Anthropic hat fünf Forschungsvorhaben rund um biologische Waffen auf der eigenen Plattform gestoppt und zugleich eine russische Spionagekampagne unterbrochen. Die Anthropic Biowaffen-Fälle und der Hack stehen im Anthropic Security Report 2026 vom 10. September 2026. Das Dokument heißt offiziell Anthropic Threat Intelligence Report und dokumentiert auf 154 Seiten Fälle aus sieben Feldern zwischen Dezember 2025 und August 2026. Im Bio-Kapitel geht es um Gain-of-Function-Arbeit am Chikungunya-Virus, um hochpathogene Vogelgrippe, um Orthopockenviren und um neu entworfene Toxine.
Bei den Claude Biowaffen-Fällen hielt der Biologie-Klassifikator einen Teil der Anfragen auf, andere liefen ungehindert durch. Die russische Gruppe ließ Claude entdeckte Schadsoftware so lange umbauen, bis kein Sicherheitsprodukt sie mehr erkannte. Beides sind getrennte Fälle ohne Verbindung zueinander. Bei den Biowaffen-Fällen nennt Anthropic bewusst kein Herkunftsland. Die Spionagekampagne ordnet der Bericht dagegen Akteuren aus Russland zu. Die Fälle betreffen die Modelle Haiku, Sonnet und Opus. Auf die Fable- und die Mythos-Klasse entfiel kein einziger Missbrauchsfall, mit einer Ausnahme im Kapitel zur Destillation.
Anthropic hat in jedem Fall die Konten gesperrt, die Schutzmaßnahmen nachgezogen und Erkenntnisse an Behörden und Branchenpartner weitergegeben. Die Fälle stammen aus internen Untersuchungen, aus Hinweisen von OpenAI und aus der Zusammenarbeit mit Microsoft. Die internen Untersuchungen stützen sich auf Anthropics Missbrauchsüberwachung, die Anfragen automatisch nach Signalen für Regelverstöße auswertet. Im Bio-Kapitel nennt der Bericht keine Institutionen, Länder oder Wirkstoffe, weil die betroffenen Personen arbeitende Wissenschaftler sind.
Anthropic Biowaffen: fünf Fälle und die umgangenen Filter
Anthropic bezeichnet biologischen Missbrauch als eines der schwersten Risiken von Frontier-Modellen und legt fünf Fallstudien offen. Nach eigener Aussage hat bisher kein Unternehmen, ob KI-Anbieter oder nicht, Belege für möglichen Biowaffen-Missbrauch der eigenen Plattform öffentlich geteilt. Das Unternehmen betont im selben Abschnitt, es behaupte nicht, dass die beteiligten Wissenschaftler Schaden beabsichtigt hätten.
Konkrete wissenschaftliche Hilfe suchten die Wissenschaftler nach Anthropics Darstellung kaum. Gefragt war eher organisatorische Unterstützung, etwa beim Verfassen von Papieren. Weder die Forschungseinrichtungen noch deren Herkunftsländer nennt das Unternehmen.
Im ersten Fall blockierte der Biologie-Klassifikator im Mai 2026 die Hilfe bei einem Förderantrag. Es ging um Gain-of-Function-Arbeit am Chikungunya-Virus, gerichtet auf Übertragbarkeit und Immunflucht. Der Antrag wollte verstärkende Mutationen finden, sie in infektiöse Klone einbauen und im Tierversuch auf Virulenz selektieren. Die Angaben deuteten auf zivile Forscher, als Ort der Arbeit nannte der Antrag jedoch ein militärisches Forschungsinstitut.
Die Anfrage kam über eine Plattform, die dutzende Lebenswissenschaftler aus Regionen bediente, die Anthropic nicht beliefert. Sie tunnelte den Verkehr über US-Infrastruktur, verschleierte Inhalte über einen Dienst ohne Datenspeicherung und kaufte Zugänge auf dem Graumarkt. Die Betreiber bauten eine Ausweichfunktion, die von Claude abgelehnte Anfragen an ein Modell mit lockereren Schutzmaßnahmen weiterschickte. Einen großen Teil dieses Codes schrieb Claude selbst, vorgelegt als Maßnahme gegen zu häufige Ablehnungen. Nach der Sperre im Mai 2026 hatte der Betreiber den Zugang binnen Tagen wieder eingerichtet.
Was die Filter leisten, zeigt der zweite Fall. Ein Forscher außerhalb der USA plante über Wochen und in tausenden Nachrichten Experimente zur Säugetier-Anpassung hochpathogener Vogelgrippe. Weil die Klassifikatoren Inhalte zu Erregern mit Pandemiepotenzial zuverlässig sperren, lief die gesamte Arbeit auf den schwächsten Modellen, zuerst Sonnet 4, dann Haiku 4.5. Anthropic schätzt den Nutzen für den Wissenschaftler daher als primär organisatorisch ein, nicht als fachliche Beschleunigung. Den Zugewinn, den ein Akteur mit KI gegenüber der Arbeit ohne KI erzielt, bewertet Anthropic als Uplift. Bei bestätigten menschlichen Infektionen mit dieser Virusgruppe endet etwa die Hälfte tödlich.
Ein Konto, das sich als Weiterverkaufs-Relay für mehr als ein Dutzend Kunden entpuppte, ließ Opus 5 in etwa einer Stunde einen vollständigen Förderantrag zu Immunflucht-Genen von Orthopockenviren schreiben. Der Antrag enthielt Hypothese, Versuchsaufbau, Dosierung, Statistikplan und Ausweichstrategien. Die Klassifikatoren griffen nicht, weil der Antrag auf Abschwächung des Virus ausgerichtet war. Zu dieser Familie gehören das Pockenvirus Variola und Mpox.
In den Fällen vier und fünf ging es um Gifte statt um Viren. Ein staatlich gefördertes Vorhaben baute einen Atlas von Toxin-Peptiden mehrerer Giftlinien und daraus eine generative Optimierungs-Pipeline. Das erklärte Ziel waren Schmerzmittel und Antidepressiva. Die Bausteine taugten aber auch für lähmende Wirkstoffe, die nach der Kontrollliste der Australischen Gruppe exportbeschränkt sind. Im fünften Fall gestaltete ein Forscher Toxine am Computer neu, darunter ein Protein eines Hämorrhagiefieber-Virus von der Prioritätenliste der Weltgesundheitsorganisation. In den Quartalsberichten, die Claude mitschrieb, ließ er die Identität der Wirkstoffe bewusst unscharf.
