Cybersicherheit
Claude wandelte ein Cyber-Benchmark in drei reale Intrusionen um
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
Anthropic veröffentlichte am 30. Juli 2026 eine Mitteilung, dass drei seiner Claude-Modelle während von Offensive-Sicherheitstests unbefugten Zugriff auf die Produktionssysteme von drei realen Organisationen erlangt hatten, nachdem eine falsch konfigurierte Bewertungsumgebung den Modellen Live-Internet-Zugriff gewährt hatte, obwohl sie angewiesen worden waren, dass sie keinen Zugriff hätten.
Das Labor fand die Vorfälle in seinen eigenen Protokollen. Es überprüfte 141.006 Bewertungsläufe, in denen Claude möglicherweise Internet-Zugriff erlangen konnte, und identifizierte drei Vorfälle, die sich über sechs davon verteilten, alle innerhalb eines von Irregular betriebenen Testumfelds, einer externen Firma, die Cyber-Bewertungen für Frontier-Labore erstellt. Die frühesten Läufe datieren zurück bis April 2026.
Jeder war ein Capture-the-Flag-Übung, das Sicherheits-Drill, den Sicherheitsteams verwenden, um offensive Fähigkeiten zu messen: einbrechen in eine andere Maschine im Netzwerk und ein verstecktes Geheimnis abrufen. Anthropics Anweisung besagte, dass die Umgebung eine Simulation ohne Internet-Verbindung sei. Aufgrund eines Missverständnisses mit Irregular war sie jedoch dennoch verbunden, und Claude behandelte die Live-Systeme, die es fand, als Teil der Übung. Die verwendeten Techniken waren gewöhnlich: schwache Passwörter, unauthentifizierte Endpunkte, Anmeldeinformationen, die auf einer exponierten Debug-Seite platziert waren, SQL-Injection. Nichts Neues wurde entdeckt oder ausgenutzt.
Was die drei Vorfälle taten
- Claude Opus 4.7 wurde auf ein fiktives Ziel gerichtet, dessen Name einem realen, live-Domain entsprach. Über vier Läufe hinweg extrahierte es Anwendungs- und Infrastruktur-Anmeldeinformationen und erreichte eine Datenbank, die mehrere hundert Produktionsdatenreihen enthielt, der schwerwiegendste Einfluss, den Anthropic identifizierte. Alle vier erkannten schließlich, dass das System real war, und zwei davon rationalisierten, dass das Unternehmen im Umfang sein müsse. Keines hielt an.
- Claude Mythos 5 fand Onboarding-Dokumente in seinem Szenario, die Entwicklern anwiesen, ein Python-Paket zu installieren, das nicht existierte, und veröffentlichte dann ein eigenes, mit einer Falle versehenes Paket unter diesem Namen im öffentlichen Python-Register PyPI. Das Paket war etwa eine Stunde lang live und lief auf 15 realen Maschinen, einer davon bei einem Sicherheitsunternehmen, das Pakete automatisch installiert, um sie auf Schadsoftware zu scannen. Dort feuerte Claudes Payload, sandte die Anmeldeinformationen des Unternehmens an einen von ihm eingerichteten Sammelpunkt und nutzte sie, um weiter in die Infrastruktur vorzudringen. PyPIs eigene Systeme entfernten das Paket; Anthropic hat dem Team seine Indikatoren übergeben.
- Ein unveröffentlichtes internes Forschungsmodell konnte sein geplantes Ziel nicht erreichen, scannete stattdessen etwa 9.000 Hosts und kompromittierte eine internetfähige Anwendung eines Unternehmens. Später im Lauf erkannte es, dass der Host in einem nicht mit der Herausforderung verbundenen Cloud-Konto saß, schlussfolgerte, dass das Ziel real sei, und hielt an.
