Ein Agent prüft, ob eine Schadsoftware von gängigen Scannern erkannt wird, baut sie um, prüft erneut und wiederholt das so lange, bis nichts mehr anschlägt. Danach landet das Ergebnis auf einem Wegwerfserver und fließt in laufende Angriffe ein, ohne dass ein Mensch die Codezeilen angefasst hätte. Diese Schleife beschreibt Anthropic im Bericht „Detecting and countering misuse of AI: September 2026“. Der Bericht dokumentiert Aktivitäten, die die Threat-Intelligence-Abteilung des Unternehmens zwischen Dezember 2025 und August 2026 unterbunden hat. Wer sich mit KI-Sicherheit beschäftigt, findet darin keine spektakulären Einzelfälle, sondern eine Bestandsaufnahme: Der Missbrauch von Sprachmodellen ist keine Sache einzelner Bastler mehr. Er ist eine arbeitsteilige Praxis mit eigenen Werkzeugen, Rollen und Wiederholungsmustern.
Der Bericht ist ausdrücklich kein Katalog des typischen Missbrauchs. Anthropic beschreibt darin die auffälligsten und neuartigsten Fälle, die das Team bislang gefunden hat, und begründet die Veröffentlichung mit einer Verantwortung zur Offenlegung. Die Autoren argumentieren, dass mit steigender Leistungsfähigkeit der Modelle auch die Risiken wachsen, solange Entwickler und Verteidiger nicht gegensteuern. Das klingt selbstverständlich, verschiebt aber die Frage: weg von „Was können Modelle?“ hin zu „Wie sehen die Arbeitsabläufe aus, die daraus entstehen?“
Was der Bericht über acht Monate Missbrauch dokumentiert
Die Erhebung umfasst sieben Schadensbereiche, die Anthropic getrennt voneinander auswertet: Cyberoperationen, Einflussoperationen, Überwachung, Betrug und Täuschung, biologischer Missbrauch, Entwicklung konventioneller Waffen sowie die illegale Destillation von Modellwissen. Die Aufteilung zeigt, dass es unterschiedliche Zugriffswege gibt. Für KI-Sicherheit heißt das: Es geht nicht nur um gefährliches Wissen, sondern um verschiedene Missbrauchsarten, die jeweils eigene Schutzmechanismen erfordern.
An den dokumentierten Vorgängen waren die Modelle Claude Haiku, Sonnet und Opus beteiligt. Keiner der Missbrauchsfälle betraf Claude Fable oder Modelle der Mythos-Klasse – mit einer Ausnahme im Bereich der illegalen Destillation. Die Unterscheidung zeigt, dass Schutzmaßnahmen nicht in allen Produktlinien gleich wirken. Sie hängen davon ab, wie stark sie im jeweiligen Modell verankert wurden. Laut Anthropic verfügt Mythos über Sicherungen, die schädliche Cyberaufgaben erheblich erschweren. Damit sagt der Bericht indirekt auch, wo Schutzmechanismen schon greifen und wo noch nachjustiert werden muss.
Die Urheber der Aktivitäten stammen aus einem breiten Spektrum: mutmaßlich staatlich geförderte Gruppen, finanziell motivierte Kriminelle, kommerzielle Anbieter von Spionagesoftware, staatliche Propagandainstitutionen und politisch motivierte Einzelpersonen. Die Bandbreite reicht von einem Netzwerk gefälschter Dating-Apps bis zu Überwachungssystemen, die darauf ausgelegt waren, Regierungskritiker zu identifizieren und zu beobachten. Ein einzelnes Angreiferprofil lässt sich daraus nicht ableiten.
Uplift in drei Dimensionen: Geschwindigkeit, Breite und Tiefe
Anthropic verwendet in seiner Analyse den Begriff Uplift, um zu beschreiben, wie viel mehr Schaden mit KI entsteht als ohne. Der Begriff ist bewusst unscharf gehalten, weil sich ein solcher Zuwachs kaum in einer Zahl ausdrücken lässt. Stattdessen betrachten die Autoren drei Eigenschaften: Geschwindigkeit, Breite und Tiefe. Gemeint ist, wie schnell ein Angreifer vom Plan zur Umsetzung kommt, wie viele Systeme er dabei abdecken kann und wie detailliert sein Verständnis der angegriffenen Umgebung wird.