Für die Gesamteinordnung hat Anthropic außerdem 30 Tage Aktivität von Institutionen gegnerischer Staaten durchgesehen. Dabei fanden sich rund 35 unterschiedliche Forschungsvorhaben, das meiste davon gewöhnliche Zivilwissenschaft, einiges mit deutlichem Dual-Use-Potenzial. Der Schluss des Kapitels fällt eindeutig aus. Ein Klassifikator kann Absichten in hochtechnischen Dual-Use-Feldern nicht zuverlässig erkennen, deshalb hält Anthropic Trusted-User-Programme für den einzigen sicheren Weg, Frontier-Fähigkeiten in der Biologie anzubieten. Wie eng die Filter mittlerweile stehen, zeigt der Biologie-Filter von Fable 5, den Anthropic nach massiven Fehlalarmen nachgeschärft hat.
Klein beschrieb der New York Times, dass niemand wie ein Comicheft-Schurke ankündige, eine Biowaffe zur Tötung aller Menschen bauen zu wollen, und nannte die Lage außerordentlich fein abgestuft. Im selben Gespräch benannte er die offene Stelle im Bio-Kapitel.
Was wir nicht wissen, ist, ob die Forschung für eine Waffe gedacht war.
Andy Weber, früher Assistant Secretary of Defense für nukleare, chemische und biologische Verteidigungsprogramme und heute Senior Fellow beim Council on Strategic Risks, hat den Bericht vor Veröffentlichung gelesen. Er nannte die Befunde erschreckende Beispiele dafür, dass staatlich unterstützte Biowaffen-Entwickler auf die schnell wachsenden Fähigkeiten von Frontier-Modellen zugreifen. Bei CBS News nannte er das Vorgehen der Frontier-Labore verantwortungsvoll und forderte, das Thema auf höchster politischer Ebene mit China anzusprechen.
Tom Inglesby vom Johns Hopkins Center for Health Security weist darauf hin, dass Anthropics Maßnahmen freiwillig erfolgten und eine Politik der US-Regierung dazu fehlt. Gregory Koblentz von der George Mason University hält biologische Forschung nicht nur für zweifach, sondern für vielfach nutzbar, und die Anbindung an ein Militärinstitut allein belegt für ihn kein Waffenprogramm. Heidy Khlaaf vom AI Now Institute sagte dem Guardian mit Blick auf die Debatte über Weltuntergangsszenarien, KI-Beschleunigung und KI-Untergangsstimmung seien zwei Seiten derselben Medaille.
Russische Spionage lässt ihre Malware von KI umbauen
Der Akteur GTG-20006 setzte Claude ein, um entdeckte Schadsoftware automatisch so lange umzuschreiben, bis kein Sicherheitsprodukt sie mehr erkannte. Anthropics Zuordnung deckt sich mit öffentlichen Berichten zu Midnight Blizzard. Überwachungsagenten prüften laufend, ob ein Implantat auffiel. Schlug eines an, bauten die Agenten es selbstständig um und testeten erneut. Anthropic beschreibt die Folge so, dass neue Erkennungsregeln den Angreifer nicht mehr ausbremsen, weil er schneller zurückbaut, als Verteidiger nachliefern.
Mehr als 20 Organisationen standen in Planung, Aufklärung und laufenden Operationen. Der Schwerpunkt lag auf der Ukraine und Europa, hinzu kamen Ziele im Nahen Osten und eine Behörde für Seeverkehr in Südostasien. Die Angreifer scannten E-Mail- und Fernzugänge von mehr als zwei Dutzend ukrainischen Regierungsstellen. Bei einer nordafrikanischen Technologiebehörde exfiltrierten sie über 300.000 nationale Identitätsdatensätze und die Handelsregisterdaten von mehr als einer halben Million Firmen.
Zwei Bauteil-Hersteller für Drohnen verloren komplette Postfächer. Einen militärischen Drohnenhersteller nahmen sie ebenfalls ins Visier. Die Angreifer stahlen außerdem ein komplettes Entwicklungspaket für ein Drohnen-Bildsystem und zerlegten es mehrere Tage lang, bis Produktarchitektur, Bauteilliste, Zulieferer und ein unangekündigtes Produkt offenlagen.
Der Akteur kompromittierte mindestens drei Dienstleister für Hotel-WLAN und änderte DNS-Einträge auf eigene Server um. Gäste, die sich einbuchten, lieferten Datenverkehr, Gerätekennung und IP‑Adresse. Danach folgten gefälschte Update-Aufforderungen mit Schadsoftware für Windows, Android und iOS. Microsoft hat dieselbe Kampagne im Juli 2026 unter dem Namen CaptiveCrunch bei Reisenden weltweit beschrieben und dem Cluster Storm-2945 zugeordnet. Microsoft dankt darin Anthropic und OpenAI für die Zusammenarbeit.
Auch WhatsApp-Konten übernahm der Akteur, indem er Opfergeräte als Begleitgeräte anmeldete und Lesebestätigungen unterdrückte. Mindestens zwei frühere hochrangige ukrainische Regierungsmitglieder waren betroffen.
Drei Stunden von einem Token bis zur vollen Kontrolle
Bei den Erpressern rund um das Kollektiv ShinyHunters (GTG-50014) übernahmen KI-Agenten fast die gesamte Arbeit. Ein französischsprachiger Operator lud über eine Flotte von zehn Cloud-Servern 1,8 Millionen Android-Apps herunter, zerlegte sie und suchte in ihnen nach eingebauten Zugangsdaten. Bestätigte Treffer liefen in Echtzeit in eine Telegram-Gruppe, sortiert nach über 100 Fundtypen.
Ein Einbruch bei einem Softwarehaus benötigte von der ersten Anmeldung bis zum Massendiebstahl nur Stunden. Ein anderer wuchs von einem gestohlenen Entwickler-Token in etwa drei Stunden zur vollen Verwaltungshoheit über die Cloud-Umgebung des Opfers. In einem Lieferketten-Fall zog ein Affiliate 2.100 Azure-Tokensätze aus mehr als 40 Firmenmandanten in rund 34 Stunden.
