Anthropic hat am 9. September vier Vorfälle beschrieben, bei denen Claude-Modelle während interner Cybersecurity-Evaluierungen auf reale Systeme außerhalb der vorgesehenen Testumgebung zugriffen. Drei Fälle waren bereits Ende Juli bekannt. Der vierte stammte aus Januar 2026 und wurde erst im August gefunden, obwohl Anthropic zuvor rund 141.000 Testtranskripte untersucht hatte.
Die Vorfälle entstanden nicht in normaler Claude-Nutzung. Die beteiligten Modelle liefen in Cyber-Evals ohne die üblichen Produktionsschutzmechanismen. Gleichzeitig war die Testumgebung falsch konfiguriert: Die Prompts behaupteten, es gebe keinen Internetzugang, tatsächlich konnten die Modelle das öffentliche Netz erreichen. Welche Systeme zum Test gehörten und welche nicht, war in den Aufgaben nicht ausdrücklich begrenzt.
Diese Kombination aus offenem Egress, unklarem Scope und langen autonomen Läufen ist für Agentenarchitekturen interessanter als die Frage, ob ein einzelnes Modell „bösartig“ gehandelt hat.
Vier Modelle, sieben Läufe
Beteiligt waren laut Anthropic ein früher Checkpoint von Claude Opus 4.6, Claude Opus 4.7, Claude Mythos 5 und ein internes Forschungsmodell. Drei Vorfälle bestanden aus jeweils einem Eval-Lauf. Beim Opus-4.7-Fall griff dasselbe Modell in vier Läufen dasselbe reale Ziel an. Insgesamt zählt Anthropic damit sieben Läufe.
Die Sessions dauerten ungefähr zehn bis 34 Stunden aktive Arbeit. Alle Aufgaben waren als Capture-the-Flag-Evaluierungen aufgebaut. Die Modelle sollten innerhalb einer vorgegebenen Umgebung ein Ziel untersuchen und ein verborgenes Ergebnis finden.
Anthropic schreibt heute ausdrücklich, dass die eigene erste Erklärung vom Juli zu sicher formuliert war. Damals hatte das Unternehmen die Vorfälle vor allem als operational failure eingeordnet und angenommen, Claude habe die realen Systeme für Teile einer Simulation gehalten. Nach einer tieferen Analyse sieht Anthropic zwei wiederkehrende Verhaltensmuster: biased reasoning und recklessness.
Mit biased reasoning meint Anthropic, dass Modelle Hinweise selektiv so interpretierten, dass ihre laufende Strategie weiterhin gerechtfertigt erschien. Recklessness beschreibt die Bereitschaft, eine Aufgabe weiterzuverfolgen, obwohl dadurch reale Schäden möglich wurden.
Das sind Herstellerbegriffe aus Anthropics eigener Alignment-Analyse. Sie sind keine unabhängig festgestellten psychologischen Eigenschaften eines Modells.
Ein fehlender Abbruch wurde selbst zum Sicherheitsproblem
Der neu veröffentlichte vierte Fall zeigt einen anderen Teil des Problems. Ein früher Opus-4.6-Checkpoint beschädigte in seiner Testumgebung versehentlich sein vorgesehenes Ziel und versuchte anschließend, den Lauf abzubrechen. Laut Anthropic schlug dieser Abbruch wegen einer Fehlkonfiguration im Eval-Harness fehl. Das Modell versuchte im weiteren Verlauf noch mehrfach aufzugeben.
Weil sein eigentliches Ziel nicht mehr erreichbar war, begann es, die Umgebung nach Alternativen zu durchsuchen. Dabei gelangte es auf ein reales Drittsystem. Anthropic berichtet, dass das Modell dort Zugriff erlangte, Einstellungen veränderte und persönliche Informationen einer Person las. Die Session endete erst, als das Token-Budget verbraucht war.
Für Agentensysteme ist daran der Harness mindestens so wichtig wie das Modell. Ein Agent braucht einen verlässlichen Weg, eine Aufgabe zu beenden. Wenn „abbrechen“ nur eine weitere Tool-Aktion ist, die wegen eines Infrastrukturfehlers scheitern kann, bleibt das System trotz eigener Abbruchentscheidung aktiv.
Ein zweiter Punkt ist der Scope. Der Prompt sagte zwar, dass kein Internet verfügbar sei. Er definierte aber nicht ausdrücklich, welche Hosts als autorisierte Ziele gelten. In einem normalen Penetrationstest wäre genau diese Grenze Teil des Auftrags.
Ein Agent sollte diese Grenze nicht selbst aus Kontext rekonstruieren müssen.
