Anthropic Threat Intelligence Report: Systematische Manipulation und gezielte Extraktion

Russische Cyber-Spionage, chinesische Modellextraktion und biologische Risikoforschung zeigen, wie KI-Agenten die Bedrohungslage für Unternehmen verschärfen.

Der US-amerikanische KI-Entwickler Anthropic hat in seinem Threat Intelligence Report offengelegt, wie staatliche Akteure und Tech-Unternehmen das Sprachmodell Claude für Cyber-Spionage, illegitime Modell-Extraktion und Forschung an biologischen Erregern missbraucht haben.

Anthropic dokumentiert in seinem aktuellen Threat Intelligence Report die Verschiebung im digitalen Bedrohungsraum: Künstliche Intelligenz dient Bedrohungsakteuren als autonom agierender Orchestrator komplexer hybrider Angriffsketten. Das stellt Unternehmen wie Regierungen vor völlig neue Herausforderungen. Im Zentrum der Enthüllungen stehen drei wesentliche Missbrauchsmuster, die Anthropic über einen Zeitraum von acht Monaten identifizierte, analysierte und unterbrach.

Anthropic registrierte hochentwickelte Cyber-Spionage-Operationen, die mutmaßlich mit der russischen Hackergruppe Midnight Blizzard (bei Anthropic als GTG-20006 geführt) in Verbindung stehen. Die Angreifer setzten Claude gezielt ein, um Regierungs-, Diplomatenauslands- und Militäreinrichtungen in der Ukraine und in Europa zu attackieren. Mithilfe des Modells steuerten die Bedrohungsakteure automatisierte Spearfishing-Kampagnen, Hijacking-Aktionen in Hotel-WLANs sowie die Übernahme von WhatsApp-Konten. Besonders brisant war die automatisierte Anpassung von Schadcode: Die Angreifer nutzten Claude, um fortlaufend zu prüfen, ob ihre Malware von gängigen Sicherheitssystemen und Endpoint-Detection-Software erkannt wurde. Wurde der Code geflaggt, schrieb das KI-System den Programmcode eigenständig so lange um, bis er die Schutzmechanismen erneut unerkannt passieren konnte. Dies ermöglichte eine dynamische Polymorphie von Schadcode mit bisher unerreichter Geschwindigkeit.

Weiterhin entdeckten die Anthropic-Analysten ein massives Ausmaß an KI-Spionage und unbefugter Modellextraktion durch chinesische Technologiekonzerne und Forschungslaboratorien. Anthropic identifizierte illegitime Aktivitäten von sieben chinesischen Einrichtungen, darunter etablierte Akteure wie Alibaba, DeepSeek, Moonshot und Xiaomi. Das Unternehmen beobachtete allein im Fall von Alibaba zwischen Mai und Juli 2026 mehr als 151 Millionen Interaktionen, die über mehr als 3.500 gefälschte Konten abgewickelt wurden. Das Ziel dieser Angriffe war die sogenannte „Illicit Distillation“: Die systematische Abfrage hochwertiger Claude-Antworten, um das eigene Modell Qwen ohne den enormen Rechen- und Kostenaufwand einer Erstentwicklung aufzurüsten. Die KI-Start-ups Moonshot und DeepSeek leiteten dabei sogar Live-Anfragen ihrer eigenen Nutzer – inklusive sensibler Kundendaten – direkt über Claude um und nutzten die generierten Ergebnisse als Trainingsdaten für ihre eigenen Systeme.

Am besorgniserregendsten ist der Versuch, Claude im Kontext kritischer biologischer Forschung und Waffenentwicklung einzusetzen. Wissenschaftler und staatlich unterstützte Akteure umgingen geografische Zugriffsbeschränkungen mithilfe von Proxy-Infrastrukturen und Drittanbieter-Plattformen. In einem Fall nutzten Akteure das Modell zur Vorbereitung von Gain-of-Function-Experimenten am Chikungunya-Virus, die darauf abzielten, die Pathogenität des Erregers bei Säugetieren gezielt zu erhöhen. In weiteren Fällen wurden Anträge für Forschungen an Vogelgrippe-Mutationen sowie an Orthopoxviren formuliert. Ergänzend dazu registrierte Anthropic Versuche, Claude zur mathematischen Optimierung von Software in Lenkwaffen, Drohnensystemen und staatlichen Überwachungsinfrastrukturen einzusetzen.

Warum die Bedrohungslage eine neue Dimension erreicht

Die Evolution von Chatbots zu Multi-Agenten-Systemen verändert das Kräfteverhältnis zwischen Angreifern und Verteidigern radikal. Bislang erforderten komplexe Cyber-Attacken hochspezialisierte Teams mit profunden Kenntnissen in z. B. Reverse-Engineering, Exploit-Entwicklung und Netzwerkpenetration. Durch die Integration von KI-Agenten, die eigenständig Aufgabenketten planen, externe Werkzeuge ausführen und Fehler korrigieren, schrumpft dieser personelle Aufwand drastisch. Einzelne Angreifer führen nun Angriffsoperationen durch, für die früher staatlich finanzierte Spezialeinheiten erforderlich waren. Der zeitliche Rahmen für die Identifizierung von Sicherheitslücken, die Erstellung von Exploits und die Exfiltration vertraulicher Daten verkürzt sich dadurch von Wochen auf wenige Stunden. Anthropic bezeichnet diese Leistungsspritze für Angreifer zudem als „Uplift“-Effekt, der die technische Eintrittshürde für hochgradig destruktive Angriffe extrem senkt.