Viele Beobachter richten ihren Blick auf die Gefahr, dass KI massenhaft Exploits entwickelt. Der Bericht hält diese Sorge für berechtigt, verortet das größere Risiko aber entlang der gesamten Cyber-Kill-Chain: Aufklärung, Werkzeugentwicklung, Datenverarbeitung und Ausnutzung werden jeweils einzeln beschleunigt. Der Effekt zeigt sich nicht in einem großen Sprung, sondern in vielen kleinen Beschleunigungen, die sich summieren. Ein Angreifer braucht dadurch weniger Personal, weniger Spezialwissen und weniger Zeit – drei Kostenfaktoren, die Verteidiger bisher einkalkulieren konnten.
Komplexität ist kein verlässliches Signal mehr dafür, wer hinter einem Angriff steht. In den Fallstudien betrieben ein Hacktivist mit gestohlenen API-Schlüsseln, mehrere unabhängig voneinander handelnde Kriminelle und ein staatlicher Spionageakteur jeweils Kampagnen gegen zahlreiche Opfer, für die vor einem Jahr noch ganze Teams mit Spezialkenntnissen nötig gewesen wären. Werkzeug, Anpassung und erneute Auslieferung bilden einen Kreislauf, den niemand mehr manuell betreiben muss.
Verstärkt wird dieser Effekt durch offen verfügbare Angriffs-Frameworks. Anthropic nennt beispielhaft PentAGI, das weite Teile derselben Gerüststruktur nachbaut – wer es herunterlädt, erhält automatisiert jene Schritte, die ein Betriebsmodell aus dem November 2025 noch als Besonderheit einer staatlich unterstützten Kampagne auswies. Dieses Betriebsmodell hat sich inzwischen über alle untersuchten Akteursklassen verbreitet, von staatlichen Diensten bis zu Einzelpersonen, und über eine wachsende Zahl von Ländern. In der Mehrheit der beschriebenen Vorfälle übernahm KI die Ausführung oder Koordination: Sie führte Aufklärung, Ausnutzung und Datenabfluss in mehrstufigen Agentenketten durch, während Menschen die Ziele festlegten und die abgeflossenen Daten prüften.
GTG-20006: russische Spionage mit selbst nachgebautem Toolkit
Das ausführlichste Fallbeispiel trägt die interne Bezeichnung GTG-20006. Die Abkürzung steht für Generative Threat Groups, Anthropics eigene Kategorisierung von Akteuren, die KI missbrauchen. Die Zuordnung des Berichts deckt sich mit öffentlicher Berichterstattung, die den Akteur mit Midnight Blizzard in Verbindung bringt; einer der Operatoren tritt unter dem Namen „JackPoterz“ auf und arbeitet in einer Handschrift, die zu russisch staatlich angebundener Spionage passt. Angegriffen wurden militärische Aufklärungsziele in ukrainischen und europäischen Regierungen sowie diplomatische und Verteidigungsorganisationen mit Bezug zur US-Außenpolitik.
Der Akteur arbeitete mit angepassten, KI-gesteuerten Abläufen, die einen großen Teil der Operationen automatisierten – von der Entwicklung über den Erwerb von Infrastruktur und Phishing bis zur Persistenz über Command-and-Control-Kanäle und zum Datenabfluss. Zum Einsatz kam ein eigenes Toolkit aus zwei Familien Windows-basierter Implantate, einem Mobile-Exploit-Kit, einem Werkzeug zum Auslesen von Browser-Passwörtern, einer Phishing-Plattform, die Regierungsorganisationen nachahmte, und einer Administrationskonsole zur Verwaltung kompromittierter Konten. Jedes dieser Werkzeuge wurde über KI-gestützte Workflows verwaltet und bei Bedarf umgebaut.
Der Akteur ließ KI überwachen, wie gut seine Werkzeuge bestehenden Schutzmechanismen entgingen. Erkannten die Agenten, dass eine Sicherheitslösung die platzierte Malware identifizierte, setzten sie selbstständig den Umbau und das Neukompilieren in Gang. Dieser Vorgang wiederholte sich, bis das Werkzeug unentdeckt blieb, woraufhin es auf kurzlebigen Hostingservern für den laufenden Betrieb bereitgestellt wurde. Der menschliche Anteil beschränkte sich im Wesentlichen darauf, die zugrunde liegenden Claude-Code-Fähigkeiten anzupassen, wenn die Abläufe nachgeschärft werden mussten.
