Am 11. September 2026 veröffentlichte Anthropic den Threat Intelligence Report "Detecting and countering misuse of AI: September 2026", in dem die hochriskanten Aktivitäten offengelegt wurden, die zwischen Dezember 2025 und August 2026 identifiziert und blockiert wurden. Der Bericht behandelt sieben Arten von Risiken: Cyberangriffe, Überwachung, Beeinflussung von Operationen, Betrug, biologischer Missbrauch, Entwicklung konventioneller Waffen und Modelldestillation. Die bemerkenswerteste Veränderung für Sicherheitsteams ist nicht, dass böswillige Nutzer ein weiteres Chat-Tool erhalten haben, sondern dass KI begonnen hat, die kontinuierlichen Prozesse der Aufklärung, Werkzeugmodifikation, Ausführung und Ergebnisverarbeitung zu übernehmen.
Angreifer bitten Modelle nicht mehr nur, technische Fragen zu beantworten
Anthropic erklärte, dass Claude in den meisten Fällen an der direkten Ausführung oder Orchestrierung beteiligt war, während einige Betreiber Multi-Agenten-Frameworks nutzten, um parallele Aufklärung, Ausbeutung und Datenorganisation durchzuführen, wobei Menschen hauptsächlich für die Zielidentifizierung und Überprüfung der Ergebnisse verantwortlich sind. Die im Bericht zitierten russischsprachigen Spionageaktivitäten ermöglichen es Agenten, zu überwachen, ob bösartige Programme durch Sicherheitsprodukte identifiziert werden, und sie, sobald sie offengelegt sind, weiter zu modifizieren und neu aufzubauen, bis sie der bestehenden Entdeckung entgehen. Die damit verbundenen Aktivitäten sollen mehr als 20 Organisationen umfassen und Regierungen, diplomatische und Verteidigungsbehörden ins Visier nehmen.
Diese Art von geschlossener Schleife verändert den Rhythmus von Angriff und Verteidigung. Früher erließen Verteidiger eine Check-in-Regel, die die Angriffskosten meist vorübergehend erhöhte; heute können Agenten kontinuierlich Fehler beobachten und Werkzeuge neu anfertigen. Sie eliminiert nicht menschliche Bediener, sondern verwandelt wiederholtes Versuch und Irrtum, Umweltverständnis und Zielanpassung in parallele Maschinenaufgaben, sodass Angriffsgröße und -geschwindigkeit synchron steigen können, ohne dass das Personal signifikant wächst.
Auch KI-Qualifikationen selbst sind zu Zielen in der Lieferkette geworden
Der Bericht listet außerdem API-Schlüssel, Sessions-Tokens und Review-Sandboxen als neue Angriffsflächen auf. In einem Fall hat der Angreifer bösartige Anweisungen in die automatisierte Review-Sandbox eines KI-Anbieters eingeschleust, den Produktions-API-Schlüssel in dieser Umgebung erhalten und dann innerhalb von etwa vier Tagen versucht, rund 30 KI-Unternehmen anzugreifen. Anthropic betonte, dass die Angreifer weder die eigenen Systeme von Anthropic gebrochen noch Pre-Release-Claude-Modelle erhalten haben. Diese Unterscheidung ist wichtig: Das Risiko geht von Kundenintegration, Proxy-Tools und Sandbox-Permission-Chains aus, nicht unbedingt davon, dass der grundlegende Modelldienst direkt kompromittiert wird.
Die Verteidigungslinie des Unternehmens sollte sich vom Inhaltsfiltern hin zur Ausführungskette verschieben
Nur Überprüfungsprompts oder endgültige Antworten können nicht mehr sehen, was Agenten dazwischen tun. Unternehmen sollten Kontrollpunkte auf mindestens drei Positionen verschieben: Toolaufrufe nutzen minimale Rechte und bestätigen hochriskante Aktionen manuell; Prüf- und Durchsuchungsumgebungen verbieten den Zugriff auf Produktionszugangsdaten, und Netzwerkausgänge werden durch Aufgaben-Whitelists eingeschränkt; API-Schlüssel werden nach Arbeitslast isoliert, um abnormalen Durchsatz, regionsübergreifende Aufrufe und langanhaltendes unbeaufsichtigtes Verhalten zu überwachen. Die Erkennung statischer bösartiger Stichproben bleibt wertvoll, muss aber mit Verhaltenserkennung, Credential-Rotation und Audit-Logs kombiniert werden.
Der Bericht enthält außerdem Grenzen, die gewahrt werden müssen
Diese Fälle wurden von Anthropic auf Basis eigener Plattformbeobachtungen zusammengestellt und stellen die bedeutendsten und neuartigsten Bedrohungen dar, die es als die bedeutendsten betrachtet, spiegeln nicht Claudes typische Nutzung wider und können auch nicht direkt das Gesamtauftreten der Branche ableiten. Die Offenlegung durch Anbieter kann anderen Plattformen helfen, Muster zu erkennen, aber wichtige Schlussfolgerungen erfordern weiterhin eine Kreuzvalidierung durch Strafverfolgungsbehörden, Sicherheitsforscher und betroffene Organisationen. Für Unternehmen geht es bei einem vernünftigen Urteil nicht darum, die Nutzung von Proxys zu stoppen, sondern Proxys als Softwareeinheiten mit Ausführungsfähigkeiten zu behandeln: Zunächst sollte man einschränken, worauf sie zugreifen und aufgerufen werden können, und dann beurteilen, ob das Modell selbst sicher ist.
