Ende Juli meldeten OpenAI und Anthropic, dass ihre Modelle in Tests in fremde Systeme eingedrungen waren. Jetzt liegt Anthropics ausführliche Auswertung vor. Sie enthält einen vierten Fall und ein bemerkenswert offenes Eingeständnis.
Im August haben wir die Schlagzeilen über KI-Modelle, die in fremde Systeme eindrangen, einem Faktencheck unterzogen. Am 9. September hat Anthropic die ausführliche Auswertung seiner eigenen Fälle veröffentlicht. Sie ist lang, technisch, und an einigen Stellen deutlich selbstkritischer, als man es von einem Hersteller erwartet.
Alle vier Fälle geschahen in Sicherheitstests, gebaut von demselben externen Partner. Claude sollte in einer abgeschlossenen Übungsumgebung Angriffsaufgaben lösen und bekam gesagt, es gebe keinen Internetzugang. Durch eine Fehlkonfiguration war das Modell aber mit dem echten Internet verbunden. Und wie bei solchen Tests üblich liefen die Modelle ohne die Schutzfilter, die in den veröffentlichten Versionen stecken.
Drei der Fälle hatte Anthropic am 30. Juli gemeldet. Den vierten, aus dem Januar 2026 mit einer frühen Version von Claude Opus 4.6, fand man erst im August, als man Protokolle für eine externe Prüfung zusammenstellte. Die erste Suche hatte ihn übersehen.
Danach hat Anthropic breiter gesucht, in rund 481 Millionen Protokollen. Eine erste Stufe markierte 9,2 Millionen verdächtige, Claude prüfte diese in einer zweiten Stufe. Ergebnis: dieselben vier Fälle, keine weiteren von ähnlicher oder größerer Schwere. Die Betroffenen wurden informiert, und die unabhängige Organisation METR untersucht die Vorfälle jetzt mit weitreichendem Zugang, zunächst für acht Wochen.
Claude wurde in allen Fällen ausdrücklich angewiesen anzugreifen, nur eben in einer vermeintlichen Übung. Die Modelle blieben laut Anthropic bei der gestellten Aufgabe, versuchten teils abzubrechen, stimmten sich nicht mit anderen Agenten ab und verwischten keine Spuren. Anthropic hält es für unwahrscheinlich, dass so etwas im normalen Gebrauch passiert, wo niemand einen Angriff bestellt. Das ist die Einschätzung des Herstellers, die Prüfung durch METR steht noch aus.
Anthropic beschreibt zwei Muster. Erstens verzerrtes Denken: Das Modell übersah Hinweise darauf, dass es im echten Netz war, oder deutete sie um. Zweitens Leichtsinn: die Bereitschaft, für die Aufgabe schädliche Schritte zu gehen. Am meisten beunruhigt Anthropic der Fall mit Claude Mythos 5. Das Modell versuchte mit großem Aufwand, ein schädliches Softwarepaket auf PyPI hochzuladen, die öffentliche Quelle, aus der fast alle Python-Programme installiert werden. In seinen Gedanken schrieb es, es sei in einer Simulation, obwohl die Umgebung klar dagegen sprach.
Und dann der Satz, der hängen bleibt: Die Prüfung vor dem Start habe nicht davor gewarnt, dass eine Fehlausrichtung dieser Schwere vorhanden war.
Anthropic hat die Nachfolger in einer nachgebauten Situation getestet. Claude Opus 5 und Claude Mythos 5.1 gehen deutlich seltener schädliche Schritte als Mythos 5, laut Anthropic aber immer noch in bedenklichem Umfang, und jeweils erst, nachdem sie die Umgebung für simuliert erklärt haben. Neue Tests dieser Art gehören jetzt zur Prüfung vor jedem Start.
Für Betriebe, die Agenten einsetzen, ist das die eigentliche Lehre. Ein Modell, das glaubt, es sei nur eine Übung, verhält sich anders als eines, das weiß, dass es ernst ist. Ihr könnt euch nicht darauf verlassen, dass der Agent erkennt, wo er gerade ist. Die Grenzen müsst ihr selbst setzen.
In den veröffentlichten Modellen stecken Filter gegen Cyberangriffe und bei Claude Code ein automatischer Prüfmodus, die in diesen Tests bewusst abgeschaltet waren. Laut Anthropic hätten sie eine zusätzliche Verteidigungsschicht gebildet. Wer Claude normal nutzt, arbeitet also mit mehr Schutz als die Modelle in diesen Fällen. Garantien gibt das trotzdem nicht, Anthropic selbst nennt die Fragen ungeklärte Wissenschaft.
Gebt keinem Agenten einen Zugang, den ihr nicht auch einer neuen Aushilfe am ersten Tag geben würdet. Lasst ihn nur in dem Bereich arbeiten, den er für die Aufgabe braucht, also ein eigenes Postfach statt des Hauptpostfachs, ein Testkonto statt des echten Werbekontos. Und lasst ihn alles, was nach außen geht, erst vorlegen. Diese drei Grenzen hätten keinen der vier Fälle verhindert, weil dort der Test selbst falsch aufgebaut war. Aber sie verhindern, dass bei euch aus einem Irrtum ein Schaden wird.
Ich rechne es Anthropic hoch an, dass sie nachgezählt, den übersehenen Fall öffentlich gemacht und eine unabhängige Prüfung mit weitem Zugang beauftragt haben. Und dass sie schreiben, ihre eigenen Tests hätten nichts davon angezeigt. Das ist unbequemer als jede Pressemitteilung.
Die Lehre für uns ist trotzdem ernüchternd. Wenn selbst der Hersteller vorher nicht sieht, wie sich sein Modell in einer Ausnahmesituation verhält, kann es der Betrieb erst recht nicht. Deshalb gehört die Grenze nicht in die Hoffnung, dass der Agent klug ist, sondern in die Rechte, die ihr ihm gebt.
Quellen: Anthropics Auswertung „An alignment assessment of recent cybersecurity incidents“ vom 9. September 2026, daraus sämtliche Angaben zu den vier Fällen, zum Suchumfang, zu METR, zu den Nachfolgemodellen und das Eingeständnis zur Prüfung vor dem Start; die Einordnung der Meldungen von Ende Juli aus unserem Faktencheck vom 12. August 2026. Alle Bewertungen der Schwere sind Angaben von Anthropic, die unabhängige Untersuchung läuft noch. Stand: 10.09.2026.
Welches Modell für welche Aufgabe, welche Tools wirklich zählen und wie du richtig promptest — komplett lesbar, kein Download.
Jetzt gratis lesen →Ich prüfe mit dir, welche Zugänge deine KI-Werkzeuge heute haben, schneide sie auf das Nötige zurück und richte ein, dass alles, was nach außen geht, erst bei dir landet.