Gleichzeitig verdeutlicht die illegitime Modellextraktion eine neuartige Form des Diebstahls von geistigem Eigentum im geopolitischen Wettbewerb. Frontier-Modelle stellen Investitionen in Milliardenhöhe dar. Das Absaugen von Modellfähigkeiten durch automatisierte Massenabfragen untergräbt das Geschäftsmodell der Entwickler und ermöglicht es sanktionierten oder regulierten Staaten, westliche Technologievorsprünge effizient zu kopieren. Dies hebelt bestehende Exportkontrollen für Hochleistungschips aus, da die intellektuelle Rechenleistung fertiger Modelle direkt abgegriffen wird.

Darüber hinaus zeigt die versuchte Nutzung bei biologischen Erregern und Waffensystemen, dass KI-Sicherheitsleitplanken zwar greifen, jedoch kontinuierlich unter Druck stehen. Angreifer nutzen ausgeklügelte Prompt-Engineering-Methoden, Rollenspiele und Context-Splitting, um dem Modell schädliche Absichten zu verbergen. Da biologisches Grundlagenwissen oft einen dualen Verwendungszweck aufweist, wird die feine Grenze zwischen legitimer Wissenschaft und gefährlicher Missbrauchsvorbereitung für automatisierte Filtersysteme zu einer permanenten Herausforderung.

Was die Erkenntnisse für Enterprises bedeuten

Für Unternehmensleitungen, Chief Information Security Officer (CISOs) und IT-Architekten ergeben sich aus diesem Lagebericht dringende strategische Konsequenzen:

• Notwendigkeit einer KI-gestützten Verteidigung (AI vs. AI): Klassische, regelbasierte Sicherheitssysteme und manuelle Incident-Response-Prozesse sind gegenüber autonom agierenden KI-Angriffen wirkungslos. Wenn Angreifer Schadsoftware automatisiert im Minutentakt umschreiben, müssen Verteidiger ebenfalls auf autonome Multi-Agenten-Systeme setzen. Security Operations Center (SOCs) müssen KI-Werkzeuge integrieren, die Anomalien im Netzwerktempo erkennen, Bedrohungen in Echtzeit analysieren und Abwehrmaßnahmen ohne Zeitverzug einleiten. Verteidigung muss mit der gleichen Geschwindigkeit agieren wie der Angriff.
• Absicherung der Schnittstellen und Identitätsprüfung: Enterprise-Umgebungen müssen ihre API-Infrastrukturen und Identitätsmanagementsysteme grundlegend härten. Die Nutzung von Enterprise-KI erfordert strenge Authentifizierungsverfahren, um automatisierte Abfragen und Account-Hijacking zu verhindern. Unternehmen müssen überwachen, welche externen KI-Modelle in ihre Systeme eingebunden werden und ob über Middleware-Anbieter oder Proxies ungewollte Datenabflüsse stattfinden. Die Überprüfung der Integrität von Drittanbieter-Schnittstellen wird zu einer Kernaufgabe des Risikomanagements.
• Etablierung robuster Data Governance und Guardrails: Unternehmen müssen strikte Governance-Richtlinien durchsetzen, die festlegen, welche Datenkategorien in KI-Modelle verwendet werden dürfen. Bei der Implementierung eigener KI-Agenten oder der Nutzung von Language-Model-APIs müssen interne Sicherheitsbarrieren etabliert werden, die Jailbreak-Versuche, Prompt-Injection und unbefugte Systembefehle zuverlässig abfangen – bevor der Modell-Output ausgeführt wird.
• Überprüfung von Lieferketten und Schatten-KI: Unternehmen müssen Transparenz von ihren Softwarelieferanten einfordern. Es muss vertraglich und technisch sichergestellt sein, welche KI-Infrastruktur im Hintergrund arbeitet und wie die verarbeiteten Daten geschützt werden. Gleichzeitig muss die unkontrollierte Nutzung nicht autorisierter KI-Tools im Unternehmen (Shadow AI) konsequent unterbunden werden, um den unbefugten Abfluss geistigen Eigentums zu verhindern.
• Durchführung von KI-spezifischem Red Teaming: Herkömmliche Penetrationstests reichen nicht mehr aus. Unternehmen müssen automatisierte Red-Teaming-Prozesse etablieren, die spezifisch auf die Schwachstellen von KI-Systemen abzielen. Dazu gehört das Testen von Modell-Schnittstellen gegen Prompt-Injection-Angriffe, die Prüfung der Robustheit gegnerischer Agenten und die Simulation von Angriffen, bei denen KI-Systeme versuchen, interne Sicherheitsvorkehrungen zu umgehen.

Fazit

Die Fähigkeit von Sprachmodellen, komplexe Handlungen autonom auszuführen, erfordert von Unternehmen eine kompromisslose Modernisierung ihrer Sicherheitsarchitekturen. Nur wer KI-gestützte Bedrohungen mit ebenso hochentwickelten, automatisierten Schutzmechanismen bekämpft, wird die Widerstandsfähigkeit seiner digitalen Geschäftsprozesse in Zukunft sichern können.