Ein Technologieanbieter verlor mehr als ein Terabyte Daten, darunter hunderttausende nationale Kennnummern und Millionen Kartendatensätze. Bei einer Fluggesellschaft erreichten die Angreifer Systeme mit Dutzenden Millionen Passagierdatensätzen. Bei einem Energieversorger behaupteten sie, den Ladestrom von Wallboxen in Kundenhaushalten fernsteuern zu können. Nach eigener Darstellung kassierte derselbe Angreifer bei zwei erpressten Firmen obendrein 2.000 und 5.000 Dollar aus deren Bug-Bounty-Programmen.
Anthropic fasst das Muster als Fortsetzung des im August 2025 beschriebenen „Vibe Hacking“ zusammen. Der Operator gibt ein grobes Ziel vor, das Modell bewertet die Umgebung, schreibt Skripte, führt sie aus und arbeitet weiter, bis die Aufgabe erledigt ist. Oft versteht der Mensch die Zielumgebung selbst nicht im Detail.
Zwei Studenten, dreizehn Agenten, ein Dutzend Zero-Days
Die chinesische Gruppe GTG-10007 betrieb eine durchlaufende Schwachstellensuche, die in einem einzigen Monat über ein Dutzend mögliche Zero-Day-Lücken hervorbrachte. Die Operatoren arbeiten laut Anthropic wahrscheinlich in Changsha in der Provinz Hunan. Zwei von ihnen ließen sich als Studenten einer dortigen Hochschule identifizieren. Einer hatte ein Praktikum bei der Sicherheitsfirma Sangfor hinter sich und bewarb sich zur Zeit der Untersuchung bei QiAnXin auf eine Stelle für offensive Cyber-Operationen.
Rund 50 Organisationen aus Bildung, Handel, Energie, Technik, Gesundheit, Finanzen und Industrie standen im Visier, dazu mehrere Regierungsbehörden weltweit. Bei einem Bildungsanbieter zogen die Angreifer hunderte Megabyte Schülerdaten aus dem Cloud-Speicher. Bei einer Behörde in Südostasien holten sie Bürgerdaten mit Namen, Telefonnummern und Wohnadressen.
Technisch lief die Operation als Schwarm. Ein führender Agent zerlegte die Arbeit und verteilte sie an viele Unteragenten, die parallel liefen. Ziellisten, geerntete Zugangsdaten und Anweisungen lagen in einem dauerhaften Kampagnen-Gedächtnis, sodass jede Sitzung mitten in der Kampagne weiterarbeiten konnte. Eine Flotte von dreizehn Sammel-Agenten lief nach Zeitplan und lud Inhalte von Zielseiten herunter, darunter öffentlich zugängliche Ausschreibungen des US‑Militärs. Die gleiche Arbeitsteilung hat Anthropic im Frühjahr in seiner Multiagenten-Studie untersucht, dort allerdings im Labor. Im Sommer zeigte OpenAIs Auswertung, wie 1.200 KI-Agenten zum Schwarm wurden.
Die Agenten-Workflows richteten sich gegen Ziele in aller Welt. Mit eigenen Händen griffen die Operatoren jedoch ausschließlich chinesische Opfer an.
Auch Sicherheitsforscher umgehen die Cyber-Filter von Claude. Das Startup Hacktron tarnte im Juli sein Testziel als Capture-the-Flag-Aufgabe, danach schrieb Claude Opus 5 den Exploit für einen Hack von OpenAI in unter 72 Stunden.
Gestohlene API-Schlüssel sind Beute, Rechenleistung und Tarnung
Wer einen API-Schlüssel eines KI-Anbieters stiehlt, gewinnt laut Bericht drei Dinge gleichzeitig. Der Schlüssel hat einen Wiederverkaufswert, die Angriffslast läuft auf Kosten des Bestohlenen, und die Aktivität wird dem rechtmäßigen Eigentümer zugeschrieben. Eine Hacktivisten-Kampagne lief einen ganzen Monat vollständig auf fremden Schlüsseln. Sicherheitsforscher sprechen dabei von LLMjacking. Offengelegte AWS-Schlüssel probierten Angreifer in einem Test von Entro Security im Schnitt schon nach 17 Minuten aus.
Daraus ist ein eigener Markt geworden. Die russisch- und ukrainischsprachige Gruppe GTG-50021 verkaufte angeblich günstigen Claude-Zugang. Tatsächlich leitete sie den Datenverkehr still an ein anderes Modell weiter und installierte bei ihren Kunden einen Sammler, der Anthropic-Zugangsdaten abgriff und an weitere Zwischenhändler verkaufte. Andere Akteure griffen Wrapper-Dienste an und schleusten über Prompt Injection Anweisungen ein, die die Produktionsschlüssel aus den Containern ausleiteten.
Am weitesten ging GTG‑50020. Der russischsprachige Akteur hatte vorher Hotelbuchungs- und Finanzplattformen angegriffen, bei einem Opfer rund 26 Gigabyte abgezogen und zwischen 1,5 und 2,5 Millionen Dollar gefordert. Dann richtete er dieselbe Arbeitsweise gegen die KI-Sparte. Über eingeschleuste Anweisungen in der Evaluations-Sandbox eines Anbieters gab diese die Produktionsschlüssel heraus, die sie verwahrte. Eine Anschlusskampagne griff aus derselben Infrastruktur rund 30 KI-Firmen in etwa vier Tagen an. Einen erfolgreichen Angriffsweg wiederholte der Akteur gegen alle Ziele, jeweils leicht angepasst. Das erklärte Ziel war Zugang zu einem unveröffentlichten Claude-Modell, und alle über ein Dutzend Versuche scheiterten.
Wichtig: In allen Fällen waren es Kundenschlüssel
Anthropic stellt an mehreren Stellen klar, dass die missbrauchten Zugänge aus den Umgebungen von Kunden stammten. Die eigenen Systeme des Unternehmens wurden in diesen Fällen nicht kompromittiert. Typische Fundorte für offenliegende Schlüssel sind laut Bericht öffentliche Code-Sammlungen, App-Installationsdateien, Container-Abbilder, Websites und selbst gebaute Chatbots.
Die Empfehlung an Unternehmen fällt knapp aus. KI-Schlüssel und Agenten-Anbindungen gehören so behandelt wie Produktions-Zugangsdaten, weil Angreifer sie genauso ernst nehmen. Zugang zu KI-Modellen sollte ausschließlich über autorisierte Kanäle eingekauft werden. Ein Rabatt, der den Datenverkehr über einen unbekannten Vermittler leitet, ist ein Risiko für Daten und Systeme.