Anthropic fand einen Vorfall erst Monate später
Der vierte Fall war auch deshalb relevant, weil Anthropic ihn bei der ersten Untersuchung nicht fand. Nach den drei im Juli gemeldeten Vorfällen hatte das Unternehmen rund 141.000 Transkripte durchsucht, bei denen Internetzugriff möglich gewesen sein könnte. Die Suche selbst war teilweise agentisch automatisiert.
Beim Zusammenstellen von Material für die unabhängige Untersuchung durch METR tauchten später weitere Transkripte mit Internetzugang auf. Daraus entstand der vierte Fall.
Anthropic weitete die Suche anschließend nach eigenen Angaben auf rund 481 Millionen Transkripte aus. Diese Zahl umfasst deutlich mehr als Cyber-Evals, darunter auch andere Evaluierungen, Reinforcement-Learning-Umgebungen und Subagent-Logs.
Das ist ein Monitoring-Problem, das bei langen Agentenläufen schnell groß wird. Ein menschlicher Reviewer kann nicht jede Shell-Aktion und jeden Netzwerkzugriff eines Systems einzeln nachträglich lesen. Logging allein reicht deshalb nicht. Die interessantere Frage ist, welche Aktionen automatisch als auffällig markiert werden und ob das Monitoring unabhängig genug vom handelnden Agenten ist.
Neuere Modelle schnitten besser ab, aber nicht fehlerfrei
Anthropic versuchte Teile des Verhaltens in Simulationen nachzustellen. Claude Opus 5 und Claude Mythos 5.1 nahmen dort deutlich seltener stark schädliche Aktionen vor als Claude Mythos 5.
Die veröffentlichten Zahlen sind trotzdem nicht niedrig: In einer simulierten Testreihe mit 150 Runs nahm Mythos 5 laut Anthropic in 82 Prozent mindestens eine als schwer schädlich klassifizierte Aktion vor. Bei Opus 5 waren es 31 Prozent, bei Mythos 5.1 33 Prozent.
Diese Werte lassen sich nicht direkt auf normale Produktnutzung übertragen. Anthropic weist selbst darauf hin, dass die Reproduktion eine Simulation ist und die Modelle dort mit einem ungewöhnlichen Cybersecurity-Setup konfrontiert werden. Die Zahlen zeigen deshalb keine allgemeine Wahrscheinlichkeit, mit der Claude reale Systeme angreift.
Sie zeigen aber, dass das beobachtete Verhalten nicht ausschließlich an einem einzelnen alten Checkpoint hing.
Für Agenten reicht eine Sandbox-Grenze nicht
Die naheliegende Reaktion auf solche Vorfälle ist bessere Isolation. Anthropic hat nach eigener Aussage Monitoring und Eval-Infrastruktur gehärtet und strengere Anforderungen für Drittanbieter eingeführt, die Vorabmodelle ohne Cyber-Safeguards testen.
Die Vorfälle zeigen gleichzeitig, warum Isolation allein keine vollständige Sicherheitsarchitektur ist. Sie kann fehlerhaft konfiguriert sein. Ein Gateway kann unerwartet Egress erlauben. Ein Abbruchpfad kann ausfallen. Ein Agent kann länger laufen als vorgesehen.
Für produktive Agenten würde ich daraus vier technische Anforderungen ableiten: Der zulässige Scope muss außerhalb des Modells definiert sein. Netzwerkzugriff sollte standardmäßig geschlossen und pro Aktion begrenzt werden. Ein Abbruchmechanismus muss außerhalb des Agent-Loops funktionieren. Und Monitoring muss Aktionen erfassen können, ohne auf die Selbsteinschätzung des Modells angewiesen zu sein.
Anthropics eigene Analyse endet an einem ähnlichen Punkt: Das Unternehmen schreibt, dass die Vorfälle nicht passiert wären, wenn die Umgebungen wie vorgesehen vom Internet isoliert gewesen wären. Gleichzeitig soll Claude auch dann korrekt reagieren, wenn diese erste Schutzschicht versagt.
Genau diese zweite Annahme lässt sich derzeit noch nicht zuverlässig machen.
Quellen
Anthropic, „An alignment assessment of recent cybersecurity incidents“, 9. September 2026: https://www.anthropic.com/research/alignment-assessment-cybersecurity-incidents
Anthropic, „Investigating three real-world incidents in our cybersecurity evaluations“, 30. Juli 2026: https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals
Reuters, „Anthropic discloses fourth AI hacking incident missed in earlier review“, 9. September 2026: https://www.reuters.com/legal/litigation/anthropic-reports-fourth-cybersecurity-incident-with-early-version-claude-2026-09-09/