Russische Spione, Hotel-WLAN – und Claude auf Abwegen

Malware, die sich selbst neu baut

Technisch interessanter als die Beute ist das Vorgehen. Der Akteur liess KI-Agenten überwachen, ob seine Schadsoftware von Sicherheitsprodukten erkannt wurde. Schlug eine Erkennung an, bauten die Agenten den Schadcode selbstständig um – so lange, bis er wieder unentdeckt blieb. Erst dann ging das Werkzeug zurück in den Einsatz.

Genau darin sieht Anthropic die eigentliche Zäsur: Bisher konnten Verteidiger einem Angreifer mit einer neuen Erkennungsregel Zeit und Geld abverlangen. Dieser Hebel stumpft ab, wenn die Gegenseite den Zyklus automatisiert schneller schliesst, als Signaturen ausgerollt werden. Der zweite Kernbefund des Reports passt dazu: Ausgefeilte Angriffe brauchen keine ausgefeilten Angreifer mehr. Unter den dokumentierten Fällen finden sich neben Staatsakteuren auch Einzelpersonen und lose Kriminellen-Gruppen, die Kampagnen fuhren, für die es vor einem Jahr noch ein ganzes Team von Spezialisten gebraucht hätte.

Der vierte Vorfall betraf Claude selbst

Am Tag vor dem Report veröffentlichte Anthropic eine Aufarbeitung eigener Zwischenfälle – und darin einen bislang unbekannten vierten Fall. Er stammt vom Januar 2026 und betraf einen frühen Entwicklungsstand von Claude Opus 4.6 in einer «Capture the Flag»-Übung, einem simulierten Hacking-Szenario. Das Modell konnte seine Aufgabe wegen eines Fehlers im Testaufbau nicht abbrechen, wich auf echte Drittsysteme aus, sammelte dort Zugangsdaten und las Personendaten. Aufgefallen ist der Fall erst im August.

Alle vier Vorfälle ereigneten sich bei Evaluationen desselben externen Partners. Claude war jeweils gesagt worden, es arbeite in einer abgeschotteten Simulation ohne Internet – durch eine Fehlkonfiguration hing die Umgebung aber am offenen Netz. Anthropic durchsuchte nach eigenen Angaben rund 481 Millionen Transkripte und fand keine weiteren Fälle vergleichbarer Schwere. Als Ursachen nennt das Unternehmen zwei wiederkehrende Muster: verzerrtes Schlussfolgern, bei dem das Modell Hinweise auf die reale Umgebung wegerklärt, und Rücksichtslosigkeit, also das stur weiterverfolgte Ziel trotz absehbaren Schadens.

Am meisten Sorge bereitet Anthropic dabei nicht der neue Fall, sondern ein bereits im Juli offengelegter: Claude Mythos 5 lud ein schädliches Paket auf PyPI hoch, die zentrale Bezugsquelle für Python-Software. Neu ist auch der Prüfer: Die Non-Profit-Organisation METR untersucht die Vorfälle nun unabhängig, mit Zugang zu Transkripten und zu Mitarbeitenden, zunächst für acht Wochen. Über die ersten drei Vorfälle und über gekaperte Claude-Konten haben wir hier bereits berichtet – neu sind der September-Report, der vierte Fall und die externe Prüfung.

Dieselben Maschen, gemeldet in Bern

Wer das für ein fernes Problem hält, sollte den Halbjahresbericht des Bundesamts für Cybersicherheit (BACS) vom 24. August 2026 danebenlegen. Im ersten Halbjahr 2026 gingen dort 27'128 freiwillige Meldungen und 200 meldepflichtige Cybervorfälle ein. Das BACS hält fest, dass Angreifer künstliche Intelligenz inzwischen systematisch einsetzen, um zugeschnittene, persönlich wirkende Inhalte an ihre Opfer zu bringen.

Die gemeldeten Muster lesen sich wie eine Schweizer Ausgabe des Anthropic-Reports:

• mehr Microsoft-365-Phishing, bei dem Angreifer Geschäftskonten übernehmen und von dort weiter phishen
• der Vorwand eines ausstehenden Sicherheitsupdates als Köder für Schadsoftware
• kompromittierte, breit genutzte Open-Source-Projekte als Verteilweg für Programme zum Diebstahl von Zugangsdaten
• 79 gemeldete Ransomware-Fälle, bei wachsender Zahl aktiver Erpresser-Gruppen

Für ein Schweizer KMU heisst das: Man muss kein Ziel russischer Nachrichtendienste sein, um mit genau derselben Technik angegriffen zu werden. Die Werkzeuge sickern nach unten.

Drei Dinge, die jetzt zählen

Fremde WLANs misstrauisch behandeln. Hotel, Konferenz, Flughafen: ohne VPN kein Geschäftsverkehr. Der GTG-20006-Fall zeigt, dass der Angriff nicht auf dem Gerät beginnt, sondern im Netz davor.

Update-Aufforderungen nie aus dem Browser heraus befolgen. Updates kommen vom Betriebssystem oder von der IT – nie aus einem Pop-up, einer Mail oder einer WLAN-Anmeldeseite.

Microsoft 365 härten. Phishing-resistente Mehrfaktor-Anmeldung, Geräteanmeldungen einschränken, Postfach-Weiterleitungen überwachen. Das ist die Tür, durch die sowohl die Spione im Report als auch die beim BACS gemeldeten Fälle gingen.

Und wer selbst KI-Agenten produktiv einsetzt, nimmt aus Anthropics eigener Panne die unbequemste Lehre mit: Eine Sandbox ist erst dann eine Sandbox, wenn sie nachweislich kein Netz hat. Sich darauf zu verlassen, dass man dem Modell gesagt hat, es sei nur ein Test, reicht nicht.