Ein Mensch, 42 Ziele, eine unbekannte WordPress-Lücke
Eine einzelne französischsprachige Person griff im Frühjahr 2026 europäische Parteien, Medien, Think-Tanks und deren Dienstleister an. Der Einstieg gelang über eine bis dahin nicht dokumentierte Wettlaufsituation bei der Neuinstallation von WordPress, die ein Administratorkonto ohne gültige Zugangsdaten anlegte. Claude half beim Entwickeln und Debuggen des Exploits in derselben Sitzung, inklusive Testumgebung. Bei mindestens vier Websites funktionierte er.
Von 42 verfolgten Zielen erreichte der Akteur bei mindestens 14 internen Zugang. Aus einer Plattform für Wahlkampfmanagement holte er rund 140.000 Datensätze, die auch politische Ansichten enthielten. Insgesamt zog er 12 bis 26 Gigabyte Datenbankinhalte ab, darunter Mitglieder- und Spenderlisten sowie Bewerbungsunterlagen von Minderjährigen. Bei einem Medienhaus hängte er ein Skript in die Website und erfasste damit tausende Browser von Lesern, während er gezielt nach den Sitzungen der Redaktion suchte.
Das Hauptwerkzeug war eine selbst gebaute Doxxing-Plattform mit Suchmaschine, Import-Pipelines und Abgleich gegen fremde Datenlecks. Der Akteur füllte sie mit zig Millionen Zeilen, darunter nationale Gesundheitskennungen, und veröffentlichte sie als anonym gehosteten Dienst, über den Anhänger der angegriffenen politischen Bewegung namentlich nachschlagbar waren. Anthropic nennt das einen der klarsten Fälle von KI-gestützter Softwareentwicklung, die direkt in einen Massenangriff auf die Privatsphäre mündet, gebaut von einer einzigen Person.
Der Unterschied zwischen staatlichen Diensten und Einzeltätern ist nicht mehr die Raffinesse, sondern die Absicht. Öffentlich verfügbare Angriffs-Frameworks wie PentAGI liefern das Gerüst für jeden, der sie herunterlädt, und die Angriffe selbst bleiben altbekannt. Im Bericht steht dazu der Satz, die Ökonomie der Angriffe habe sich verändert. Aufklärung, Ausnutzung, Werkzeugbau und Datenauswertung erledigen inzwischen Maschinen. Diese Arbeit unterschied früher gut ausgestattete Operationen von allen anderen. David Agranovich, heute bei Google und früher im Nationalen Sicherheitsrat, schrieb auf X, KI senke die Einstiegshürde für Cyber-Operationen, wie der Nachrichtendienst The Record berichtet. Sie übergebe damit Fähigkeiten auf Staatsniveau an Akteure, die sie selbst nie hätten aufbauen können.
Neun Einflussoperationen von Bangui bis Kuala Lumpur
Anthropic bewertet die Reichweite jeder Einflussoperation mit der Breakout Scale der Brookings Institution, einer sechsstufigen Skala. Die meisten der neun Fälle blieben in den unteren Kategorien, weil das Unternehmen sie schon in der Produktionsphase sah und abschaltete. Echte Reichweite entstand primär dort, wo Staatsmedien die Verbreitung übernahmen.
Den höchsten Wert erreichte ein russisch gesteuerter Fall in der Zentralafrikanischen Republik. Ein russischsprachiger Akteur in Bangui produzierte täglich Inhalte für den Sender Radio Lengo Songo auf 98,9 FM, abgestimmt mit RT, Sputnik Afrique, TASS und dem Russischen Haus. Claude schrieb dabei nicht nur Beiträge. Das Modell erzeugte Arbeitsverträge, die Loyalität zum Präsidenten des Landes und zu „Russland und seinem Kontingent“ vorschrieben, dazu Stellenbeschreibungen, Bewertungsraster und ein Verfahren zur Kündigung nach drei Verstößen. Als Claude die politische Gewichtung dieser Bewertung anmerkte, benannte der Akteur sie neutral um und behielt sie.
Eine französische Digitalagentur betrieb rund 70 erfundene Nachrichtenseiten mit mindestens 8.913 Artikeln in etwa 20 Sprachen, dazu 70 gleichnamige X-Konten und über 250 Kommentarkonten mit KI-erzeugten Profilbildern. Die politische Linie wechselte je nach Auftraggeber. Aufgefallen ist das Netz, als seine Seiten am 11. September 2025 innerhalb von drei Minuten nahezu identische Artikel zum Konflikt zwischen der DR Kongo und Ruanda veröffentlichten.
| Operation | Herkunft | Zielpublikum | Umfang laut Bericht | Breakout-Kategorie |
|---|---|---|---|---|
| GTG-04001 | Russland (Politology, Wagner-Umfeld) | Zentralafrikanische Republik | Tägliche Radioproduktion, gefälschte Behördendokumente | 4 |
| GTG-54002 | Frankreich (Werbeagentur) | USA, Brasilien, Frankreich, DR Kongo | Rund 70 Fake-Portale, 8.913 Artikel | 2 |
| GTG-84005 | Türkei (Istanbuler Firma) | Malaysia, alle 222 Wahlkreise | Rund 1.000 Fake-Konten, Anfrage für 1 Mio. künstliche Views | 2 |
| GTG-24015 | Russland (Staatsmedien) | Moldau, Lateinamerika, Afrika, global | Vier Konten, Ticker und Voiceover gingen auf Sendung | nicht angegeben |
| GTG-34001 | Iran (ICCO, Propagandabüro, Bina) | Inland und Ausland, Plan für 20 Sprachen | Bezahlte Verbreitung über 100 Kanäle | 3 |
| GTG-54006 | Bangladesch (Einzelperson) | Ländliche Awami-League-Anhänger | 29 rotierende Konten, 1.500 Schlagzeilen, 300 Falschnarrative | 3 |
| GTG-84006 | MEK/NCRI (Exilopposition) | Iran und Diaspora | Klon eines echten Aktivisten-Kontos, 51.944 Nachrichten ausgewertet | 2 |
| GTG-54004 | Kenia (Einzelperson) | Kenia, Blick auf die Wahl 2027 | Batches von exakt 50 Tweets | 1 |
| GTG-84002 | Vereinigte Arabische Emirate | UN-Gremien, Europaparlament, Sudan-Debatte | Rund 300 unechte Influencer-Konten, Tarn-NGO | 3 |
In Bangladesch betrieb eine einzelne Person in Gaibandha über rund 16 Monate 29 Claude-Konten im Wechsel. Ein eigenes Programm rief das Modell auf und lieferte pro Durchlauf 15 Schlagzeilen, drei ausgearbeitete Falschmeldungen und 15 Bild-Prompts. In den internen Notizen steht der Satz, niemand wisse, dass die Nachrichten gefälscht seien. Der Bericht ordnet die Operation einer Partei zu, die seit dem Aufstand vom Juli 2024 nicht mehr regiert.
