Anthropics Bedrohungsbericht vom September 2026 beschreibt schädliche Nutzung von Claude in Cyberoperationen, Überwachung, Einflusskampagnen, Betrug, biologischem Missbrauch, konventioneller Waffenentwicklung und Versuchen zur Übernahme von Modellfähigkeiten. Die betriebliche Lehre reicht über einzelne Fälle hinaus: Missbrauch erscheint zunehmend als Ablauf mit Identitäten, Werkzeugen, Datenbewegungen und wiederholten Aktionen und nicht als einzelner offensichtlich schädlicher Prompt.
Der Bericht deckt Aktivitäten ab, die Anthropic nach eigenen Angaben zwischen Dezember 2025 und August 2026 unterbrochen hat. Das Unternehmen sperrte zugehörige Konten, nutzte Erkenntnisse zur Stärkung seiner Schutzmaßnahmen und teilte Informationen mit relevanten Partnern. Unabhängige Berichte von Axios und The Guardian bestätigen die Veröffentlichung und untersuchen Fälle zu Überwachung und biologischen Risiken.
Die Belege müssen vorsichtig eingeordnet werden. Es handelt sich um Untersuchungen eines Anbieters in seinem eigenen Dienst. Anthropic erklärt ausdrücklich, dass die Fälle bemerkenswert und neuartig, aber nicht typisch sind. Der Bericht misst daher weder die Häufigkeit über alle Claude-Nutzungen noch den gesamten KI-Markt. Er liefert jedoch detaillierte Muster, die Sicherheitsteams in Kontrollen und Tests übersetzen können.
Die Risikoeinheit wird zum Ablauf
Mehrere Cyberfälle umfassten KI-Unterstützung oder Orchestrierung über Aufklärung, Werkzeugentwicklung, Persistenz, Datenverarbeitung und Exfiltration hinweg. Menschen wählten weiterhin Ziele oder prüften Ergebnisse, doch Automatisierung verringerte den Aufwand für dauerhafte Aktivitäten und schnelle Anpassung an Abwehrmaßnahmen.
Dieses Muster verändert die Überwachung. Ein Filter, der nur Prompt und Antwort betrachtet, kann die gefährliche Sequenz übersehen. Teams brauchen Sichtbarkeit über Konto, Sitzung, Modellanfrage, Werkzeugaufruf, verbundenes System und resultierende Aktion. Eine unauffällige Programmieranfrage kann relevant werden, wenn danach Anmeldedaten abgerufen, Systeme schnell bereitgestellt und große Datenmengen bewegt werden.
Anthropic berichtet außerdem von Kontorotation, Proxy-Zugriff und koordinierter Nutzung anderer Dienste. Die Durchsetzung durch den Modellanbieter ist daher nur eine Schicht. Betreiber von Agenten sollten Identitätssicherung, minimale Rechte, Volumen- und Taktsignale, Zielkontrollen sowie die Prüfung ungewöhnlicher Aktionsketten kombinieren.
Verhaltensnachweise sind wichtiger als Etiketten
Der Bericht zeigt, warum statische Kategorien wie hoch entwickelter Angreifer, gewöhnlicher Nutzer oder vertrauenswürdige Anwendung unzuverlässig sein können. KI kann Einzelnen oder kleinen Teams helfen, Abläufe zu bauen, die früher Spezialwissen erforderten. Umgekehrt beweist ein einzelner riskanter Ausdruck noch keine vollständige schädliche Operation.
Ein stärkeres Kontrollmodell betrachtet Verhalten über Zeit. Nützliche Signale sind wiederholte Kontoerstellung, abrupte Änderungen bei Werkzeugen, skriptgesteuerte hohe Mengen, Umgehungsversuche, Abrufe sensibler Daten, schneller Wiederaufbau nach Erkennung und auffällige Verbindungen zu externer Infrastruktur. Diese Signale sollten mit Belegen in eine Untersuchungswarteschlange fließen und nicht zu automatischen Anschuldigungen führen.
Maetras Leitfaden zur Aktivitätsüberwachung von KI-Agenten erklärt, wie Modellsitzungen mit Werkzeugaufrufen und Ergebnissen verbunden werden. Der Leitfaden zu KI-Auditprotokollen bietet eine Struktur, um nützliche Belege zu speichern und unnötige Datensammlung zu begrenzen.
Kontrollen müssen vor und nach Aktionen greifen
Prävention bleibt notwendig. Getrennte Agentenidentitäten, eng begrenzte Rechte, erlaubte Ziele, Werkzeugbeschränkungen und Freigabetore können die Wirkung eines kompromittierten oder schädlichen Ablaufs begrenzen. Aktionen mit hohen Folgen sollten eine Autorisierung benötigen, die an die konkrete Anfrage und den aktuellen Kontext gebunden ist.
Erkennung und Reaktion sind ebenso wichtig, weil keine präventive Schicht jede schädliche Sequenz erkennt. Teams müssen eine Identität sperren, Anmeldedaten widerrufen, Belege sichern, betroffene Systeme verfolgen und Indikatoren mit Partnern teilen können. Der Reaktionsplan sollte zwischen einem versuchten Verstoß und bestätigten Auswirkungen unterscheiden.
Diese Trennung ist für Anthropics Bericht zentral. Manche Fälle beschreiben Systeme oder Materialien, deren Entwicklung beobachtet wurde. Andere enthalten externe Belege oder Partnerkoordination. Nicht jedes beabsichtigte Ergebnis wurde bestätigt. Governance-Berichte müssen diese Vertrauensstufen erhalten, statt alle Fälle zur Aussage zu verdichten, KI habe einen bestimmten realen Schaden verursacht.
Fragen für eine Unternehmensprüfung
Sicherheits- und Governance-Teams sollten prüfen, ob jeder produktive Agent eine eigene Identität hat und ob seine Rechte zur Aufgabe passen. Sie sollten feststellen, welche Prompts, Antworten, Werkzeugaufrufe, Freigaben und Änderungen bei einer Untersuchung rekonstruiert werden können. Außerdem müssen sie testen, was geschieht, wenn ein Agent eine blockierte Aktion wiederholt, Konten wechselt, andere Werkzeuge nutzt oder das Volumen erhöht.
Plattformübergreifende Verfahren sind wichtig. Ein Modellanbieter sieht möglicherweise die Planung, während ein Unternehmen Authentifizierung, Endpunkt- oder Datenereignisse erkennt. Keine Sicht ist vollständig. Verträge und Vorfallprozesse sollten den Austausch von Indikatoren, den Schutz von Kundendaten und die Entscheidung über ausreichende Belege regeln.
Maetra-Analyse
Der wichtigste Governance-Beitrag ist eine feinere Kontrollebene. Richtlinien sollten nicht nur schädliche Inhaltskategorien verbieten. Sie sollten beschreiben, welche Identitäten, Werkzeuge, Datenpfade und Aktionsfolgen verhindert, überwacht oder menschlich geprüft werden müssen.
Teams können mit drei Artefakten beginnen: einem Inventar von Agenten und Verbindungen, einer aktionsbezogenen Richtlinienkarte und einem Untersuchungsdatensatz, der Warnungen mit Belegen und Entscheidungen verbindet. So lässt sich Missbrauch auf Ablaufebene erkennen, ohne jeden ungewöhnlichen Prompt als Vorfall zu behandeln.
Der Bericht ist eine starke Quelle für Hypothesen, aber keine neutrale Messung der marktweiten Häufigkeit. Betreiber sollten die Muster zur Aktualisierung von Bedrohungsmodellen und Kontrolltests verwenden und anschließend in ihrer eigenen Umgebung validieren.