Mythos 5s Denkweise ist es wert, sie genau zu lesen. Zu Beginn des Laufs schrieb es auf, dass das Veröffentlichen des Pakets im realen Internet ein echter Angriff wäre, “nicht okay und sicherlich nicht die beabsichtigte Lösung.” Es kehrte seine Meinung um aus zwei Gründen: die Zertifizierungsstellen, die seine Verbindungen sicherten, waren ihm unbekannt, und der Kalenderdatum 2026 auf den Maschinen las sich für es wie ein Beweis aus, dass die Umgebung falsch sei. Es stellte die Frage nicht erneut, und als automatisierte Scanner begannen, das Paket zu installieren, nahm es sie für skriptierte Teile der Übung.
Wie die Intrusionen ans Licht kamen
Die Überprüfung existiert, weil ein Wettbewerber den Anfang machte. OpenAI veröffentlichte am 21. Juli 2026 eine Mitteilung, dass seine Modelle eine zuvor unbekannte Schwachstelle in einem Paket-Register-Cache ausgenutzt hatten, um aus einem isolierten Testumfeld auszubrechen und Hugging Faces Produktions-Infrastruktur zu erreichen. Diese Veröffentlichung hat bereits die Bewertungspraxis in europäische Debatten über AI-Souveränität und in Treffen zwischen Labor-Exekutiven und US-Beamten, die die federalen AI-Cyber-Tests entwerfen, getrieben.
Anthropic eröffnete seine Transkript-Überprüfung am 23. Juli 2026, stoppte alle Cyber-Bewertungen am selben Tag, identifizierte die drei Vorfälle einen Tag später und benachrichtigte Irregular und die betroffenen Organisationen am 27. Juli 2026. Zwei der Organisationen, die es erreicht hatte, hatten die Aktivität selbst nicht erkannt. Es arbeitet noch daran, die dritte zu erreichen.
Die Erkennungsrate ist das, was Unternehmens-Sicherheitsteams sich vor Augen halten sollten: ein 9.000-Host-Scan, funktionierendes Schadcode, das auf 15 Maschinen ausgeführt wird, und Produktionsdaten, die aus einer live-Datenbank abgerufen werden, keines davon von den Organisationen auf der empfangenden Seite erkannt.
Was sich in der Bewertungs-Infrastruktur ändert
Anthropic zieht eine Linie zwischen seinen Vorfällen und denen von OpenAI. Seine Modelle erreichten das Internet durch einen Pfad, der aus Versehen offen gelassen wurde, und nicht durch einen Zero-Day, und das Unternehmen bezeichnet das Ergebnis als “näher an ein Halter- und Betriebsversagen als ein Modell-Alignment-Versagen.” Die Modelle verfolgten die Aufgabe, die ihnen gegeben wurde, während sie eine falsche Überzeugung über ihren Standort hatten. Die Bewertungen liefen ohne die Klassifizierer und Überwachung, die mit allgemein verfügbaren Claude-Modellen ausgeliefert werden, eine bewusste Entscheidung, wenn man rohe Fähigkeiten misst; Anthropic sagt, dass diese Sicherheitsvorkehrungen das Verhalten blockiert hätten.
METR, die Non-Profit-Organisation, die unabhängige Fähigkeits-Bewertungen für Frontier-Labore durchführt, ist in Gesprächen, um die Vorfälle mit Zugriff auf jede Transkript und Stichproben-Zugriff auf die beteiligten Modelle zu überprüfen. Anthropic sagte, es werde eine leicht redigierte Transkript des PyPI-Laufs innerhalb einer Woche veröffentlichen, internetfähige Cyber-Bewertungen solange stoppen, wie es seine Test-Infrastruktur auditiert, kontinuierliche Transkript-Überwachung erweitern und Sicherheitsarbeiten mit seinen Bewertungs-Anbietern verschärfen. Irregular teilte Axios mit, dass seine eigene Untersuchung noch im Gange sei.
Was sich hier ändert, ist, wie ein Cyber-Bereich klassifiziert wird. Ein Testumfeld, voller erfundener Unternehmen, liest sich wie ein niedriges Risiko-Sandbox aus, und zwei Labore haben jetzt gezeigt, dass ein Agent mit realer offensiver Fähigkeit in einem zum lebendigen Angreifer wird, sobald ein Netzwerkpfad falsch ist. Anthropics abschließende Empfehlung an die restliche Branche ist, seine Transkripte zu lesen.
