Fable bestellt, Opus 4.8 geliefert: Wie Claudes Sicherheitsnetz Agenten angreifbar macht

Darum geht es

Seit dem 9. November gibt es Claude Fable 5.2, Anthropics stärkstes öffentlich verfügbares Modell. Ein Teil der Antworten, die unter dem Namen „Fable“ ausgeliefert werden, kommt allerdings gar nicht von Fable. Sobald ein Sicherheitsklassifikator anschlägt, also ein vorgeschaltetes Prüfprogramm, das Anfragen nach Risikothemen sortiert, übernimmt ein älteres Modell: Claude Opus 4.8 bei offensiver Cybersicherheit, Claude Opus 5 bei Biologie, Chemie und bestimmten Themen der KI-Entwicklung. So steht es in Anthropics Hilfeartikel zum Modellwechsel.

Anthropic führt dieses Sicherheitsnetz in der eigenen Systemkarte selbst als Schwachstelle an. Bei Prompt-Injection-Angriffen versteckt ein Angreifer Befehle in Inhalten, die der Agent liest, etwa in einer Webseite oder einer Datei. Solche Angriffe gelingen bei Fable 5.2 deutlich öfter als beim Vorgänger, und zwar weil öfter das schwächere Ersatzmodell antwortet. Notebookcheck hat die Zahlen am 10. November als Erste aufgegriffen. Wir ordnen sie hier ein, rechnen sie nach und erklären, wie du die Umleitung erkennst und abschaltest.

Der Ausweichpfad: Auch fremder Text löst ihn aus

Der entscheidende Punkt steht im Hilfeartikel: Die Klassifikatoren prüfen nicht nur, was du eintippst. Sie prüfen auch Memory, Connector-Inhalte, Ergebnisse der Websuche und Dateien. Ein Agent, der eine präparierte Webseite liest, kann den Wechsel also auslösen, ohne dass du etwas davon merkst. Nach dem Wechsel bleibt die Modellauswahl für den Rest der Unterhaltung auf Opus. In Claude Code bleibt die Sitzung dort, bis du mit /model zurückwechselst.

Der Wechsel ist überall standardmäßig an: in Web-, Desktop- und Mobil-App, in Cowork, in Claude Code und laut Hilfeartikel auch in Design, Claude für Microsoft 365 und Claude Tag. Nur in der API ist er aus, solange man ihn nicht ausdrücklich aktiviert.

Ein weiteres Detail aus Anthropics Entwicklerdoku zu Fable 5.2: Die Denkblöcke von Fable 5.2 kann außer Mythos 5.2 kein anderes Modell lesen. Beim Wechsel auf Opus 4.8 werden sie verworfen. Das Ersatzmodell setzt also ohne die bisherigen Überlegungen des Fable-Modells fort.

Die Zahlen aus der Systemkarte, nachgerechnet

Die Original-Systemkarte (ein PDF von über 10 MB) konnten wir nicht vollständig auswerten. Die folgenden Werte stammen aus den Berichten von Notebookcheck und dem Entwicklerblog paddo.dev, die beide aus der Karte zitieren und sich gegenseitig bestätigen.

Test 1: Gray Swan, indirekte Prompt-Injection, 15 Versuche pro Szenario

Die Angriffe gelingen also viermal so oft wie beim Vorgänger, und der Ausweichpfad wird 2,3-mal so oft genommen. Opus 4.8 ist dabei gut fünfmal so anfällig wie Opus 5.5. Unsere Nachrechnung: Gewichtet man 2,05 % und 5,17 % mit 47 zu 53, kommt man auf etwa 3,7 %, nicht auf 4,09 %. Vermutlich zählt die Karte anders, etwa pro Szenario. Klären lässt sich das ohne den Originaltext nicht. Auffällig ist außerdem: Selbst wenn Fable 5.2 selbst antwortete, lag die Quote mit 2,05 % über dem Gesamtwert von Fable 5.1. Das spricht dagegen, dass der Ausweichpfad allein schuld ist.

Test 2: adaptiver Angreifer, 200 Versuche pro Coding-Szenario

Ein adaptiver Angreifer lernt aus jedem Fehlschlag und passt seine Angriffe an. Ohne Schutzmaßnahmen hatte er gegen Fable 5.2 in 89,82 % der Versuche Erfolg, und fast alle Antworten kamen von Opus 4.8. Mit den Prompt-Injection-Probes, die Anthropic in seinen Produkten einsetzt, sank die Quote auf 28,16 %. Probes sind zusätzliche Detektoren, die eingeschleuste Befehle erkennen sollen.

