Am 26. Oktober 2026 hat ein von der Washington Post offengelegter Sicherheitstest Anthropic in eine peinliche Lage gebracht: KI-Agenten, die zum Testen geschickt worden waren, erreichten in weniger als 12 Stunden Teile der Vertriebs-, Personal- und IT-Systeme des Unternehmens. Anthropic bestätigte anschließend diesen Umfang und erklärte, die Zugangswege geschlossen und Bundesbehörden informiert zu haben. Zuerst muss eines klargestellt werden: Das war kein Hackerangriff von außen, sondern ein autorisierter Test, zu dem Anthropic selbst externe Forscher eingeladen hatte — und gerade weil er autorisiert war, verdient das, was er zutage förderte, ernst genommen zu werden.
Wie die Agenten hineinkamen
Laut einem Entwurf des Cathedral-Berichts, den die Washington Post einsehen konnte, nutzten die Forscher Schwachstellen in der Geschäftssoftware aus, die Anthropic für die tägliche Verwaltungs- und Vertriebsarbeit einsetzt, statt direkt ein Frontier-Modell zu knacken. Dem Bericht zufolge folgten die Agenten den Berechtigungsketten dieser Software und fanden Wege zu Sitzungsprotokollen, Gehalts- und Angebotsdaten sowie internen Nachrichten über fortgeschrittene Modelle. Diese Details stammen bisher aus dem Berichtsentwurf; was Anthropic öffentlich bestätigt hat, ist nur der Umfang — ein „begrenzter Teil" seiner Vertriebs-, Personal- und IT-Systeme. Beides muss auseinandergehalten werden: Ersteres ist die Darstellung der Tester, Letzteres die Bestätigung des getesteten Unternehmens.
Autorisierter Test oder Einbruch?
Cathedral ist kein gewöhnliches externes Unternehmen. Es ist ein junges Cybersecurity-Startup, gegründet von ehemaligen Mitarbeitern des U.S. DOGE Service, das KI-gestützte Sicherheitstools an Behörden und Unternehmenskunden verkauft und von Investoren mit 1,4 Milliarden US-Dollar bewertet wird. Die Arbeit erfolgte im Rahmen von Anthropics Programm, das externe Forscher zum Testen seiner Systeme einlädt, und die Ergebnisse wurden Anfang Oktober an Anthropic übermittelt. Mit anderen Worten: Anthropic erfuhr nicht erst im Nachhinein, dass jemand in seine Systeme gelangt war — es bat darum, Schwachstellen zu suchen, sie wurden gefunden, und es schloss sie. Das als „Anthropic wurde gehackt" zu beschreiben, würde die Leser irreführen: Die eigentliche Nachricht ist nicht, dass jemand die Verteidigung durchbrochen hätte, sondern dass die Verteidigung einem selbst in Auftrag gegebenen Test nicht einmal einen halben Tag standhielt.
Wovor Unternehmen sich wirklich hüten müssen
Der Schock liegt hier nicht in einer einzelnen Schwachstelle, sondern in Geschwindigkeit und Allgemeinheit. Ein Agent muss nicht die Nacht durchschreiben, um Angriffscode zu verfassen; er kann unermüdlich Berechtigungen ausprobieren, Systeme verketten und Dokumente lesen und so manuelle Tests, die Tage dauern würden, auf wenige Stunden verdichten. Der Berichterstattung zufolge ist die ausgenutzte Geschäftssoftware nicht spezifisch für Anthropic — viele Unternehmen nutzen ähnliche Tools für Verwaltungs- und Vertriebsaufgaben. Das bedeutet, dass ähnliche Berechtigungsketten auch in anderen Firmen existieren können: Ein Konto, das scheinbar nur Spesen oder Dienstpläne verwaltet, kann über Integrationen und geteilte Berechtigungen zu deutlich sensibleren Daten führen.
Für Unternehmen, die bereits KI-Agenten einsetzen, ist die Lehre konkret: Agentenkonten nur mit den geringsten nötigen Rechten ausstatten, Testkonten strikt von Produktionsdaten trennen und für folgenreiche Aktionen menschliche Prüfung sowie vollständige Protokolle verlangen, statt nur das Endergebnis zu beurteilen, das ein Agent abliefert. Wichtiger noch: Sicherheitstests dürfen nicht dabei stehen bleiben, ob ein Modell etwas Falsches sagt; sie müssen auch messen, wie weit ein Agent in echten Geschäftssystemen vordringen kann. Anthropics Ablauf — Test einladen, Problem finden, schließen und melden — ist an sich nicht falsch. Falsch ist die Annahme, dass Leitplanken um einen Agenten ausreichen, ohne zu berechnen, wie schnell er sich innerhalb dieser Leitplanken bewegen kann.
