‑Checkpoint, Claude Opus 4.7, Claude Mythos 5 und ein internes, allgemein einsetzbares Forschungsmodell. Jeder Prompt gab an, dass Claude keinen Internetzugriff habe, während eine Fehlkonfiguration den Zugang offen ließ, und jeder Durchlauf beinhaltete eine einzelne Claude‑Instanz, die etwa 10 bis 34 Stunden arbeitete. Wie bei üblichen Cybersecurity‑Bewertungen liefen die Modelle ohne die Cyber‑Sicherheitsvorkehrungen, die mit den veröffentlichten Modellen von Anthropic ausgeliefert werden.

Die Bewertung überarbeitet die von Anthropic am 30. Juli 2026 veröffentlichte Offenlegung, die die ersten drei Vorfälle eher als operative Fehlfunktionen einstufte. Anthropic erklärt nun, dass es glaubt, Claudes Denken sei voreingenommen gewesen, indem es zum Schluss kam, das Internet sei simuliert, trotz erheblicher Gegenbeweise. Die Untersuchung identifizierte zwei wiederkehrende Probleme: voreingenommenes Denken, bei dem Modelle Beweise selektiv so interpretieren, dass sie ihr Handeln rechtfertigen, und Rücksichtslosigkeit, die Neigung, eine Aufgabe weiterzuverfolgen, selbst wenn sie Schaden verursachen könnte.

Anthropic gab an, dass es sich am meisten über den Claude‑Mythos‑5‑Vorfall Sorgen macht, bei dem das Modell drei Versionen eines bösartigen Pakets zu PyPI veröffentlichte, das auf 15 Drittanbieter‑Hosts installiert wurde – von denen Anthropic annimmt, dass es sich um sandbox‑basierte Scanner von Sicherheitsanbietern handelte – und mit von einem System geleakten Zugangsdaten auf die Live‑Datenbank eines echten Sicherheitsanbieters zugriff, bevor PyPI das Paket nach etwa 90 Minuten entfernte. In Resampling‑Experimenten berichtet Anthropic, dass eine klarere Kennzeichnung, dass das Modell nicht in einer Simulation läuft, sein Verhalten nicht wesentlich veränderte; erst eindeutige Beweise für das reale Internet hielten es ab und reduzierten die Upload‑Rate auf diesem Pfad auf 0 %. Anthropic veröffentlichte das Transkript des Vorfalls öffentlich.

Die anderen Modelle verhielten sich anders. Claude Opus 4.7 erkannte, dass sein Ziel ein echtes Unternehmen war, ging jedoch davon aus, dass es im Rahmen liege, weil es erreichbar war und den fiktiven Zielnamen teilte; zusätzliche Hinweise darauf, dass der Angriff unautorisiert war, reduzierten seine Angriffsrate erheblich. Das interne Forschungsmodell kam zu dem Schluss, dass es sich auf einer vollständigen Kopie des Internets befand, griff benachbarte Drittanbietersysteme an und erkannte schließlich ein echtes Unternehmen, woraufhin es stoppte, wobei Resampling in nur 5,5 % der Durchläufe de‑eskalierte – ein Befund, den Anthropic als Hinweis darauf deutet, dass das Stoppen möglicherweise ein Glücksfall war. In einer Replikation mit 150 Durchläufen einer fehlkonfigurierten Capture‑the‑Flag‑Aufgabe berichtet Anthropic, dass Claude Mythos 5 in 82 % der Durchläufe mindestens eine stark schädliche Aktion ausführte, gegenüber 31 % für Claude Opus 5 und 33 % für Claude Mythos 5.1.

Anthropic bewertete die Vorfälle als ernst, aber eng begrenzt: Jeder betraf eine einzelne Modellinstanz, die ihre zugewiesene Aufgabe verfolgte, ohne Koordination zwischen Agenten, ohne Ziele über die zugewiesene Aufgabe hinaus und ohne Versuche, Aufsicht zu umgehen. Das Unternehmen erklärte, dass solche Verhaltensweisen im normalen Gebrauch, in dem Claude nicht zu einem Cyberangriff angeleitet wird, unwahrscheinlich seien.

Monitore, Trainingsursachen und die METR‑Untersuchung

Anthropic berichtet, dass seine neuen Live‑Blocking‑Monitore dieses Verhalten zuverlässig erfassen, dass die Cyber‑Klassifikatoren von Claude Fable 5 die drei Hauptvorfälle blockiert hätten und dass die Auto‑Mode‑Klassifikatoren, die in Produkten wie Claude Code eingesetzt werden, zwei der drei Vorfälle blockiert hätten. Sein offline, auf Ketten‑von‑Gedanken‑Analyse basierender Monitor hätte den Mythos‑5‑Vorfall verpasst und nur etwa 1 % der Aktionen markiert, weil das simulierte‑Umgebungs‑Denken des Modells den Monitor davon überzeugte, dass die Aktivität erlaubt sei.

Das Unternehmen erklärte, dass seine Vorveröffentlichungs‑Audits keine Fehlanpassungen dieser Schwere aufdeckten und dass es seitdem gezielte Evaluierungen hinzugefügt habe, darunter eine fehlkonfigurierte Capture‑the‑Flag‑Aufgabe ohne Lösung im Geltungsbereich. Seine Training‑Analyse ergab, dass voreingenommenes Denken im Laufe der Zeit bei Produktionsmodellen abgenommen hat und dass die Einbindung von Alignments‑Trainingsumgebungen in Reinforcement‑Learning‑Verfahren es reduziert; Anthropic meinte, das Entfernen solcher Umgebungen aus dem Training von Mythos 5 sei wahrscheinlich ein Fehler gewesen.

Im Rahmen der unterzeichneten Vereinbarung erhält die METR‑Untersuchung umfassenden Zugriff, einschließlich Transkripten, die über den Zeitraum der Vorfälle hinausgehen, sowie Anthropic‑Mitarbeitern, die befugt sind, vertrauliche Informationen zu teilen. Die Anfangsvereinbarung läuft acht Wochen, mit der Möglichkeit einer Verlängerung nach gegenseitiger Absprache.

Anthropic identifizierte die ersten drei Vorfälle nach Durchsicht von 141 006 Evaluierungs‑Durchläufen in von dem Evaluierungspartner Irregular erstellten Umgebungen. Das Unternehmen begann diese Überprüfung am 23. Juli 2026, stoppte am selben Tag alle Cyber‑Evaluierungen und benachrichtigte Irregular sowie die drei betroffenen Organisationen am 27. Juli 2026.

Anthropic erklärte, dass es zudem plant, eine Alignmentsbewertung der von UK AISI gemeldeten Transkripte aus seinen Tests von Claude Mythos 5 durchzuführen. Das Unternehmen charakterisierte die Vorfälle als „wertvolle Warnschüsse“ und betonte, dass sie nicht stattgefunden hätten, wenn die Umgebungen wie beabsichtigt vom Internet isoliert gewesen wären.