Fable 5.2 beantwortete 43 Angriffe selbst und verlor keinen einzigen. Opus 4.8 verlor in 28,56 % der Fälle. Die Karte erklärt die höhere Quote laut paddo.dev ausdrücklich mit der höheren Ausweichrate. Unsere Nachrechnung: Wenn 43 Antworten 0,5 % ausmachen, waren es rund 8.600 Angriffsversuche. Davon gingen etwa 8.560 an Opus 4.8, und mit 28,56 % Erfolgsquote ergibt das rund 2.440 erfolgreiche Angriffe. Das passt grob zu den 28,16 % insgesamt.

Unsere Einschätzung: Das Muster sieht aus wie ein klassischer Downgrade-Angriff. Ein lernender Angreifer findet offenbar heraus, dass er nur Cyber-Vokabular einstreuen muss, damit das schwächere Modell übernimmt. Bei 99,5 % Umleitung ist die Stärke von Fable 5.2 für die Abwehr praktisch bedeutungslos. Auch Opus 5.5 hat einen Ausweichpfad (64 %). Das Problem betrifft also nicht nur Fable.

Zur Einordnung: Gray Swan ist ein Angriffstest unter Laborbedingungen und kein Alltagsbetrieb. Im öffentlichen Gray-Swan-Ranking bei BenchLM wäre Fable 5.2 mit 4,09 % immer noch robuster als OpenAIs GPT-6 Astra (8,5 %), aber klar schlechter als Opus 5.5 (1,0 %) oder Googles Gemini 4 Carbon (0,0 %).

„55 % weniger Blockaden“: Wie passt das zusammen?

Laut Anthropics Ankündigung blockiert Fable 5.2 in frühen Tests in claude.ai, Claude Code und Cowork etwa 55 % weniger Anfragen als Fable 5.1, in der Cybersicherheit 60 % weniger, in der Biologie 40 % weniger. Gleichzeitig stieg der Ausweichanteil unter Prompt-Injection von 23 auf 53 %. Beides kann stimmen: Die eine Zahl misst normale Nutzeranfragen, die andere präparierte Inhalte. Unsere Einschätzung: Für ehrliche Nutzer wurde der Klassifikator großzügiger. Eingeschleuster Angriffstext, der oft wie Hacking-Anleitung klingt, löst ihn aber häufiger aus.

Eine Basisrate nennt Anthropic nicht. Die 55 % sind deshalb eine relative Angabe ohne Bezugsgröße. Ein Rechenbeispiel zur Veranschaulichung: Wären bei Fable 5.1 fünf von 100 Sitzungen betroffen gewesen, wären es bei Fable 5.2 noch gut zwei. Ob die fünf stimmen, weiß niemand außerhalb von Anthropic. Die Marke „unter 5 % der Sitzungen“ nannte Anthropic laut TechTimes beim Start von Fable 5 im Juni.

Wenn „Fable“ draufsteht, aber Opus antwortet

Wie oft im Alltag umgeleitet wird, ist sehr unterschiedlich:

Das hat Folgen für Ranglisten. Artificial Analysis führt das Modell ausdrücklich als „Claude Fable 5.2 (Max, Default Fallback)“, misst also das System inklusive Opus-Antworten. Vals zählt Umleitungen standardmäßig nicht als Fehler, bietet aber einen Schalter dafür. BridgeMind wertet sie als null Punkte. Das ClawArena-Team-Paper räumt ein, sein Fable-5-Ergebnis sei „ein Verbund statt des Basismodells allein“. Dort fielen 124 Umleitungen an, fast alle in einem einzigen Szenario mit Sicherheitsbezug. Wer zwei Ranglisten vergleicht, vergleicht also womöglich verschiedene Mischungen.

Auch Agenten-Werkzeuge haben Mühe mit dem Wechsel. Im Programm oh-my-pi wurden Opus-Antworten laut Issue #4177 als Fable beschriftet, und die Kosten wurden doppelt so hoch berechnet, weil das Programm Fable-Preise ansetzte. Behoben wurde das im Juli. OpenClaw hat die serverseitige Umleitung für API-Schlüssel dagegen per PR #99906 selbst eingeschaltet. In der eigenen Doku heißt es dazu: „Fable 5 zu nutzen heißt auch, Opus 4.8 zu nutzen.“ Auslöser war unter anderem ein Fehlalarm: Ein Musiktitel namens „Species Filter“ hatte den Bio-Klassifikator ausgelöst.

So erkennst du Umleitungen und schaltest sie ab

In der App und in Claude Code: In den Apps findest du den Schalter „Switch models when a message is flagged“ unter Einstellungen > Funktionen (Settings > Capabilities), in Claude Code unter /config > MODEL & OUTPUT. Ist er aus, hält die Unterhaltung bei einem markierten Inhalt an. Du kannst dann die Nachricht bearbeiten oder bewusst ein anderes Modell wählen. Für Agenten, die fremde Webseiten oder Dateien verarbeiten, empfehlen wir das.

