KI-Agenten hacken Anthropic: Start-up dringt über Drittanbieter-Software ein

Worum es geht

Das Sicherheits-Start-up Cathedral hat mit Hilfe von KI-Agenten interne Systeme von Anthropic, dem Entwickler der Claude-Modelle, kompromittiert. Der Einstieg gelang nicht über Anthropics eigene Kernsysteme, sondern über externe Business-Software für Verwaltung und Vertrieb. Das Ganze geschah im Rahmen von Anthropics Bug-Bounty-Programm – einem Programm, in dem externe Sicherheitsforscher Schwachstellen suchen und dafür belohnt werden. Cathedral meldete den Zugriff in einem Berichtsentwurf, den die Washington Post einsehen konnte. Anthropic bestätigte den Vorfall teilweise, widerspricht aber in mehreren Punkten.

Was Cathedral berichtet

Cathedral verkauft KI-gestützte Sicherheitswerkzeuge an Behörden und Unternehmen und wurde von ehemaligen Mitarbeitern des US-Gremiums DOGE (Department of Government Efficiency) gegründet. Laut chinesischem Bericht von InfoQ wird die Firma von Investoren mit 1,4 Milliarden Dollar bewertet, hat nach PitchBook 160 Millionen Dollar eingesammelt, und die Investoren Marc Andreessen und Shaun Maguire sitzen im Board. Mitgründer Gavin Kliger war nach seiner DOGE-Zeit Chief Data Officer des Pentagons.

Nach Cathedrals Bericht fanden KI-Agenten, die fortgeschrittene Modelle nutzten, in weniger als zwölf Stunden Wege zu Meeting-Transkripten, Gehaltsdaten, Jobangeboten und Slack-Nachrichten, darunter Diskussionen über Anthropics fortgeschrittene KI-Modelle. Die Forscher nutzten laut Bericht Schwachstellen in kommerzieller Software, die Anthropic und viele andere Firmen einsetzen. Cathedral informierte nach eigenen Angaben auch die betroffenen Softwareanbieter, nannte sie aber aus Sicherheitsgründen nicht. Man habe sich an Best Practices gehalten und den Datenzugriff auf das absolute Minimum begrenzt. Der Bericht spricht von einer „schweren Lücke“: Angriffsfähigkeiten wüchsen, während die Verteidigung nicht mitkomme.

Was Anthropic sagt

Anthropic räumt Zugriff auf eine „begrenzte“ Auswahl an Daten aus Vertriebs-, Personal- und IT-Systemen ein: Kontaktdaten einzelner Kunden und Partner sowie grundlegende Nutzerkonto-Daten. Nicht betroffen seien Chats mit Claude, Modellantworten, Quellcode und Modellgewichte (also die gelernten Parameter der Modelle). Die Überwachung habe Teile der Aktivität schon vor Cathedrals Meldung bemerkt, die Zugänge seien am selben Tag geschlossen worden. Die betroffene Drittsoftware wurde abgeschaltet, bis die Anbieter die Lücken behoben hatten, US-Bundesbehörden wurden informiert. Belege, dass jemand außer Cathedral die Lücken ausnutzte, gebe es nicht.

Streit über Dauer, Umfang und Regeln

Red-Teamer Logan Graham erklärte, das Angreifen von Drittanbietern und der Datenabruf hätten über den Safe-Harbor-Schutz des Programms hinausgegangen (Safe Harbor sichert Forschern Straffreiheit zu, solange sie die Regeln einhalten). Er begrüßte aber die Entdeckung der Lücken. Laut InfoQ wirft Anthropic Cathedral zudem vor, die „nationalen Sicherheitsfolgen“ der Funde übertrieben zu haben. Ein Cathedral-Sprecher lehnte laut diesem Bericht einen Kommentar ab.

Gerüchte um vollen Slack-Zugriff

Der frühere OpenAI-Mitarbeiter Will Depue behauptet, Anthropic spiele den Vorfall herunter. Mehrere aus seiner Sicht sehr zuverlässige Quellen hätten berichtet, Cathedral habe vollen Admin-Zugriff auf den Slack-Workspace gehabt, jede Nachricht lesen und sich in beliebige Konten einloggen können. Beide Labore hätten Forschungsgeheimnisse in Slack liegen, Admin-API-Schlüssel lägen verstreut herum. Das ist eine unbelegte Behauptung. Graham widersprach: Depues Quellen lägen falsch, Details nannte er wegen der Sensibilität nicht. Er bestätigte jedoch das Grundanliegen, die Branche müsse ihre Sicherheit jedes Jahr neu erfinden. Depue forderte Anthropic auf, offenzulegen, was tatsächlich eingesehen wurde, und kritisierte das Tempo des KI-Wettlaufs.

Jacob Coxon, der im September 2026 bei Anthropic ausschied, hatte zuvor öffentlich kritisiert, dass gefährliche KI-Forschung über Büro-Software wie Slack laufe; er sprach laut InfoQ von einer „Wette aus Hybris“.

Einschätzung von Experten und Grahams Warnung

Alex Stamos, Sicherheitschef bei Cognition (das Anthropic-Modelle nutzt), nannte die Funde gegenüber der Washington Post bedeutend. Angebundene Drittanbieter-Apps seien ein riesiges Problem für alle, Anthropic hätte seine externen Dienste besser absichern können.

Graham nutzte den Vorfall für eine Warnung: Angreifer ließen KI-Agenten rund um die Uhr laufen und zielten gezielt auf externe Abhängigkeiten. Dafür reichten schon Modelle, die eine halbe bis ganze Generation hinter der Spitze liegen; künftige Angreifer hätten stärkere. Seine Empfehlung: ständiges eigenes Red-Teaming (Angriffstests gegen sich selbst) und Neubau von Software mit formaler Verifikation, also mathematischem Nachweis der Korrektheit, was dank KI wirtschaftlich werde. „Wahrscheinlich willst du dich ständig selbst einem Red-Team-Test unterziehen. Aktuelle Modelle sind sehr kreativ“, schrieb er.

Einordnung

Der Fall zeigt, dass selbst ein Unternehmen mit Zugang zu mutmaßlich sehr starken Cyberabwehr-Modellen über die Lieferkette verwundbar ist: Das schwächste Glied waren Drittanbieter-Tools, nicht die Modelle. Offen ist, wie tief der Zugriff wirklich reichte – hier stehen Cathedrals Bericht, Anthropics Darstellung und Depues Gerüchte gegeneinander, unabhängig geprüft ist wenig. Auch Cathedrals Eigeninteresse als Anbieter von Sicherheitsprodukten und die Regelverstoß-Vorwürfe sind zu berücksichtigen. Unbeantwortet bleibt zudem, wie Cathedral trotz Anthropics Abwehrmöglichkeiten so weit kam; Graham ging darauf nicht ein. Zuvor berichtete InfoQ außerdem von der Festnahme eines OpenAI-Mitarbeiters durch das FBI wegen eines Aufnahmegeräts im Vorstandsraum und von einem Hacker, der Claude für Angriffe auf OpenAI genutzt haben soll – ein Hinweis, wie angespannt die Sicherheitslage der KI-Labore ist.