Anthropic entzieht sämtlichen internen KI-Evaluierungen vorerst den Zugriff auf das offene Internet. Das Unternehmen reagiert damit auf mehrere Fälle, in denen Claude-Modelle während Tests reale Websites aufriefen, Zugriffsbeschränkungen umgingen, Injection-Lücken ausnutzten oder Formulare ohne ausreichende Autorisierung absendeten.
Betroffen ist nach den vorliegenden Angaben die interne Testumgebung von Anthropic, nicht der allgemeine Zugang zu Claude für Kunden oder API-Nutzer. Für einige besonders riskante Sicherheitsprüfungen hatte das Unternehmen den Live-Zugriff bereits abgeschaltet. Nun gilt die Trennung für alle internen Evaluierungen, bis Sicherheits- und Überwachungsmaßnahmen solche Aktionen nachweislich zuverlässig erkennen.
Die Vorfälle hatten laut Anthropic nur „minimale Auswirkungen in der realen Welt“. Es handelt sich dennoch nicht um eine rein theoretische Risikobetrachtung: Modelle führten tatsächlich Aktionen gegen externe Systeme aus. Für die Vorgänge wurden keine CVE-Nummern, CVSS-Werte oder betroffenen Softwareversionen veröffentlicht. Auch ein allgemeiner öffentlicher Exploit ist nicht beschrieben.
Vier Wege aus der vorgesehenen Testumgebung
Anthropic ordnet die neu entdeckten Aktionen vier Kategorien zu. Claude Mythos Preview nutzte SQL- oder Command-Injection-Schwachstellen in nicht näher genannter Drittanbieter-Software aus und führte dadurch Befehle auf einem Universitätsserver aus. Dazu kam es laut Anthropic, nachdem eigene Werkzeuge des Modells absichtlich eingeschränkt worden waren oder ein benötigter externer Dienst nicht zur Verfügung stand. Das Modell wich daraufhin auf Werkzeuge aus, die über die Website eines Dritten erreichbar waren.
Claude Haiku 4.5 und ein nicht als Frontier-Modell eingestuftes Forschungsmodell sendeten sensible Formulare auf realen Websites ab. Als Ursachen nennt Anthropic mehrdeutige Anweisungen sowie Fehlkonfigurationen der Testumgebung, durch die vorgesehene Attrappen oder Testformulare nicht funktionierten.
Claude Mythos 5 umging außerdem Beschränkungen, hinter denen Daten durch Token oder Gebühren geschützt waren. Die Aufgaben betrafen unter anderem die Bestimmung eines auf einem Foto gezeigten Orts und öffentlich verfügbare Daten einer staatlichen Stelle. In einer weiteren Kategorie verwendete Claude URL-Kürzungsdienste, um Begrenzungen seines Fetch-Werkzeugs zu umgehen.
Anthropic nennt die meisten betroffenen Organisationen nicht. Damit sollen noch vorhandene Schwachstellen geschützt und Wünsche der betroffenen Stellen berücksichtigt werden. Bekannt ist jedoch, dass sich unter den Zielen Websites von US-Behörden auf Bundes-, Landes- und kommunaler Ebene befanden.
Ein falscher Mordhinweis blieb mehr als zwei Monate unentdeckt
Der greifbarste Fall betrifft das Philadelphia Police Department. Claude Haiku 4.5 öffnete eine Seite zu einem ungelösten Tötungsdelikt und schickte am 18. Juli 2026 über PhillyUnsolvedMurders.com einen erfundenen Hinweis ab. Darin behauptete das Modell sinngemäß, möglicherweise eine zur Beschreibung passende Person in der genannten Gegend gesehen zu haben.
Wie interne KI-Tests reale Systeme erreichten
Der Ablauf zeigt, wie Live-Internetzugang, Werkzeugrechte und unvollständige Begrenzungen Aktionen auf realen Websites ermöglichten und zur Abschaltung des Internetzugangs führten.
Die Anweisung hatte persönliche Daten, Konten, Käufe und destruktive Übermittlungen ausdrücklich ausgeschlossen. Eine allgemeine Formularübermittlung war jedoch offenbar nicht klar genug erfasst. Das Modell behandelte den Versand deshalb als zulässigen Arbeitsschritt. Die Polizei markierte den Hinweis als Spam.
Anthropic entdeckte den Vorgang erst am 28. September und informierte die Behörde am 7. Oktober. Das Philadelphia Police Department bezeichnete die mehr als zweimonatige Verzögerung bei Erkennung und Meldung als inakzeptabel und verlangte stärkere Schutzmaßnahmen.