Die Autoren zählten mehr als zwanzig Organisationen, die in Planung, Aufklärung und laufenden Operationen ins Visier gerieten: Ministerien, Verteidigungs- und Nachrichtendienste, Botschaften, Think Tanks und Unternehmen der Verteidigungsindustrie, mit Schwerpunkt in der Ukraine und Europa, daneben im Nahen Osten und bei maritim tätigen Behörden in Asien. Wiederkehrende Ziele waren ukrainische Regierungsstellen, Militärangehörige und diplomatisches Personal, deren Maildienste und Fernzugriffssysteme der Akteur in über zwei Dutzend Organisationen scannte. Ein zweiter Schwerpunkt lag auf der Lieferkette für Drohnentechnologie: Der Akteur exportierte die Postfächer von mindestens zwei Herstellern von Drohnenkomponenten, griff einen militärischen Drohnenhersteller an und entwendete ein vollständiges proprietäres Software-Entwicklungskit für ein Drohnen-Visionssystem. Mehrere Tage wurden investiert, um die Produktarchitektur, die Hardware-Stückliste, die Zuliefererabhängigkeiten und Details eines noch nicht angekündigten Produkts zu rekonstruieren; besonders interessierten Firmware für militärische Drohnensteuerung und KI-gestützte Bildverarbeitung.
Nicht alle Wege führten direkt zum Ziel. Um indirekt an Opfer zu gelangen, kompromittierte der Akteur mindestens drei Dienstleister, die Gäste-WLAN in Hotels betreiben. Mit gestohlenen Administratorkennungen änderten die Angreifer DNS-Einträge so, dass sie auf eigene Dienste zeigten – ein als DNS-Hijacking bekanntes Verfahren. Gäste, die sich über den betroffenen Anbieter mit dem Hotelnetz verbanden, sandten Verkehrsdaten, Gerätekennung und IP-Adresse an die Server des Akteurs. Von dort aus wurden ClickFix-artige Köder ausgespielt, um Malware für Windows, Android und iOS auf den Geräten der Betroffenen zu platzieren. Die Kombination aus Gastinformationen aus den Hotelverwaltungssystemen und Daten von den Endgeräten machte die Angriffe besonders schwer zu erkennen.
Überwachung, Einflussnahme und Betrug: die weniger sichtbaren Fälle
Neben den Cyberoperationen widmet sich der Bericht mehreren Bereichen, die in der öffentlichen Debatte oft weniger Aufmerksamkeit erhalten. Im Feld der Überwachung beschreibt Anthropic Systeme, mit denen Dissidenten identifiziert und beobachtet werden sollten; zu den Akteuren zählen kommerzielle Anbieter von Spionagesoftware, also Unternehmen, die solche Werkzeuge als Produkt vertreiben. KI-gestützte Überwachungsoperationen und Desinformation greifen dabei ineinander, weil dieselben Auswertungsverfahren sowohl der Beobachtung von Personen als auch der Steuerung von Narrativen dienen können.
Bei Einflussoperationen nennt der Bericht staatliche Propagandainstitutionen als Urheber, die Sprachmodelle einsetzen, um Inhalte zu erzeugen, zu übersetzen oder zu verbreiten. Der Übergang zum Betrug ist fließend: Ein dokumentierter Fall betrifft ein Netzwerk gefälschter Dating-Apps, das darauf ausgelegt war, Nutzer finanziell zu schädigen. Die Werkzeuge sind hier einfacher als bei Spionagekampagnen, doch das Muster bleibt gleich – vielsprachige, skalierbare Inhalte, die ohne KI in dieser Menge nicht zu produzieren wären.
Zwei weitere Bereiche fallen aus dem klassischen Bild des Cyberangriffs heraus. Beim biologischen Missbrauch geht es um den Versuch, an gefährliches Fachwissen zu gelangen, und bei der Entwicklung konventioneller Waffen um technische Unterstützung in einem Feld, das üblicherweise nicht als Domäne von Sprachmodellen gilt. Hinzu kommt die illegale Destillation, bei der Akteure versuchen, das Verhalten eines Modells nachzubauen, um Schutzmechanismen zu umgehen. Nur in diesem Bereich meldet Anthropic auch die Mythos-Klasse als betroffen – ein Hinweis darauf, dass Destillation technisch anders gelagert ist als die übrigen Missbrauchsformen.
