Anthropic gab bekannt, dass mehrere Bedrohungsakteure das Modell Claude missbrauchten, um innerhalb des Zeitraums von Dezember 2025 bis August 2026 Einbruchsoperationen durchzuführen, Geheimnisse zu sammeln und Schadsoftware schneller zu entwickeln. Die Aktivitäten umfassten finanziell motivierte Gruppen sowie mit Spionage verbundene Akteure und außerdem Betrugs-, Einflussnahme-, Überwachungs- und Waffenentwicklungsoperationen sowie die Entwicklung abgeleiteter Modelle für künstliche Intelligenz.
Ein Fall stand mit einem mutmaßlich französischsprachigen Mitglied der Gruppe ShinyHunters in Verbindung, das den Alias „frkoo“ verwendete. Der Angreifer betrieb eine Pipeline auf zehn AWS-EC2-Instanzen, um 1,8 Millionen unterschiedliche APK-Pakete aus mehreren App-Stores herunterzuladen, sie anschließend zu dekompilieren und mithilfe des Tools TruffleHog auf eingebettete Geheimnisse zu untersuchen. Die verifizierten Ergebnisse wurden in Echtzeit an eine Telegram-Gruppe gesendet, die nach mehr als 100 Arten von Quellcodes oder Geheimnissen organisiert war.
Der Akteur nutzte außerdem einen weiteren automatisierten Prozess, um die E-Mail-Adressen von Organisationen auf GitHub zu sammeln und sie anschließend zum Erwerb persönlicher GitHub-Zugriffstoken (PATs) auszunutzen. Die beiden Prozesse lieferten erste Zugangsdaten, die laut Anthropic bei den meisten bestätigten, dem Angreifer zugeschriebenen Einbrüchen verwendet wurden. Außerdem richtete er einen Karten-Shop unter policenationale[.]cc ein, der sich als französische Nationalpolizei ausgab, um Zahlungskartendatensätze und Daten der Karteninhaber sowie interaktive Karten mit den Adressen der Opfer zu verkaufen.
Schnellere und umfangreichere Angriffe
Anthropic zufolge half Claude einem ShinyHunters zugeschriebenen Angreifer dabei, Authentifizierungsdaten zu extrahieren und innerhalb von etwa 34 Stunden mehr als 2.100 Gruppen von Azure-AD-Token zu erlangen, die mit mehr als 40 Unternehmenseignern in Microsoft verbunden waren. Dem Unternehmen zufolge erledigten KI-Agenten den größten Teil der Arbeit. In anderen Fällen gelangten die Angreifer innerhalb von weniger als drei Stunden von einem gestohlenen Entwicklertoken zur vollständigen administrativen Kontrolle. Außerdem wurde ein Terabyte an Daten von einem Technologieanbieter gestohlen, und ein Luftfahrtunternehmen sowie ein Energieunternehmen wurden kompromittiert.
Der Bericht umfasste auch Aktivitäten, die der russischen Gruppe Midnight Blizzard zugeschrieben werden. Sie nutzte Claude, um die Entwicklung von Schadsoftware, Aufklärung, den Kauf von Infrastruktur, Phishing, die Etablierung von Zugriffen, Command-and-Control sowie die Datenexfiltration zu automatisieren. Außerdem entwickelte sie einen Feedback-Mechanismus, der die Schadsoftware neu aufbaute, wenn sie von Sicherheitsprodukten erkannt wurde, und zielte auf mehr als 20 staatliche, verteidigungsbezogene, diplomatische, nachrichtendienstliche und außenpolitische Einrichtungen.
Die chinesischsprachige Gruppe GTG-10007 nutzte Claude hingegen als technische und koordinierende Ebene für ein Angriffsprogramm. Dieses umfasste die Aufklärung staatlicher Netzwerke im Nahen Osten, in Europa und Südostasien, die Suche nach Schwachstellen und die Entwicklung von Exploits gegen Sicherheitsprodukte, den Aufbau von Schadsoftware sowie einer Plattform zur Informationsbeschaffung. Anthropic zufolge deckten diese Operationen zuvor unbekannte Schwachstellen in einem Sicherheitsprodukt auf und entwickelten funktionsfähige Exploits für mehrere Gerätekategorien aus dem Netzwerk- und Sicherheitsbereich. Dabei wurden etwa 50 Organisationen in verschiedenen Sektoren ins Visier genommen.
Was ändert sich in der Praxis?
Die Ereignisse zeigen, dass das Risiko nicht auf die Nutzung eines Sprachmodells zum Schreiben von Code beschränkt ist. Es erstreckt sich vielmehr auf seine Einbindung in automatisierte Arbeitsabläufe, die Aufklärung, Sortierung, Entwicklung und Angriffe mit begrenztem menschlichem Eingreifen durchführen. Dies erhöht den Zeitdruck für Verteidigungsteams, insbesondere wenn einzelne Zugangsdaten zum Ausgangspunkt für die Kontrolle weitreichender Umgebungen werden.
Anthropic erklärte, das Unternehmen habe die Nutzung von Claude für diese Aktivitäten unterbunden, die damit verbundenen Konten gesperrt, die Schutzmaßnahmen angepasst und Mechanismen zur schnelleren Erkennung von Missbrauch hinzugefügt. Außerdem habe es Behörden, Industriepartner und Opfer informiert. Der Bericht allein legt nicht fest, in welchem Umfang die einzelnen Operationen im Vergleich zu anderen Tools auf Claude beruhten. Er belegt jedoch, dass die Einbindung des Modells in einen organisierten Angriffsablauf inzwischen ein praktischer Faktor für die Beschleunigung und Ausweitung von Einbrüchen ist.