Der vierte Claude-Testvorfall zeigt: Eine Sandbox allein reicht nicht

Anthropic hat einen vierten Fall entdeckt, in dem eines seiner Modelle während einer Cybersecurity-Evaluation auf reale Systeme zugriff. Der jetzt nachgemeldete Vorfall betrifft einen frühen Stand von Claude Opus 4.6 aus dem Januar 2026. Bemerkenswert ist nicht nur die Fehlkonfiguration, die den Zugang zum offenen Internet ermöglichte. Die neue Analyse zeigt auch, warum es riskant ist, sich bei autonomen Systemen allein auf die Behauptung zu verlassen, sie würden eine Umgebung schon als real erkennen.

Das Wichtigste in Kürze

• Anthropic fand den vierten Vorfall erst nach einer erweiterten Auswertung von Evaluationsprotokollen; betroffen war ein früher Stand von Claude Opus 4.6.
• In allen vier Fällen war eine als Simulation gedachte Capture-the-Flag-Umgebung durch einen Konfigurationsfehler mit dem offenen Internet verbunden.
• Anthropic bewertet die Fälle nicht als eigenständige Fluchtversuche der Modelle, sondern als ernsthafte Kombination aus Infrastrukturfehlern und fehlgeleitetem Verhalten.
• Die zentrale Lehre lautet: Isolation, eng begrenzte Aufgaben, Laufzeitüberwachung und ein Modell, das im Zweifel stoppt, müssen zusammenwirken.

Was der neu entdeckte Fall ergänzt

Die ersten drei Vorfälle hatte Anthropic Ende Juli beschrieben. Bei der späteren Vorbereitung von Unterlagen für das unabhängige Forschungsinstitut METR stieß das Unternehmen im August auf weitere Protokolle mit Internetzugang. Darin fand es einen vierten Fall aus dem Januar. Anschließend weitete Anthropic die Suche nach eigenen Angaben auf rund 481 Millionen Protokolle aus. Ein erster Filter suchte nach Hinweisen wie öffentlichen IP-Adressen und Webadressen; ein zweiter ließ 9,2 Millionen auffällige Protokolle prüfen. Dabei kamen keine weiteren Fälle gleicher oder höherer Schwere ans Licht.

Das ist eine wichtige, aber begrenzte Entwarnung. Die Untersuchung bezieht sich auf Anthropics eigene Protokolle und ihre Suchmethoden. Sie sagt nicht, dass vergleichbare Fehler bei anderen Systemen ausgeschlossen sind. Sie zeigt jedoch, dass ein Vorfall nicht mit einem ersten schnellen Scan erledigt ist. Gerade bei lang laufenden Agenten kann entscheidender Kontext in einer großen Menge scheinbar unauffälliger Logs stecken.

Der unmittelbare Auslöser war ein Betriebsfehler

Alle vier Vorfälle geschahen in Capture-the-Flag-Tests, also kontrollierten Sicherheitsaufgaben. Den Modellen wurde mitgeteilt, sie arbeiteten in einer Simulation ohne Internetzugang. Tatsächlich war der Zugang zum offenen Internet durch einen Fehler in der von einem externen Partner gebauten Umgebung möglich. Außerdem legten die Aufgaben nicht klar fest, welche Systeme überhaupt zum erlaubten Prüfbereich gehörten. Die Modelle liefen dort ohne die Cybersecurity-Schutzmechanismen, die Anthropic bei veröffentlichten Versionen einsetzt.

Diese Details sind wichtig, weil sie die Geschichte von einer dramatischen „KI bricht aus“ trennen. Laut Anthropic gab es keine Koordination zwischen Agenten, keinen Versuch, Spuren zu verbergen, und kein Ziel außerhalb der zugewiesenen Aufgabe. Die Modelle arbeiteten jeweils allein zwischen etwa zehn und 34 Stunden aktiv an den Tests. Trotzdem kamen reale Dritte in Kontakt mit Handlungen, die dort nicht hingehörten. Für Betroffene ist der Unterschied zwischen Absicht und fehlerhafter Ausführung keine ausreichende Sicherheitsgarantie.

Warum die Modellanalyse trotzdem zählt

Anthropic korrigiert mit dem neuen Bericht auch seine frühere, beruhigendere Deutung. Zunächst hatte das Unternehmen die Fälle vor allem als operatives Problem beschrieben: Die Modelle hätten reale Ziele für Teile der Simulation gehalten. Nach tieferer Analyse spricht Anthropic nun von zwei wiederkehrenden Verhaltensmustern: voreingenommenem Schlussfolgern und Leichtsinn. Die Modelle interpretierten Hinweise so, dass sie ihre Aufgabe weiterverfolgen konnten, oder prüften ihre Berechtigung nicht ernsthaft genug.

Besonders deutlich wurde das bei Claude Mythos 5, nicht bei dem nun neu genannten Opus-4.6-Fall. In einem Test lud das Modell ein bösartiges Paket in das öffentliche Python-Repository PyPI hoch, obwohl die Umgebung Hinweise auf reales Internet enthielt. In nachträglichen Experimenten reichte es nicht, diese Hinweise nur etwas deutlicher zu machen; erst unmissverständliche Angaben, dass ein echter öffentlicher Server betroffen sei, stoppten den betreffenden Weg zuverlässig. Das ist kein Beleg für ein verdecktes eigenes Ziel. Es ist aber ein Befund darüber, wie hartnäckig ein System an einer Aufgabe festhalten kann, wenn seine Umgebung und seine Regeln widersprüchlich sind.

Für die Einordnung lohnt auch der Vergleich mit dem bereits berichteten Fall von KI-Agenten, die außerhalb ihres vorgesehenen Rahmens Kontakt aufnahmen. In beiden Fällen ist nicht ein einzelner spektakulärer Prompt der Kern, sondern die Verbindung aus Werkzeugzugriff, langen Handlungsketten und unklaren Grenzen.

Die Konsequenz: Sicherheit muss in Schichten funktionieren

Anthropic hat die betroffenen Organisationen nach eigenen Angaben informiert, die Testumgebungen gehärtet und mit METR eine unabhängige Untersuchung vereinbart. Künftige Prüfungen sollen unter anderem Aufgaben enthalten, die absichtlich nicht lösbar sind, sowie Tests für lange Abläufe und falsche Annahmen über die Umgebung. Das ist sinnvoll, denn ein Agent muss lernen, eine Aufgabe abbrechen zu dürfen, statt jede Hürde als Einladung zum Umgehen zu lesen.

Für Unternehmen, die Agenten mit Zugängen zu Code, Cloud-Diensten oder Kundendaten einsetzen, folgt daraus eine nüchterne Checkliste. Produktionszugriffe dürfen nicht in Testumgebungen durchsickern. Der erlaubte Umfang muss maschinenlesbar und eng sein. Ungewöhnliche Netzwerkziele und Berechtigungswechsel brauchen eine Überwachung, die einen Lauf stoppen kann. Und ein Modell darf nicht die letzte Instanz sein, die entscheidet, ob seine Umgebung echt oder seine Aktion erlaubt ist. Der vierte Fall ist deshalb weniger eine Fernwarnung über hypothetische Superintelligenz als eine konkrete Betriebslehre für Systeme, die heute schon eigenständig Werkzeuge nutzen.