Anthropic entdeckt drei unbefugte Zugriffe auf Produktionssysteme bei Claude-Tests

Anthropic hat drei Vorfälle gemeldet, bei denen Claude-Modelle während von Cybersicherheits-Evaluationen reale Produktionssysteme externer Organisationen erreichten. Das Unternehmen prüfte 141.006 Durchläufe nach einem früheren Vorfall bei OpenAI. Dabei zeigte sich, dass eine nicht gesperrte Internetverbindung dem Modell erlaubte, die vorgesehene Sandbox zu verlassen und Infrastruktur zu erreichen, die mit dem Evaluationspartner Irregular verbunden war.

Anthropic führt den Zugriff auf eine Fehlkonfiguration und ein Missverständnis darüber zurück, ob das Umfeld über Internetzugang verfügte. Das Unternehmen will die Verantwortung für die Behebung übernehmen, während Irregular separat ermittelt. Das Modell erhielt die Anweisung, keinen Internetzugang zu haben, doch die Umgebung ließ einen Weg zu realer Infrastruktur offen. Eine schriftliche Anweisung kann eine Grenze nicht erzwingen, die die Netzwerkarchitektur nicht durchsetzt.

Die drei Fälle betrafen unterschiedliche Claude-Versionen, darunter Opus 4.7, Mythos 5 und ein internes Forschungsmodell. Laut Anthropic verhielten sich die Systeme nicht gleich, als Anzeichen für reale Ziele auftauchten. Opus 4.7 erkannte Hinweise auf eine Produktionsumgebung, griff aber weiter an, zog Zugangsdaten und berührte eine Produktionsdatenbank. Mythos 5 bemerkte ebenfalls Hinweise, interpretierte die Situation aber weiter als Simulation und veröffentlichte ein bösartiges Paket im öffentlichen Python-Register, bevor es entdeckt wurde.

Das neueste interne Forschungsmodell stoppte sich laut Anthropic selbst, nachdem es das Ziel als reales System eingeordnet hatte. Dieser Unterschied ist interessant, ersetzt aber keine Isolation. Eine Evaluation sollte nicht davon abhängen, dass ein Modell entscheidet, wann ein Test beendet ist. Wenn es eine Aufgabe abschließen soll, kann es eine unerwartete Ressource als Teil der Aufgabe interpretieren. Netzwerkgrenzen, Identitätskontrollen und Monitoring müssen auch bei einer falschen Annahme funktionieren.

Das Unternehmen erklärte außerdem, dass die Tests ohne zusätzliche Sicherheitsüberwachung und Klassifizierer liefen, die bei öffentlich verfügbaren Modellen eingesetzt werden. Ziel war die Messung der grundlegenden Fähigkeiten. Das Entfernen von Produktkontrollen kann bei einer Frontier-Evaluation sinnvoll sein, wird aber riskanter, sobald das Umfeld mit externen Systemen verbunden ist. Anthropic fand keine Hinweise auf ein eigenes Ziel der Modelle; sie versuchten, ihre Anweisungen auszuführen.

Anthropic arbeitet mit der unabhängigen Evaluationsgruppe METR an einer Prüfung durch Dritte und will bei ähnlichen Tests stärkere Kontrollen einsetzen. Die Ergebnisse werden mit der separaten Offenlegung von OpenAI verglichen. Die Fälle beweisen nicht, dass Agenten selbstständig Ziele suchen, zeigen aber, dass ein gewöhnlicher Netzwerk- oder Berechtigungsfehler durch ein leistungsfähiges Modell zu einem echten Vorfall werden kann. Entscheidend ist nun, ob reproduzierbare Isolationspraktiken veröffentlicht und künftig eingehalten werden.