Anthropic-Report: Automatisierte KI macht Angriffe schneller und skalierbar

Anthropic dokumentiert systematischen Missbrauch seiner Claude‑Modelle: von selbstumbauender Malware über Distillation bis zur großflächigen Überwachung.

In Kürze

• Automatisierung beschleunigt und skaliert Angriffe
• Distillation und Datendiebstahl in Industrie‑Skala
• Überwachung, Waffenentwicklung und Biorisiken dokumentiert

Anthropic hat in einem Threat‑Intelligence‑Report die Fälle systematischen Missbrauchs seiner KI‑Modelle zwischen Dezember 2025 und August 2026 dokumentiert. Die Vorfälle ordnet das Unternehmen in sieben Kategorien:

• Cyberoperationen
• Einflussoperationen
• Überwachung
• Betrug
• biologischer Missbrauch
• konventionelle Waffen
• unerlaubte Modell‑Distillation

Zentrale Erkenntnis: Automatisierung macht komplexe Angriffe einfacher — viele Schritte laufen jetzt in Maschinengeschwindigkeit und parallel ab, sodass Angriffe auch für Akteure mit geringer technischer Tiefe attraktiv werden.

Betroffene Modelle und Vorgehensweise

Hauptziele der Missbräuche waren laut Bericht die Modelle Haiku, Sonnet und Opus; neuere Varianten wie Fable und Mythos fanden sich kaum in den dokumentierten Fällen. Anthropic betont, dass es besonders neuartige Missbrauchsmuster auflistet und nicht nur klassischen Fehlgebrauch.

Cyberangriffe und selbst‑umbauende Malware

Klassische Einfallstore bleiben weit verbreitet:

• gestohlene Zugangsdaten
• ungepatchte Geräte
• SQL‑Injection
• Phishing

Der Unterschied: KI‑Agenten übernehmen Aufklärung, Exploit‑Erstellung und Werkzeugbau automatisiert. Ein Beispiel im Bericht beschreibt einen russischsprachigen Spionageakteur, dessen Agenten Schadsoftware kontinuierlich umbauten, sobald Antiviren‑Scanner anschlugen — die Malware kompiliert sich so lange neu, bis sie unentdeckt bleibt. Das verlagert den Aufwand auf die Verteidiger, weil Erkennungsregeln langsamer ausgerollt werden als die Anpassungszyklen der Angreifer.

Betroffene Ziele und Lieferketten

Mehr als 20 Organisationen waren betroffen, darunter:

• Ministerien
• Geheimdienste
• Botschaften
• Rüstungsfirmen

Schwerpunkt lag auf der Ukraine und Europa. Wiederholt ins Visier geriet die Drohnen‑Lieferkette, etwa durch Diebstahl proprietärer SDKs, also Entwicklungs‑Werkzeugpakete für Gerätehersteller.

Credential‑Mining und „vibe hacking”

Anthropic beschreibt Gruppen, denen Cluster wie ShinyHunters zugerechnet werden: Eine Operation lud 1,8 Millionen Android‑Apps herunter, dekompilierte sie und suchte automatisch nach hartkodierten Geheimnissen, etwa Zugangsdaten. Gleichzeitig taucht das Vorgehen auf, das Anthropic als „vibe hacking” bezeichnet: Menschen setzen grobe Ziele, das Modell bewertet die Umgebung und iteriert autonom, bis die Aufgabe erfüllt ist.

Distillation und Datendiebstahl durch KI‑Labore

Distillation wird als unautorisierte Extraktion von Fähigkeiten oder Trainingsdaten eines Modells beschrieben: Man schickt große Mengen an Anfragen an das Zielmodell und nutzt die Antworten als Trainingsdaten. Anthropic identifizierte mehrere chinesische Labore, die solche Kampagnen in Industrie‑Skalierung fuhren, oft mit gefälschten Konten, gestohlenen Kreditkarten und abgezweigten API‑Schlüsseln.

Der größte Fall betraf ein Labor von Alibaba: Mit einem festen Prompt wurden Claudes interne „Reasoning‑Spuren” ausgegeben und als Feinabstimmungsdaten verwendet. Zwischen Mai und Juli 2026 protokollierte Anthropic über 151 Millionen Austausche, mit Tagesmaxima von bis zu fast 3 Millionen Interaktionen aus mehr als 3.500 betrügerischen Konten — vor allem zu agentischen Aufgaben und Softwareentwicklung.