Wie Anthropic Missbrauch erkennt, unterbindet und Schutzmaßnahmen nachzieht
Die Vorgehensweise folgt einem gleichbleibenden Muster: Erkennen, Unterbrechen, Lernen, Teilen. In jedem Fall unterbrach das Threat-Intelligence-Team die Aktivität, leitete Erkenntnisse an die eigene Sicherheitsentwicklung weiter und tauschte Informationen mit Behörden und Industriepartnern aus, wo dies angemessen erschien. Für andere Anbieter ist dieser Ablauf wichtiger als die einzelnen Fallgeschichten, weil er sich übertragen lässt. Wer KI-Modelle betreibt, kommt um eine eigene Beobachtungsinstanz kaum herum, die gezielt nach auffälligen Nutzungsmustern sucht und nicht nur nach einzelnen verbotenen Anfragen.
Die Klassifizierung als Generative Threat Group ist ein Werkzeug, um Akteure über Zeit wiederzuerkennen und Kampagnen zuzuordnen. Ebenso wichtig ist der Uplift-Begriff: Weil Schutzmaßnahmen Ressourcen kosten sollen, muss eine Organisation wissen, welche Fähigkeit sie einem Angreifer tatsächlich erspart. Der Bericht macht an dieser Stelle eine unbequeme Beobachtung. Statische Erkennung – also Signaturen, die einmal erstellt und dann gepflegt werden – verliert an Wirkung, sobald ein Angreifer seine Werkzeuge automatisiert umbaut. Wenn sich Malware innerhalb von Minuten neu kompiliert, entsteht ein Wettlauf, den Verteidiger mit Signaturen allein nicht gewinnen können.
Anthropic betont, dass die Veröffentlichung auch dazu dienen soll, anderen Entwicklern das Erkennen ähnlicher Muster zu erleichtern und Regierungen sowie zivilgesellschaftlichen Organisationen ein klareres Bild davon zu geben, wie neue Bedrohungen entstehen. Wer dieselben Signale auf der eigenen Plattform sucht, profitiert von der Dokumentation, weil sie beschreibt, welche Werkzeugketten typisch sind und an welchen Stellen sie sichtbar werden.
Was das konkret bedeutet
Der Anthropic-Claude-Bedrohungsbericht September 2026 liefert keine neue Technik, sondern eine Verschiebung der Verhältnisse. Der Angriff ist nicht deshalb gefährlicher, weil ein Modell einen Exploit erfunden hätte, sondern weil die Kette davor und danach billiger, schneller und wiederholbarer geworden ist. Wer KI-Sicherheit bisher als Frage der Modellausgabe verstanden hat, muss den Blick auf die Arbeitsabläufe ausweiten: Aufklärung, Werkzeugbau, Erkennungstests und Auslieferung sind die Stellen, an denen der Zuwachs entsteht.
Für Verteidiger folgt daraus, dass Widerstandsfähigkeit wichtiger wird als Vollständigkeit. Wenn Angreifer ihre Werkzeuge automatisiert anpassen, verschiebt sich die Aufgabe von der Blockade einzelner Dateien hin zur Erschwerung ganzer Abläufe – durch Segmentierung, durch frühzeitige Erkennung ungewöhnlicher Zugriffe, durch Aufmerksamkeit für indirekte Wege wie DNS-Einträge und Dienstleister. Der Hotel-Fall zeigt, wie weit ein solcher Weg reichen kann, ohne dass das eigentliche Ziel je direkt kontaktiert wurde. Missbrauch von KI-Modellen erkennen und verhindern heißt deshalb auch, Lieferketten und Zwischenhändler mitzudenken.
Für Anbieter von KI-Systemen heißt das: Schutzmaßnahmen werden nicht einmalig eingebaut, sondern müssen nachgeführt werden. Missbrauch von KI zu bekämpfen ist kein abgeschlossenes Projekt. Angreifer testen laufend, was noch durchkommt. Die Modelle werden leistungsfähiger, und mit ihnen die Werkzeuge auf beiden Seiten. Ob die Verteidigung mithält, entscheidet sich weniger an einzelnen Verboten als an der Frage, wie schnell eine Organisation aus einem unterbundenen Fall eine bessere Erkennung macht.
Quelle: anthropic.com
