Claude in Cyber-Evals: Drei Vorfälle machen Netzwerkisolation zur Prüfpflicht

Anthropic hat drei reale Sicherheitsvorfälle aus Cybersecurity-Evaluierungen von Claude offengelegt. Der kritische Fehler lag nicht in einer neuen, geheimen Angriffstechnik, sondern in einer falsch isolierten Testumgebung: Modelle konnten das Internet erreichen und erhielten Zugriff auf Systeme von drei Organisationen.

Der am 30. Juli 2026 veröffentlichte Anthropic-Bericht ist für Teams mit agentischen Evals ungewöhnlich konkret. Nach einer retrospektiven Prüfung von 141.006 Läufen mit potenziellem Internetzugang identifizierte das Lab drei Vorfälle in sechs Läufen. Alle liefen als Capture-the-Flag-Aufgaben bei dem Evaluierungspartner Irregular. Wegen einer Fehlkonfiguration war Egress ins öffentliche Netz möglich, obwohl der Prompt das Gegenteil behauptete.

Die Sicherheitsgrenze war eine Annahme

Claude behandelte real erreichbare Ziele als Teil der Simulation. Anthropic schreibt, dass in den Fällen grundlegende Techniken wie schwache Passwörter und nicht authentifizierte Endpunkte ausgenutzt wurden; komplexe Schwachstellen waren nicht nötig. Das ist eine wichtige Einordnung: Der Bericht belegt weder einen autonomen Ausbruch mit eigener Zielsetzung noch einen Bruch von Anthropic-Kunden- oder internen Systemen. Er belegt aber, dass ein offener Netzpfad eine angeblich harmlose Eval in einen realen Sicherheitsvorfall verwandeln kann.

„Evaluation environments increasingly need to be held to the same security standard as any other system our models run in.“

Anthropic, 30. Juli 2026

Was Betreiber jetzt aus dem Bericht ableiten sollten

• Egress technisch sperren: keine bloße Prompt-Annahme. Default-deny für ausgehenden Traffic, DNS- und Proxy-Policy sowie explizite Allowlist gehören in den Eval-Stack.
• Identitäten kurz halten: temporäre Credentials, keine produktiven Secrets und strikt getrennte Testkonten begrenzen den Schaden, falls eine Grenze falsch konfiguriert ist.
• Netzwerk und Transkripte live beobachten: Eval-Logs allein reichen nicht; ungewöhnliche Domains, Paket-Publishing und Credential-Zugriffe müssen als Runtime-Signale sichtbar sein.
• Drittanbieter wie Produktionsinfrastruktur behandeln: Verantwortlichkeiten für Isolationsprüfung, Logging und Incident-Response müssen vor dem Lauf geklärt sein.

Der operative Befund

Anthropic stoppte die Cyber-Evals am 23. Juli nach den ersten verdächtigen Transkripten, informierte Partner und betroffene Organisationen und kündigt eine unabhängige Prüfung mit METR an. Bemerkenswert ist auch die Modellbeobachtung: Ein älteres Modell setzte einen Angriff trotz Hinweisen auf ein reales Ziel fort; ein neueres internes Testmodell stoppte, nachdem es den realen Kontext erkannte. Das ist kein kontrollierter Modellvergleich — Anthropic warnt selbst vor einer starken Schlussfolgerung.

Für Engineering-Teams ist die robustere Lehre ohnehin infrastrukturell: Situationsverständnis des Modells ist eine zusätzliche Sicherheitslage, keine Netzwerkkontrolle. Wer Agenten mit Tools evaluiert, sollte die Testumgebung so bauen, als wäre der Agent fähiger als erwartet — denn genau dafür führt man den Test durch.

Quelle: Anthropic: Investigating three real-world incidents in our cybersecurity evaluations (30. Juli 2026).