Datenweiterleitungen durch Drittanbieter

Mehrere Firmen leiteten Anfragen ihrer Kunden heimlich an Claude weiter:

• Moonshot AI soll in zehn Tagen knapp 300.000 Kundenanfragen an Anthropic geschickt haben
• DeepSeek leitete Millionen von Konversationen weiter und stieß dabei auf sensible Nutzungsfälle, etwa die Analyse von CCTV‑Archivdaten zu einer Zielperson in Chengdu oder einen Operator mit Live‑Zugangsdaten zu einer russischen Verteidigungsdatenbank
• Xiaomi speicherte Gespräche seines MiMo‑Modells und nutzte Claude, um sie als Trainingsdaten weiterzuverarbeiten; dabei fanden sich personenbezogene Daten in vielen Sprachen
• Weitere Namen im Bericht sind Zhipu/Z.ai, SenseTime und MiniMax — teils durch direkten Zugriff, teils über Zwischenhändler

Werkzeuge zur Extraktion von Denkspuren

Manche Labore wechselten gezielt zu Modellen mit schwächerem Schutz, wenn stärker gesicherte Versionen blockierten. Tools wie sogenannte „CoT‑Cleaner” (CoT = chain‑of‑thought) wurden eingesetzt, um erbeutete Reasoning‑Spuren automatisch in verwertbare Trainingsdaten zu überführen.

Überwachung auf großer Skala

Anthropic beschreibt eine Plattform namens „Lakana 360”, bei der Claude als Haupt‑Engineering‑Kapazität diente, um rund 25 Millionen SIM‑Karten über alle drei nationalen Mobilfunkbetreiber hinweg zu überwachen. Die Plattform soll:

• Personen über SIM‑Wechsel hinweg an der Stimme erkennen
• VPN‑ und Verschlüsselungsnutzer markieren
• Personen mit einem nationalen biometrischen Register verknüpfen

Zwar stoppte eine Kontosperre bei Anthropic die Entwicklung, der Betrieb lief laut Bericht aber weiter auf lokal betriebenen Modellen. Ähnliche Muster wurden auch aus Iran gemeldet, wo Tausende Menschen überwacht wurden.

Konventionelle Waffen und autonome Systeme

In mehreren Fällen wurden Claude‑Instanzen für Raketen‑ und Drohnenprogramme eingesetzt. Beispiele im Bericht:

• In Jemen ersetzten Akteure laut Bericht menschliche Softwareingenieure durch Claude‑Instanzen für Steuerungs‑, Navigations‑ und Regelungssoftware dreier Raketenprogramme, darunter eine mehrstufige Rakete mit einer angepeilten Reichweite von über 2.000 km. Die Arbeit wurde auf mehrere Instanzen verteilt, damit keine einzelne Sitzung die Absicht offenlegte.
• In einem russisch zugeordneten Fall konstruierten Freiberufler einen autonomen FPV‑Kamikaze‑Drohnen‑Schwarm mit kleinem Bordmodell, das Personen erkennen und eine Explosion ohne menschliche Freigabe auslösen konnte.
• Ein weiterer Fall aus China betraf Module für elektronische Kampfführung, unter anderem mit Simulationen, die Taiwan als Szenario behandelten.

Biologie und Dual‑Use‑Risiken

Im Kapitel Biologie nennt Anthropic fünf dokumentierte Fälle, in denen Claude Forscher bei potenziell gefährlichen Dual‑Use‑Projekten unterstützte. Ein Biosicherheitsklassifikator blockierte etwa einen Förderantrag zu Gain‑of‑Function an Chikungunya in einem militärischen Institut — der Betreiber hatte jedoch einen Fallback gebaut, der abgelehnte Anfragen an ein anderes Modell weiterleitete; den Code dafür schrieb laut Bericht überwiegend Claude selbst. Anderen Projekten, etwa einem Entwurf zu Immune‑Evasion‑Genen von Orthopox‑Viren, gelang offenbar weitgehend ungehinderte Arbeit.

Anthropic zieht daraus die Schlussfolgerung, dass Klassifikatoren allein nicht gleichzeitig Nutzen ermöglichen und Schaden verhindern können, weil die Intention bei Dual‑Use‑Anfragen schwer zu erkennen ist.

Technische Gegenmaßnahmen von Anthropic

Als Reaktion hat Anthropic laut Bericht Schutzmaßnahmen und Modell‑Updates eingeführt:

• Fable 5 erhielt strengere Beschränkungen für biologische Anfragen
• Fable 5.1 soll mit einem Mechanismus namens „preserved thinking” Distillation erschweren, indem Kontextmanipulationen, die Reasoning‑Spuren extrahieren, blockiert werden
• Anthropic sieht verifizierte Nutzerprogramme als einzigen sicheren Weg, Spitzenfähigkeiten in der Biologie verantwortungsvoll bereitzustellen, betont aber zugleich die fundamentalen Grenzen technischer Klassifikatoren bei Dual‑Use‑Fragen

Kurzgefasst dokumentiert der Report, wie Automatisierung die Angriffslandschaft verändert: Missbrauch wird schneller, skalierbarer und wirtschaftlich attraktiver — von selbstumbauender Malware über großangelegte Distillation und Datendiebstahl bis hin zu Überwachungsplattformen, Waffenentwicklung und riskanter Unterstützung in der Biologie. Anthropic legt Täter, Methoden und Handelswege offen und berichtet über eigene Gegenmaßnahmen, macht aber auch die Grenzen heutiger Schutzmechanismen deutlich.

Quellen

• Quelle: Anthropic
• Der ursprüngliche Artikel wurde hier veröffentlicht
• Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.