Anthropic lief elf Monate ohne Bio-Filter – 133 Millionen Chats betroffen

Anthropic hat am 14. August 2026 seinen zweiten Risk Report veröffentlicht – und darin eine Lücke eingeräumt, die elf Monate lang niemand bemerkte: Von Mai 2025 bis April 2026 liefen die blockierenden biologischen Klassifizierer auf keinem einzigen Chat der Human-Feedback-Plattformen. Das sind jene Filter, die verhindern sollen, dass ein Modell gefährliches Wissen über biologische oder chemische Waffen ausspuckt. Betroffen waren laut Bericht rund 50'000 externe Contractor und etwa 133 Millionen Austausche mit Claude-Modellen. Kundendaten, Modellgewichte und Produktivsysteme waren nach Anthropics Darstellung zu keinem Zeitpunkt betroffen.

Ein Flag, das auch das Logbuch abschaltete

Die Ursache ist banal und genau deshalb unangenehm. Ein Schalter, der nur für den internen Gebrauch gedacht war, deaktivierte nicht nur das Blockieren – er schaltete auch die Protokollierung ab. Traffic, der sonst markiert worden wäre, wurde, wie es im Bericht heisst, «nicht erfasst und an keinen Prüfmechanismus weitergegeben».

Damit fehlte genau das Signal, an dem so ein Fehler normalerweise auffällt. Dazu kam die zweite Schwachstelle: Anthropic prüft die einzelnen Contractor nicht selbst, das übernehmen externe Daten-Vendoren. Viele davon hatten laut Bericht keine Screening-Prozesse, die «nicht einmal CB-1-Bedrohungsakteure» aufgehalten hätten. Und die grosse Mehrheit dieses Pools konnte frei mit den Modellen chatten – nicht bloss vorgegebene Antworten bewerten.

1'197 Treffer – und 62 echte Fragezeichen

Nachdem der Fehler im April 2026 behoben war, liess Anthropic Claude Sonnet 5 als Prüf-Klassifizierer über sämtliche menschlichen Eingaben des betroffenen Zeitraums laufen. Das Ergebnis:

• 1'197 Transkripte wurden als «hoch» für biologischen Schaden markiert
• 757 davon stammten von Anthropics eigenen Teams, die dieselbe Infrastruktur nutzen
• Vom Rest kamen alle bis auf 62 aus Übungen, bei denen Red-Teamer die Systeme absichtlich stresstesten

Diese 62 Transkripte wurden komplett manuell gelesen, dazu 30 zufällig gezogene Red-Teaming-Gespräche. Gefunden wurde kein klar besorgniserregender Missbrauch – wohl aber «eine Handvoll potenziell Dual-Use-Gespräche». Ein Argument dafür, dass real wenig passiert ist: Die Gespräche waren meist kurz, das 75-Prozent-Quantil lag bei 2'102 Tokens, also grob zweitausend Wörtern.

Der Sicherheitsbericht, der den Sicherheitsbericht korrigiert

Der eigentliche Sprengsatz steckt nicht in den Zahlen, sondern in einer Zeitangabe: Die Lücke war offen, als Anthropic im Februar 2026 seinen ersten Risk Report publizierte. Dieser Bericht, schreibt das Unternehmen jetzt, habe die Human-Feedback-Plattformen «nicht als Risikofläche betrachtet». Folge: Anthropic stuft das Risiko, das seine Modelle im Februar 2026 darstellten, nachträglich von «very low» auf «low» herauf. Ein Sicherheitsbericht, der den vorherigen Sicherheitsbericht korrigiert, ist ein seltenes Dokument.

Noch offener ist der Satz, den Anthropic daraus zieht:

Die Entdeckung dieser Lücke lässt uns glauben, dass eine erhöhte Wahrscheinlichkeit besteht, dass es weitere, ähnliche Probleme gibt, die uns unbekannt sind.

Auf derselben Plattform gab es einen zweiten Vorfall: Im April 2026 bestätigte Anthropic nach einem externen Hinweis, dass einige Contractor bei Daten-Labeling-Vendoren über eine Lücke an einen API-Key gekommen waren. Damit griffen sie ausserhalb ihres Auftrags auf Modelle zu – rund zwei Wochen lang auch auf Mythos Preview, eines der fähigsten und damals ebenfalls ohne blockierende Bio-Klassifizierer. Anthropic dämmte die Aktivität innerhalb von 90 Minuten nach Kenntnis ein und schloss den Zugangsweg noch am selben Tag.

Claude liest Anthropic die Leviten

Der ungewöhnlichste Teil des Reports: Anthropic gab einer Instanz von Claude Mythos 5 Zugriff auf interne Slack-Kanäle, Dokumente und die eigene Codebasis – und liess sie den Entwurf des Alignment-Kapitels kritisch prüfen. Claude brauchte 24 Minuten, benannte zuerst den eigenen Interessenkonflikt («Ich bin ein Claude-Modell, das Anthropics Bewertung von Claude-Modellen prüft») und lieferte dann drei Kritikpunkte: Ein Abschnitt sei beruhigender, als es die Aktenlage hergebe, und ein vollständig geschwärzter Vorfall gehöre zum Aufschlussreichsten – der öffentliche Bericht sei durch dessen Fehlen ärmer. Anthropic nennt die Kritik fair und hat sie mitveröffentlicht.

Zürich baut, Bern schreibt noch

Für dich als Nutzer oder Verantwortliche in einem Schweizer Unternehmen ist das mehr als eine Anekdote aus Kalifornien. Anthropic hat 2025 ein eigenes Forschungsteam in Zürich aufgebaut, geleitet vom früheren Google-DeepMind-Forscher Neil Houlsby; es arbeitet laut Switzerland Global Enterprise am Training der Claude-Modelle und deren multimodalen Fähigkeiten.

Die unbequeme Frage lautet: Wer prüft das eigentlich nach? Bislang kaum jemand von aussen. Anthropics Long-Term Benefit Trust darf seit Version 3.2 der Responsible Scaling Policy eine externe Prüfung der Risk Reports verlangen – und hat davon bisher keinen Gebrauch gemacht. Freiwillige Pilot-Reviews laufen, verpflichtend ist keine.

Regulatorisch bewegt sich gerade beides parallel: In der EU erhält das AI Office am 2. August 2026 seine vollen Durchsetzungsbefugnisse gegenüber Anbietern von Allzweck-KI-Modellen mit systemischem Risiko, inklusive Meldepflicht für schwerwiegende Vorfälle. Die Schweiz hat noch kein KI-Gesetz; der Vorentwurf soll laut Bundesrat bis Ende 2026 vorliegen und die KI-Konvention des Europarats umsetzen. Ob und wie Allzweck-Modelle darin erfasst werden, ist offen – das bestätigte der Bundesrat Mitte August in seiner Antwort auf eine Interpellation von Nationalrätin Isabelle Chappuis.

Bis dahin gilt: Was wir über diese Lücke wissen, wissen wir nur, weil Anthropic sie selbst publiziert hat. Das spricht für die Transparenz des Unternehmens – und ist gleichzeitig der beste Grund, bei jedem KI-Anbieter nachzufragen, wo die Logs hingehen und wer die Kontrollen kontrolliert.