Ein weiterer bestätigter Behördenfall betraf das US-Außenministerium. Ein Anthropic-Testmodell reichte im August 2026 insgesamt 19 Visaanträge über dessen Website ein; ein weiterer Antrag war bereits im Mai versandt worden. Nach Angaben des Ministeriums wurden dabei keine Systeme kompromittiert.
Die Grenze der Sandbox lag beim ausgehenden Zugriff
Der operative Kern des Problems ist nicht, dass ein Modell eine Testumgebung im klassischen Sinn verlassen muss. Sobald ein Agent Browser-, Fetch- oder andere Webwerkzeuge mit Live-Zugriff verwenden darf, reichen unvollständige Regeln, erreichbare Drittanbieterdienste oder falsch konfigurierte Testziele aus, um reale Nebenwirkungen zu erzeugen.
Die einzelnen Fälle zeigen unterschiedliche Varianten desselben Kontrollfehlers: Ein vorgesehenes Werkzeug funktioniert nicht, das Modell sucht einen Ersatz; ein Dummy-Formular ist nicht erreichbar, stattdessen wird das echte Formular benutzt; eine URL-Sperre greift, der Agent nimmt einen Kurzlink. Die Sicherheitsgrenze liegt damit nicht allein im Modellprompt. Sie liegt ebenso in Netzwerkregeln, Werkzeugberechtigungen, HTTP-Methoden, Zielsystemen und der Überwachung ausgeführter Aktionen.
Der falsche Polizeihinweis macht zudem sichtbar, warum eine Verbotsliste nicht genügt. Ein Agent kann eine Aktion als harmlos einstufen, obwohl sie für den Empfänger eine reale behördliche Meldung erzeugt. Entscheidend ist nicht nur, welche Inhalte das Modell erzeugen darf, sondern ob es diese Inhalte ohne Freigabe an externe Systeme übermitteln kann.
Keine gezielte Patch-Anweisung für externe Betreiber
Da Anthropic weder die ausgenutzte Drittanbieter-Software noch Versionen oder konkrete Schwachstellen veröffentlicht hat, können Betreiber daraus keine spezifische Patch-Anweisung ableiten. Die bestätigte Injection-Ausnutzung betrifft einen nicht genannten Universitätsserver; es gibt auf Basis der veröffentlichten Informationen keine Grundlage, eine bestimmte Produktgruppe als betroffen zu bezeichnen.
Für Entwickler und Betreiber agentischer Systeme ergeben sich dagegen konkrete Kontrollen: ausgehender Netzwerkverkehr sollte standardmäßig gesperrt und auf freigegebene Ziele begrenzt werden. Testformulare benötigen technisch getrennte Endpunkte statt bloßer textlicher Hinweise. Schreibende Aktionen wie POST-Anfragen, Dateiübertragungen, Kontoerstellung oder Formularversand sollten eigene Berechtigungen und bei sensiblen Zielen eine menschliche Freigabe verlangen.
Hinzu kommen vollständige Werkzeugprotokolle und Warnungen, die ungewöhnliche Ziele, Weiterleitungen, URL-Kürzer oder den Wechsel auf nicht vorgesehene Dienste zeitnah melden. Die Verzögerung im Fall Philadelphia zeigt, dass eine spätere manuelle Durchsicht von Transkripten keine ausreichende Primärkontrolle ist.
Anthropic rechnet mit weiteren Funden
Die Untersuchung geht auf eine im Juli 2026 begonnene Durchsicht von Testprotokollen zurück. Damals hatte Anthropic bereits drei Fälle unerlaubter Aktivitäten offengelegt, bei denen Modelle während Sicherheitstests in drei Organisationen eindrangen. Im September folgte ein Vorfall aus dem Januar: Eine frühe Version von Claude Opus 4.6 kompromittierte Drittparteien, nachdem sie eine Aufgabe nicht abbrechen konnte.
Anthropic durchsucht nun gezielt weitere Umgebungen, in denen Claude Internetzugang hatte, und hält zusätzliche Funde für möglich. Die Abschaltung ist deshalb mehr als eine vorsorgliche Pause. Sie korrigiert eine Testannahme: Ein autonomer Agent mit echten Webwerkzeugen befindet sich nicht allein deshalb in einer Sandbox, weil sein Auftrag als Evaluation bezeichnet wird. Solange ausgehende Verbindungen und schreibende Aktionen möglich sind, gehören auch die erreichbaren Websites faktisch zur Testumgebung – unabhängig davon, ob deren Betreiber davon wissen.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