In der API (laut Anthropics Doku): - Ohne Aktivierung kommt bei einer Ablehnung eine normale Antwort mit HTTP-Status 200 zurück, kein Fehler. Sie enthält stop_reason: "refusal", und stop_details.category nennt den Bereich, etwa "cyber". Weil es kein Fehlercode ist, bemerkt eine Überwachung, die nur Fehlerraten zählt, solche Ablehnungen nicht. - Mit fallbacks: "default" (Beta-Header server-side-fallback-2026-07-01) zeigt das Feld model, welches Modell wirklich geantwortet hat. Ein Inhaltsblock vom Typ fallback markiert den Wechsel mit from, to und trigger. In usage.iterations steht jeder Versuch einzeln: Ein Eintrag message ist der abgelehnte Versuch, fallback_message die Antwort des Ersatzmodells. - Sticky Routing: Nach einer Umleitung merkt sich die API etwa eine Stunde lang, welches Modell die Unterhaltung bedient hat, und schickt Folgeanfragen direkt dorthin. Diese Antworten haben keinen fallback-Block. Erkennbar sind sie nur am fallback_message-Eintrag ohne vorherigen message-Eintrag und am Feld model. - Wer die Kontrolle behalten will, gibt statt "default" eine eigene Liste von bis zu drei erlaubten Ersatzmodellen an. Für Fable 5.2 sind das nur Opus 4.8 und Opus 5. Aufrufe von Subagenten erben die Einstellung nicht und brauchen eine eigene.

Wer zahlt: Die Antwort des Ersatzmodells wird zu Opus-Preisen abgerechnet. Ablehnungen, bevor Text erzeugt wurde, kosten nur in den Kategorien Biologie, Destillation und KI-Entwicklung etwas. Den doppelten Aufwand für den Zwischenspeicher (Prompt-Cache) erstattet Anthropic über ein „Fallback Credit“.

Wie es andere machen

OpenAI leitete 2025 heikle ChatGPT-Gespräche heimlich auf ein Modell namens gpt-5-chat-safety um. Bekannt wurde das erst, als ein Nutzer es in Telemetriedaten fand, wie ein Whitepaper auf GitHub mit 48 Fällen dokumentiert. Bestätigt hat OpenAI es erst danach. In den Teilen der Systemkarte von GPT-6 Astra, die wir lesen konnten, beschreibt OpenAI keinen Wechsel auf ältere Modelle. Stattdessen soll Astra bei Nutzern mit erhöhtem Risiko selbst vorsichtiger ablehnen. Anthropic legt den Mechanismus vergleichsweise offen und macht ihn in der API maschinenlesbar. Er ist aber standardmäßig aktiv, und in der App sehen Nutzer ihn nur als Hinweiszeile.

Dass sich unter einem gleichbleibenden Modellnamen etwas ändern kann, zeigt auch ein Fall ohne Umleitung: Laut Gigazine wertete ein Entwickler rund 1.400 Claude-Code-Sitzungen aus und fand, dass sich die sichtbaren Denkspuren von Opus 5.5 seit dem 3. November stark verändert haben. Ein anderer Entwickler hält das für eine geänderte Zusammenfassung der Denkspuren, nicht für schwächere Leistung.

Einordnung

Die Schutzlogik hat eine eingebaute Lücke: Damit Fable bei Cyberthemen nicht zu viel hilft, antwortet dort ein Modell, das sich nach Anthropics eigenen Zahlen schlechter gegen Manipulation wehrt. Für Chat-Nutzer ist das meist ein Qualitätsproblem. Für Agenten, die selbstständig Webseiten lesen, Dateien öffnen und Befehle ausführen, ist es ein Sicherheitsproblem. Gerade dort wird der Wechsel häufig durch fremde Inhalte ausgelöst. Bis zum 16. November können laut Notebookcheck viele Pro-Abonnenten Fable 5.2 im Abo nutzen. Wer gerade Agenten damit losschickt, sollte den automatischen Wechsel deshalb jetzt prüfen.

Anthropic hat bisher nicht veröffentlicht, wie viele Anfragen im normalen Betrieb umgeleitet werden. Ebenso offen ist, ob die Injection-Probes auf dem Ausweichpfad genauso gründlich arbeiten und wann Opus 4.8 als Ersatzmodell abgelöst wird. Unsere Einschätzung: Solange diese Antworten fehlen, ist „Fable 5.2“ als Agenten-Modell nur so sicher wie Opus 4.8. Wer Benchmarks vergleicht, sollte prüfen, ob Umleitungen mitgezählt wurden.