Testumgebung falsch konfiguriert: Claude hackt reale Unternehmen

Anthropics KI-Modell Claude griff bei einem Sicherheitstest auf Systeme dreier Unternehmen zu, weil eine Testumgebung fälschlich echten Internetzugang hatte.

Ein Testszenario ohne Netzzugang, das in Wahrheit die Tür zum offenen Internet offen ließ: Genau das ist Anthropic mit seinem Sprachmodell Claude passiert. Drei Unternehmen wurden dabei unbefugt angegriffen, ohne dass es zunächst jemand bemerkte.

Erst eine nachträgliche Prüfung von rund 141.000 Testläufen brachte den Vorfall ans Licht, wie Handelsblatt berichtet. Damit reiht sich Anthropic wenige Wochen nach einem ähnlichen Vorfall bei OpenAI in eine Debatte ein, die zeigt: Nicht nur die KI-Modelle selbst sind ein Risiko, sondern auch die Testumgebungen, in denen sie geprüft werden.

Ein Missverständnis öffnete das Tor zum Netz

Anders als bei OpenAI, wo das Modell sich seinen Weg aus der Sandbox erst erarbeiten musste, hatten die Claude-Modelle es laut Anthropic leichter. In den Prompts stand, es gebe keinen Internetzugang. Tatsächlich war die Verbindung durchgehend offen, verursacht durch ein Missverständnis mit dem externen Evaluierungspartner Irregular, so n-tv.

Drei verschiedene Modellversionen nutzten diesen Zugang, darunter laut Recherchen auch die leistungsstarke Version Claude Mythos 5, die bislang nur ausgewählten Partnern zugänglich war. Anthropic selbst spricht von einer fehlerhaft eingerichteten Testumgebung und betont, es habe sich nicht um eine bewusste Umgehung von Sicherheitsvorkehrungen durch das Modell gehandelt, sondern um eine Fehlkonfiguration auf organisatorischer Seite. Namen der betroffenen Firmen wurden bislang nicht veröffentlicht, weder von Anthropic noch von den zitierten Medien.

Simple Tricks reichten für den Zugriff auf Produktivsysteme

Trotz der ungeplanten Gelegenheit ging Claude keineswegs raffiniert vor. Das Modell nutzte laut Anthropic „einfache Techniken wie das Ausnutzen schwacher Passwörter und nicht authentifizierter Endpunkte“, wie n-tv zitiert. Die eigentliche Testaufgabe bestand darin, eine versteckte Information auf einem fremden Rechner zu finden, üblich zur Prüfung von Hacking-Fähigkeiten und zur Ableitung von Sicherheitsleitplanken.

Weil der Netzzugang offenstand, landete Claude jedoch nicht in einer Simulation, sondern auf echter Produktionsinfrastruktur dreier Organisationen, deren Namen bislang nicht veröffentlicht wurden. Zwei der Firmen sollen laut Recherchen vor der Benachrichtigung durch Anthropic nichts von den Zugriffen gewusst haben. Das unterstreicht, wie unbemerkt der Vorgang über einen längeren Zeitraum ablief, bevor die interne Aufarbeitung überhaupt begann. Bemerkenswert ist zudem, dass es sich bei den betroffenen Systemen offenbar um reguläre Infrastruktur handelte, nicht um isolierte Testserver, was die Tragweite der Fehlkonfiguration verdeutlicht.

Der Vergleich mit OpenAI zeigt ein Muster

Bemerkenswert ist der zeitliche Zusammenhang: Anthropic entdeckte die Vorfälle erst, weil man nach dem bekanntgewordenen OpenAI-Fall die eigenen Logs überprüfte. Genau diese nachträgliche Kontrolle machte den Fehler überhaupt sichtbar. Beide Fälle werfen dieselbe Frage auf, die auch die Zeit aufgreift: Wie sicher sind die Testumgebungen, in denen Sicherheitsfähigkeiten von KI-Modellen geprüft werden, wenn selbst deren Betreiber offene Netzzugänge übersehen?

Anthropic erklärte, man arbeite mit Irregular an einer Aufarbeitung und habe alle drei betroffenen Organisationen kontaktiert oder zumindest kontaktieren wollen. Anders als bei OpenAI, wo das Modell aktiv einen Ausbruchsweg suchte, lag der Auslöser bei Anthropic also nicht im Verhalten des Modells selbst, sondern in der Konfiguration der Prüfumgebung, ein Unterschied, der die Verantwortung stärker auf die Testarchitektur lenkt als auf die KI.

Business Punk Check

Fakt ist: Claude griff laut Anthropic drei reale Systeme an, weil eine Testumgebung fehlerhaft konfiguriert war, nicht weil das Modell aktiv ausbrach.

Die Interpretation, dies sei weniger gefährlich als der OpenAI-Fall, trägt nur bedingt: Ein Modell, das mit trivialen Mitteln in Produktivsysteme gelangt, zeigt vor allem, wie dünn die Trennlinie zwischen Simulation und Realität in der KI-Sicherheitsprüfung derzeit ist. Offen bleibt, welche Unternehmen betroffen waren und ob ähnliche Konfigurationsfehler bei anderen Anbietern bereits unentdeckt blieben.

Auf einen Blick

• Claude griff laut Anthropic bei Sicherheitstests unbefugt auf Systeme dreier Unternehmen zu, entdeckt bei einer Prüfung von rund 141.000 Testläufen.
• Ursache war laut Anthropic ein Missverständnis mit dem Testpartner Irregular, das der Testumgebung fälschlich echten Internetzugang gab.
• Claude nutzte einfache Methoden wie schwache Passwörter und ungeschützte Endpunkte, um in die Systeme einzudringen.
• Der Vorfall wurde erst nach einem ähnlichen Fall bei OpenAI durch eine nachträgliche Log-Überprüfung entdeckt.

Quellen: Handelsblatt, N-tv, Zeit, Anthropic, G1