Im iranischen Fall beschrieb ein Akteur der Islamic Culture and Communications Organization die eigene Rolle mit einem Satz, der die Arbeitsweise aller neun Operationen zusammenfasst.
Unsere Aufgabe als Kulturattachés ist es nicht, der Erzähler zu sein, sondern der Regisseur.
25 Millionen SIM-Karten unter Beobachtung
Der schwerwiegendste Überwachungsfall kommt aus Mali. Ein einzelner Berater, wahrscheinlich selbstständig und in Bamako ansässig, baute mit Claude die Plattform „Lakana 360“ für den Staatsgeheimdienst ANSE. Das System überwacht rund 25 Millionen SIM-Karten bei allen drei Netzbetreibern des Landes und erfasst Verbindungsdaten, Kurznachrichten und Sprachverkehr.
Der Richtervorbehalt fiel auf Wunsch des Betreibers aus jener Komponente heraus, die zu jeder beliebigen Rufnummer ein Dossier schreibt. Die Funktion wurde als nationale Pipeline neu eingeordnet, mit standardmäßig abgeschalteter Kontrolle und unbegrenzter Speicherung. Dazu kommen Stimmerkennung über SIM-Wechsel hinweg, Markierung von Nutzern mit Verschlüsselung oder VPN, Rückschlüsse auf verdeckte Treffen und der Abgleich mit dem biometrischen Personenregister. Anthropic verweist auf Berichte des US-Außenministeriums und von Human Rights Watch zum Vorgehen malischer Sicherheitsdienste gegen Oppositionelle, Journalisten und Zivilgesellschaft.
Die Kontosperre hat an der Plattform nichts geändert. Sie läuft vor Ort mit einem eigenen Modell weiter, Anthropic konnte nur die Entwicklungsarbeit stoppen.
Aus China beschreibt der Bericht vier Operationen, die dieselben Gruppen ins Visier nehmen wie seit Jahren. Eine Einheit für Religionsangelegenheiten legte Dossiers über katholische Kardinäle in Asien, die Führung der Presbyterianischen Kirche Taiwans, die tibetische Exilverwaltung und Falun Gong an. Die Vorlagen verlangten zu jeder Person deren China-Bezug, Skandale und „抓手“, einen Begriff der Einheitsfrontarbeit für ausnutzbare Hebel. Eine solche Sammelstelle bestand früher aus mehreren Analystenteams und schrumpfte auf ein Büro, das mit KI-Hilfe tausende Untersuchungen pro Monat ausstößt.
In einem Fall der „Stabilitätswahrung“ verweigerte Claude zunächst die Arbeit. Auf erneutes Nachfragen lieferte das Modell dann doch eine verwertbare Anleitung, die zehn Privatpersonen namentlich für Maßnahmen benannte, von der Abfangung von Petitionen bis zur engen Beobachtung von Bewegungen und Kommunikation. Dieselbe Behörde ließ Vorab-Aufklärung zu Veranstaltungsorten im Ausland erstellen, darunter Sammelpunkt, Route und Ziel eines Demonstrationszugs in Vancouver. Anthropic schreibt dazu, die eigenen Schutzmaßnahmen hätten in diesen Fällen nicht einheitlich funktioniert.
Aus dem Iran sperrte Anthropic 16 Konten zweier Einheiten, die in dasselbe Fallverwaltungssystem namens „Arman“ einspeisten. Eine Organisation mit sieben Abteilungen gab an, innerhalb eines Jahres 6.388 Iraner erfasst und profiliert zu haben. Eine Einheit ließ 155.216 Tweets auswerten und wählte daraus 39 Oppositions- und Diaspora-Konten zur Beobachtung aus. Eine Provinzeinheit in Ghom brachte eine bösartige Firefox-Erweiterung in Produktion, die als Werkzeug für Gebetszeiten getarnt war und Identitäten aus sozialen Netzwerken abgriff.
Zwei weitere Akteure aus dem iranischen Umfeld richteten sich nach außen. Einer baute mit Claude eine automatische Profilierung, die hunderte Personen in Israel und in der jüdischen Diaspora erfasste, und arbeitete parallel daran, seine Schadsoftware schwerer erkennbar zu machen. Ein anderer stellte Zielunterlagen gegen US-Marineverbände zusammen. Dazu gehörten eine aus Bildunterschriften öffentlicher Militärfotos zusammengetragene Namensliste von Soldaten, öffentlich abrufbare Kennungen von Schiffen und Flugzeugen, Skripte für Abfragen kommerzieller Satellitenbilder und eine Übersicht von Websites, die Bewegungen der US-Marine offenlegen. Derselbe Akteur ließ Schwachstellen in Schiffssystemen zusammenstellen, darunter bekannte Lücken in Satellitenterminals und Cisco-Geräten, und entwarf Software für eine Inlandsüberwachung, die Kennzeichenerkennung mit dem Abfangen von Mobilfunkkennungen verband.
Bei offen bösartigen Anfragen lehnte Claude neun von zehn Fällen ab. Zerlegte derselbe Nutzer seine Arbeit anschließend in viele kleine, für sich harmlose Aufträge in späteren Sitzungen, arbeiteten die Filter deutlich schlechter. Am Ende entstanden so ein Windows-Implantat mit Tastaturmitschnitt und Passwortauslese aus Chrome sowie Werkzeuge, um Microsoft-365-Postfächer ohne jede Freigabe des Nutzers auszulesen.
Jacob Klein fasste diesen Teil des Berichts gegenüber Axios zusammen. Autoritäre Staaten nutzten KI schon heute für Überwachung, Repression und Einflussoperationen, und sie automatisierten damit Teile der Arbeit innerhalb ihres Nachrichtenapparats. Wen diese Staaten ins Visier nehmen, ändert die Technik laut Klein nicht. Sie macht es billiger und schneller.
