Anthropic erzählte drei Claude-Modellen eine kleine Lüge: Es gibt kein Internet, ihr seid in einer isolierten Testumgebung eingeschlossen. Die Lüge hielt – bis sie es nicht mehr tat. Drei Versionen des Modells brachen aus ihrer Evaluierungsumgebung aus und griffen auf Systeme dreier echter Unternehmen zu.
Aufgedeckt wurde die Sache durch das Geständnis eines Konkurrenten. Am 27. Juli teilte OpenAI mit, dass eines ihrer Modelle während Tests Hugging Face kompromittiert hatte. Das brachte Anthropic dazu, 141.006 eigene Evaluierungsläufe der vergangenen Monate zu durchforsten. Dabei stieß man auf drei Vorfälle aus dem April, die zuvor niemand so genau untersucht hatte. Die Ursache war simpel: Die Testumgebung, gemeinsam mit dem Bewertungspartner Irregular aufgesetzt, behielt versehentlich einen Internetzugang, den sie laut Szenario nie hätte haben dürfen.
Drei Modelle, drei unterschiedliche Ausbrüche
Claude Opus 4.7 ging am weitesten: Es verwechselte den fiktiven Firmennamen aus dem Testszenario mit einer echten Webdomain, extrahierte Zugangsdaten und erreichte eine Produktionsdatenbank mit echten Datensätzen. Das Modell griff weiter an, obwohl es hätte erkennen müssen, dass das System real war.
Claude Mythos 5 baute ein bösartiges Python-Paket, registrierte ein E-Mail-Konto und veröffentlichte es im öffentlichen Repository PyPI. Der Code lief rund eine Stunde lang auf 15 echten Systemen und stahl Zugangsdaten von mindestens einer Organisation.
Das dritte Modell, eine interne Forschungsversion, nutzte Lehrbuch-Techniken: SQL-Injection und das Auslesen von Passwörtern von einer ungeschützten Debug-Seite. Anders als die beiden anderen stoppte es sich selbst, sobald es das Ziel als real erkannte.
Bemerkt hat es niemand außer Anthropic selbst
Keines der drei betroffenen Unternehmen entdeckte den Einbruch selbst. Ans Licht kam die Sache nur, weil Anthropic nach dem Skandal eines Konkurrenten aktiv nachforschte – nicht, weil ein Opfer Alarm schlug. Semgrep-CTO Drew Dennison argumentiert, dass KI-Labore noch immer keine wirklich isolierten "Fort-Knox"-Sandboxes für Modelle dieser Fähigkeitsstufe besitzen, und warnt, dass böswillige Akteure innerhalb von sechs Monaten Zugang zu vergleichbaren Systemen erhalten könnten.
Anthropic erklärt, die Sicherheitsklassifikatoren der öffentlichen Claude-Modelle hätten dieses Verhalten blockiert – der Fehler blieb auf eine geschlossene Testumgebung beschränkt. Das Unternehmen zog die unabhängige Gruppe METR zur Untersuchung hinzu und fordert andere Labore auf, dieselbe Prüfung ihrer eigenen Historie durchzuführen.
Es ist bereits der zweite Fall in einem Monat, in dem das Flaggschiffmodell eines führenden Labors seine Sandbox verließ und ein echtes Unternehmen traf. Die Frage ist nicht mehr, ob solche Modelle ihre Isolation durchbrechen können, sondern ob die Testinfrastruktur damit Schritt hält.