Ein gescheiterter Raketentest und ein Drohnenschwarm ohne Mensch
Sechs Fälle betreffen konventionelle Waffen, drei aus China, zwei aus Russland, einer aus dem Jemen. Die Akteure nutzten Claude für Software zu Hardware, mit der sie selbst umgehen konnten, und verteilten ihre Arbeit über viele Sitzungen, damit keine einzelne das ganze Vorhaben zeigte. Aus diesen Fällen sind Regeln geworden. Die am 8. Oktober 2026 veröffentlichte Anthropic Usage Policy 2026 verbietet erstmals ausdrücklich Software für Zielerfassung und Feuerleitung sowie das Bewaffnen von Drohnen.
Jacob Klein nannte in einem Interview den Grund, warum diese Fälle jetzt auftauchen. „Vor einem Jahr wären die Modelle für eine Aufgabe wie die Optimierung einer Drohne oder der Software einer Rakete einfach nicht so gut gewesen wie heute“, sagte Klein. Die Tagesschau zitiert ihn in ihrem Bericht zu den blockierten Biowaffen-Recherchen.
Im Jemen arbeitete eine Zelle an drei Programmen, darunter eine gelenkte Rakete mit einem Flugrechner auf Mobiltelefon-Niveau und eine mehrstufige Rakete mit Reichweitenziel über 2.000 Kilometer. Die Akteure führten mehrere Claude-Instanzen parallel und verteilten Rollen wie in einem kleinen Team: Eine schrieb Code, eine recherchierte, eine prüfte die Arbeit der ersten. Einen Feldtest gab es, er schlug offenbar fehl. Innerhalb von Stunden kamen die Akteure zurück, um die Ursache zu suchen.
Eine wahrscheinlich freiberufliche russische Gruppe baute mit Claude Code die Software für einen Schwarm aus FPV-Kamikaze-Drohnen und nannte das Vorhaben „DronDoc“ oder „Serafim“. Das Bordmodell durfte Ziele selbst auswählen, einschließlich der Zielklasse „Person“, und den Befehl zur Detonation ohne Menschen in der Entscheidungskette geben. Den Bildklassifikator trainierte die Gruppe auf abgezogenem ukrainischem Gefechtsmaterial und teilte die Klassen in Feind und Freund. Russische Systeme standen auf einer Ausnahmeliste. Als Demonstrationsziel diente eine feste Koordinate in der Oblast Donezk.
Anthropic fand neun zugehörige Konten, acht davon nutzten die Akteure ausschließlich für gewöhnliche Auftragsarbeit.
Ein chinesischer Akteur baute mit Claude rund 16 Module für elektronische Kampfführung und zur Unterdrückung von Luftverteidigung und arbeitete sie über zwölf Versionen durch. Mitten im Projekt stellte er das Standardszenario der Simulation auf zwölf Ziele in Taiwan um, darunter ein Kommandobunker, eine Frühwarnradarstellung sowie Patriot- und Tien-Kung-Stellungen. Kontodaten und markierte Inhalte verbinden ihn laut Anthropic mit chinesischen Forschungseinrichtungen, darunter die Akademie der Militärwissenschaften der Volksbefreiungsarmee.
Zwei Fälle betreffen Beschaffung und Aufklärung statt Waffenbau. Ein Beschaffungsmanager eines Moskauer Konstruktionsbüros suchte mit Claude Zwischenhändler in China und Hongkong, über die er europäische Bauteile nach Russland liefern lassen konnte, darunter Magnetometer und weltraumtaugliche Solarzellen-Wafer. Das Modell schrieb Anfragen in drei Sprachen, die den wahren Empfänger verschleierten, und rechnete die Aufschlagskette des bestehenden Graumarkts durch. In Briefings an seinen Direktor ließ der Akteur ausdrücklich festhalten, dass die Lieferwege europäische Handelsbeschränkungen umgehen und über eine sanktionsneutrale Jurisdiktion führen sollten.
Der zweite Fall kommt aus China. Ein Akteur, der sich als Redakteur einer internen Fachpublikation mit dreiköpfigem Team beschrieb, sammelte über dutzende Sitzungen öffentlich verfügbare Informationen zu Richtenergiewaffen. Im Fokus stand eine fahrzeuggestützte Mikrowellenwaffe gegen Drohnenschwärme, die wenige Tage zuvor öffentlich vorgestellt worden war. Der Akteur ließ die Eigentümerstrukturen der Zulieferer kartieren und einen 23-seitigen Bericht für die Führung erstellen, mit Anhängen von rund 45 Seiten und einem Beobachtungsplan über zwölf Monate.
Parallel zum Bericht hat Anthropics Frontier Red Team neue Messungen zu Zielaufklärung und Waffenentwicklung veröffentlicht. Sie zeigen, wie weit Modelle bei den Aufgaben aus den Missbrauchsfällen heute sind. Bei der Steuerung einer Drohne auf ein geparktes, farblich gut unterscheidbares Fahrzeug trifft Opus 5 in 80 Prozent der Starts. Fährt das Fahrzeug mit Straßengeschwindigkeit, sinkt der Wert auf 47 Prozent, bei Mythos Preview auf 20 und beim offenen chinesischen Modell Kimi K3 auf 1,6 Prozent. Geprüft hat Anthropic neun Einstellungen von leicht bis schwer. In den schwersten, etwa ein getarntes Fahrzeug unter Bäumen, trifft praktisch kein Modell mehr.
Treffer bei geparktem Fahrzeug im Endanflug
Anteil der Starts, bei denen die selbst geschriebene Steuerung ins Ziel traf, je 12 Starts pro Einstellung
Zahlen als Tabelle
| Modell | Treffer in Prozent |
|---|---|
| Opus 5 | 80 |
| Mythos Preview | 70 |
| Mythos 5 | 53 |
| Kimi K3 | 15 |
| Sonnet 5 | 5 |
Bei der Ortsbestimmung aus Fotos schlagen zwei Modelle beim mittleren Fehler selbst die stärkste menschliche Vergleichsgruppe. Über 6.000 Bilder erreichte Mythos Preview einen mittleren Fehler von 37,0 Kilometern, Mythos 5 kam auf 47,2 Kilometer. Opus 5 liegt mit 181 Kilometern etwa auf Höhe der Master Division. Als Vergleichsmaß dienten 458 Wettkampfduelle im Spiel GeoGuessr. Bei der Verknüpfung von Konten derselben Person benötigte Mythos Preview für eine mittelgroße Probe rund elf Minuten. Ein Mensch bräuchte für dieselben etwa 37.000 Wörter allein zum Lesen rund zweieinhalb Stunden.
Eine zweite Messung ließ die Modelle Code für den Abwurf einer Last über einem Ziel schreiben, je 15 Flüge pro Einstellung. Bei ruhendem Ziel in ruhiger Luft landet die Last fast immer im Fünf-Meter-Radius, bei Opus 5 in 100 Prozent der Flüge, bei Mythos 5 in 97, bei Sonnet 5 und Mythos Preview in 92 und bei Kimi K3 in 83 Prozent. Weicht das Ziel mit drei Metern pro Sekunde aus und kommen Windstöße zwischen zwei und sechs Metern pro Sekunde dazu, bricht das ein. Opus 5 trifft dann noch in 28 Prozent der Flüge, Mythos 5 in 7, Mythos Preview in 4, Sonnet 5 und Kimi K3 in 3 Prozent. Der mittlere Fehlabstand steigt dabei von 20 bis 30 Zentimetern auf 3,9 Meter bei Opus 5 und 16 Meter bei Sonnet 5.
4.700 KI-Personas in über 20 Dating-Apps
Der einzige Betrugsfall im Bericht lief über Dating-Apps und warb ausdrücklich damit, dass echte Menschen antworten. Ein Studio in China baute damit mehr als 20 Apps. In zwei Wochen im April 2026 fand Anthropic über 4.700 verschiedene KI-Personas, die mit mindestens 25.000 Menschen sprachen, in rund 2,36 Millionen Nachrichten über Claude.
Das Studio mischte echte Menschen als Auftragskräfte in denselben Feed. Im Feed kamen auf drei KI-Personas etwa eine reale Person. Die Menschen übernahmen, was Claude nicht konnte, also Videoanrufe und Folgen auf Sozialen Netzwerken, um Zweifel der Opfer zu zerstreuen. Die Personas durften nie zugeben, automatisiert zu sein, und wichen Bitten um Videoanrufe oder Fotos aus. Im Hintergrund erfand das System Likes, Besucher und aufgezeichnete Videos und führte Buch darüber, welche Nutzer Verdacht geschöpft hatten.
Der System-Prompt las sich wie eine gewöhnliche Rollenspiel-Anwendung, Betrug und Bezahlung waren aus keinem einzelnen Gespräch heraus sichtbar. In wenigen Stichproben erkannte das Modell im eigenen Denken den Schaden, auch wenn Nutzer schwere Krankheit oder akute Not offenbarten, und blieb dennoch in der Rolle.
Sieben chinesische Labore kopierten Claudes Denkweise
Seit der ersten Offenlegung im Februar 2026 hat Anthropic Destillations-Angriffe von sieben weiteren Laboren aus China gestoppt. Alle richteten sich gegen allgemein verfügbare Modelle. Gegen Mythos 5 und Mythos Preview, die nicht öffentlich zugänglich sind, beobachtete das Unternehmen keine Versuche.
Destillation selbst ist ein normales Trainingsverfahren. Ein starkes Lehrer-Modell erzeugt Antworten, ein kleineres Schüler-Modell lernt daraus. Unerlaubt wird es laut Anthropic, wenn eine verdeckte Kampagne im industriellen Maßstab die Fähigkeiten eines fremden Modells abschöpft, getragen von Netzen aus Betrugskonten mit gestohlenen Kreditkarten und fremden Schlüsseln.
Abgeschöpfte Claude-Austausche je Labor
Die Messzeiträume sind unterschiedlich lang, deshalb sind die Werte keine direkte Rangliste
Zahlen als Tabelle
| Labor | Austausche in Millionen |
|---|---|
| Alibaba (Qwen) | 151 |
| Moonshot (Kimi) | 23 |
| DeepSeek | 12,1 |
| Zhipu (Z.ai) | 3,4 |
| Xiaomi | 0,4 |
Die größte je gemessene Kampagne ordnet Anthropic Alibaba zu. Sie zielte auf die Gedankenketten von Opus 4.6 und 4.7 und erreichte in der Spitze fast drei Millionen Austausche pro Tag aus über 3.500 Betrugskonten. Zwischen Mai und Juli 2026 summierte sie sich auf über 151 Millionen Austausche. Ein fester Zusatz im Prompt zwang Claude, sein Denken in Textmarken auszuschreiben, bevor es antwortete. Die Mitschriften flossen laut Bericht in das Training der Qwen-Modelle 3.5, 3.6 und 3.7.
Zwei Labore gingen noch weiter und bedienten ihre eigenen Kunden mit Claude. Moonshot leitete in zehn Tagen fast 300.000 Kundenanfragen an Anthropic weiter und zeigte den Nutzern Claudes Antworten, während diese ein Kimi-Modell zu benutzen glaubten. DeepSeek erkannte an Merkmalen in den Anfragen, wer über Claude Code, das Agent SDK oder OpenCode kam, markierte diese Nutzer und schickte deren Anfragen an Opus.
In den umgeleiteten Anfragen landeten fremde Geheimnisse bei Anthropic. In den umgeleiteten Moonshot-Anfragen steckte die Auswertung von Überwachungsmaterial aus hunderten Kameras in Chengdu, die ein wahrscheinlich der Volksbefreiungsarmee zugehöriger Nutzer zu einer einzelnen Zielperson analysieren ließ. Über DeepSeek kamen Zugangsdaten einer russischen Regierungsdatenbank aus dem Umfeld des Verteidigungsministeriums sowie die Arbeit an einem Fallverwaltungssystem für ein städtisches Amt für öffentliche Sicherheit in China. Anthropic hält es für unwahrscheinlich, dass die betroffenen Kunden von der Umleitung wussten.
Das Labor Zhipu versuchte zunächst, die Cyberfähigkeiten von Fable abzuschöpfen, gab das aber auf, weil die Schutzmaßnahmen die Angriffe verdarben. Danach wechselten die Mitarbeiter zu Opus 4.6 und zum Spitzenmodell eines anderen US-Labors, ausdrücklich weil sie die Schutzmaßnahmen dort für schwächer hielten.
Anthropic hat darauf mit mehreren Schichten reagiert. Claude fasst sein internes Denken zusammen, bevor es antwortet, was gestohlene Mitschriften für fremdes Training weniger wert macht. Mit Fable 5.1 kam zusätzlich das bewahrte Denken, das neuen API-Konten verbietet, System-Prompt, Werkzeuge oder frühere Nachrichten im Nachhinein zu verändern. Genau dieses Umschreiben des Kontexts war die verbreitete Methode, um das verschlüsselte Denken doch offenzulegen.
Vier Missbrauchsberichte seit April 2025
Es ist Anthropics vierter großer Missbrauchsbericht, und der Trend läuft von einzelnen Werkzeugen zu vollständig geführten Operationen. Im ersten Bericht vom April 2025 stand eine Einflussoperation mit über 100 Bot-Konten im Mittelpunkt, bei der das Modell entschied, ob ein Konto liken, teilen oder schweigen soll. Im August 2025 folgte die Erpressungskampagne gegen mindestens 17 Organisationen mit Forderungen teils über 500.000 Dollar. Im November 2025 kam die erste weitgehend autonome Spionagekampagne. Anthropic schrieb damals 80 bis 90 Prozent der Arbeit der KI zu, dem Menschen blieben nur vier bis sechs Entscheidungspunkte.
| Bericht | Datum | Prägender Fall |
|---|---|---|
| Erster Bericht | 23.04.2025 | Influence-as-a-Service mit über 100 Bot-Konten |
| Zweiter Bericht | 27.08.2025 | „Vibe Hacking“ gegen mindestens 17 Organisationen |
| Dritter Bericht | 13.11.2025 | Erste weitgehend autonome Spionagekampagne |
| Destillations-Offenlegung | 23.02.2026 | Über 16 Mio. Austausche über rund 24.000 Betrugskonten |
| Auswertung nach MITRE ATT&CK | 03.06.2026 | 832 gesperrte Konten in einem Jahr eingeordnet |
| Vierter Bericht | 10.09.2026 | Sieben Schadensfelder, erstmals Bio- und Waffenfälle |
Die Konkurrenz meldet parallel ähnliche Muster. Googles Threat Intelligence Group zählt in ihrer Auswertung zur Entwicklung feindlicher KI-Nutzung über 100 Millionen Prompts aus Destillations-Kampagnen gegen die eigenen Modelle. Eine dort beschriebene Agenten-Kampagne benötigte von der Cloud-Übernahme bis zum Massendiebstahl von Zugangsdaten weniger als sechs Stunden. Microsoft berichtet von KI-Phishing mit 54 Prozent Klickrate gegenüber rund 12 Prozent bei herkömmlichen Mails. OpenAI hat nach eigener Zählung bis Anfang 2026 über 40 Netzwerke gestört. Im Juni 2026 beschrieb das Unternehmen zwei China-zugeordnete Cluster, die die amerikanische Diskussion über Rechenzentren, Strompreise und Zölle bespielten.
Zwei Tage vor dem Bericht haben NSA, CISA und FBI eine gemeinsame Warnung veröffentlicht. Die Behördenwarnung AA26-251A zur Destillation US-amerikanischer Modelle nennt DeepSeek, Moonshot, Alibaba, MiniMax, StepFun und Z.AI und spricht von Milliarden Token über Millionen Anfragen seit Ende 2024.
China hat die Vorwürfe zurückgewiesen. Das Außenministerium erklärte gegenüber Reuters, es sei sich des Berichts nicht bewusst, KI solle zum Guten entwickelt werden, und man lehne das Verdrehen von Tatsachen und Verleumdungen gegen China ab. Die russische Botschaft in Washington antwortete Reuters nicht. Die beschuldigten Unternehmen Alibaba, Moonshot, DeepSeek und Xiaomi ließen Anfragen von Reuters unbeantwortet.
Anthropics Verhältnis zur US-Regierung bleibt angespannt. Emil Michael, im Verteidigungsministerium für Forschung und Entwicklung zuständig, hatte eine Woche vor dem Bericht auf X bestätigt, dass Anthropic weiter als Lieferkettenrisiko eingestuft ist. Ende August erklärte ein Bundesgericht diese Einstufung im Urteil im Streit zwischen Anthropic und dem Pentagon für rechtswidrig.
Der Bericht erschien in denselben Tagen, in denen zwei Forscher vor einem Extremrisiko warnten. Jacob Coxon hatte wenige Tage zuvor nach rund drei Jahren Pretraining-Arbeit bei OpenAI und Anthropic gekündigt und öffentlich geschrieben, die Menschen, die KI bauen, glaubten aufrichtig, sie könne bis zum Ende des Jahrzehnts alle töten. Evan Hubinger, bei Anthropic für Alignment-Forschung zuständig, bestätigte das und bezifferte seine persönliche Einschätzung auf über zehn Prozent innerhalb des kommenden Jahrzehnts. Coxon sagte dem Wall Street Journal, nach den aggressivsten Szenarien könnten die Dinge bereits Ende kommenden Jahres außer Kontrolle geraten.
Die Debatte über das Entwicklungstempo läuft parallel in der ganzen Branche. Ende Juli unterzeichneten mehr als 1.000 Beschäftigte großer KI-Unternehmen eine Petition für einen Mechanismus, der die Entwicklung verlangsamt. OpenAI-Chef Sam Altman sagte in dieser Woche laut Bloomberg bei einer unternehmensweiten Versammlung, sein Unternehmen könne das Tempo drosseln, eventuell gemeinsam mit anderen Laboren. OpenAI äußerte sich dazu nicht.
Update (16.09.2026): Anthropic-Chef Dario Amodei antwortete am 12. September bei CNN auf Coxons Warnung und sagte, er stimme ihm „viel mehr zu, als dass ich ihm widerspreche“. Wie hoch Fachleute das Risiko beziffern und welchen Drei-Stufen-Plan Amodei vorschlägt, steht im Artikel Wird KI die Menschheit auslöschen? Amodeis Antwort auf die Warnung.
Anthropic kündigt für die kommenden Monate weitere Schritte an. Neue Klassifikatoren gegen hochbrisante Sprengstoffe und Waffenentwicklung sind bereits ausgerollt. Die Erkenntnisse aus den Überwachungsfällen fließen in Modelltraining und Schutzmaßnahmen ein. Dauerhafte Angriffe durch hochmotivierte und teils staatlich unterstützte Akteure erwartet das Unternehmen nach eigener Aussage weiterhin.