Raketen, Drohnenschwärme, Überwachung, Ersatz für China-Modelle: Anthropic zeigt, wofür Claude missbraucht wird

Betroffen waren laut Anthropic vor allem die Modelle Haiku, Sonnet und Opus, während die neueren Fable- und Mythos-Modelle nur in einem einzigen Distillation-Fall auftauchten. Das Unternehmen betont, es dokumentiere nicht typischen, sondern besonders neuartigen Missbrauch.

Der zentrale Befund des Cyber-Kapitels: Anspruchsvolle Angriffe setzen keine anspruchsvollen Angreifer mehr voraus. Sophistikation sei kein verlässliches Attributionssignal mehr. Die Techniken selbst seien vertraut, etwa gestohlene Zugangsdaten, ungepatchte Geräte, SQL-Injection und Phishing. Verändert habe sich die Ökonomie: Aufklärung, Exploitation und Werkzeugbau würden nun an Modelle delegiert, die parallel und in Maschinengeschwindigkeit laufen.

Autonomie senke die Kostenseite der Angreifer-Kalkulation, so Anthropic, und mache bislang unrentable Ziele lohnend.

Malware, die sich selbst neu baut, wenn Virenscanner sie erkennen

Als GTG-20006 führt Anthropic einen russischsprachigen Spionageakteur, der einen Rückkopplungsloop einsetzte: KI-Agenten prüften laufend, ob die eingesetzte Schadsoftware von gängigen Sicherheitsprodukten erkannt wurde. Schlug ein Virenscanner an, schrieben und kompilierten die Agenten die Schadprogramme selbstständig so lange um, bis sie wieder unentdeckt blieben.

Damit verschiebe sich der Aufwand zurück auf die Verteidiger, so Anthropic: Wer neue Erkennungssignaturen schreibt, kann einen Angreifer nicht mehr ausbremsen, wenn dieser den Anpassungszyklus schneller durchläuft, als sich neue Signaturen ausrollen lassen.

Mehr als 20 Organisationen seien ins Visier geraten, darunter Ministerien, Nachrichtendienste, Botschaften und Rüstungsunternehmen, konzentriert auf die Ukraine und Europa. Ein wiederkehrendes Ziel war die Drohnen-Lieferkette: Der Akteur stahl unter anderem ein komplettes proprietäres SDK für ein Drohnen-Vision-System. Der Zugang lief teils über Dritte, etwa kompromittierte Anbieter von Hotel-Gäste-WLAN, deren Gästegeräte anschließend mit Malware bestückt wurden, eine Methode, die Microsoft im Juli 2026 als CaptiveCrunch beschrieb.

Bei Clustern, die Anthropic dem Kollektiv ShinyHunters zurechnet (GTG-50014), stand industrielles Credential-Mining im Zentrum. Ein Hacker lud 1,8 Millionen Android-Apps herunter, dekompilierte sie und durchsuchte sie nach hartcodierten Geheimnissen. Anthropic beschreibt das Vorgehen als "vibe hacking": Der Mensch gibt ein grobes Ziel vor, das Modell bewertet die Umgebung und iteriert, bis die Aufgabe erledigt ist. Einer der Hacker kassierte nach eigener Aussage bei zwei erpressten Unternehmen zusätzlich HackerOne-Bounties.

Chinesische Labore leiten Kundenanfragen an Claude weiter

Beim Thema Distillation identifizierte Anthropic seit der ersten Offenlegung im Februar Angriffe von sieben weiteren chinesischen Laboren. Distillation als Trainingsmethode ist legitim, als illegitim definiert Anthropic industriell skalierte, verdeckte Kampagnen, die Modellfähigkeiten unautorisiert extrahieren, ermöglicht in der Regel durch Netze von Fake-Konten mit gestohlenen Kreditkarten und API-Schlüsseln, geroutet über sogenannte "Transferstationen".

Die größte je gemessene Kampagne rechnet das Unternehmen Alibabas Qwen-Labor zu (GTG-16005). Ein fester Prompt brachte Claude dazu, seine Reasoning-Spuren auszuschreiben, bevor es antwortete und die Transkripte wurden zu Feinabstimmungsdaten für die Qwen-Modelle 3.5, 3.6 und 3.7 verarbeitet. Der Spitzenwert lag bei fast drei Millionen Austauschen pro Tag aus über 3.500 betrügerischen Konten, insgesamt mehr als 151 Millionen Austausche zwischen Mai und Juli 2026, vorrangig zu agentischen Aufgaben und Software-Entwicklung.

Kurios sind dagegen die Fälle, in denen Labore Anfragen ihrer eigenen Kunden an Claude weiterleiteten. Moonshot AI (GTG-16002) habe über zehn Tage knapp 300.000 Kundenanfragen an Anthropic relayed, verteilt über 5.380 betrügerische Konten, während die Nutzer glaubten, ein Kimi-Modell zu verwenden. DeepSeek (GTG-16001) erkannte anhand von Strings, wenn Anfragen aus Harnesses wie Claude Code kamen, markierte diese Nutzer und leitete ausgewählte an Claude Opus um: über 12,1 Millionen Austausche in 14 Tagen.

In den umgeleiteten Anfragen fand Anthropic unter anderem einen mutmaßlich der Volksbefreiungsarmee zuzurechnenden Nutzer, der CCTV-Archivdaten zu einer einzelnen Zielperson auswerten ließ, Videomaterial von hunderten Kameras in Chengdu, darunter Kameras vor PLA-Einrichtungen. Über DeepSeek gelangten zudem Anfragen eines Operators mit Live-Zugangsdaten für eine dem russischen Verteidigungsministerium zugeordnete Datenbank zu Claude, ebenso die Arbeit an einem Fallmanagementsystem für ein chinesisches Büro für Öffentliche Sicherheit, das Bewegungsprofile gegen Polizeiakten abgleicht.

Xiaomi (GTG-16008) nutzte Claude anders: Das Unternehmen speicherte laut Anthropic Anfragen und Coding-Sessions von Nutzern seiner eigenen MiMo-Modelle und spielte diese Konversationen erneut durch Claude, um damit Trainingsdaten zu erzeugen. Anthropic fand keine Hinweise darauf, dass Claudes Antworten direkt an Xiaomis Nutzer ausgeliefert wurden. In den weitergeleiteten Anfragen steckten jedoch personenbezogene Daten wie Namen, Kontakt- und Unternehmensangaben von hunderten Personen in mindestens einem Dutzend Sprachen.

Der Anbieter Zhipu (außerhalb Chinas als Z.ai) rotierte über 273 Konten und schickte in zehn Tagen mehr als 770.000 Austausche durch einen CoT-Cleaner, ein Werkzeug, das die erbeuteten Reasoning-Spuren automatisch zu verwertbaren Trainingsdaten aufbereitet.

Für das Training von GLM-5.3 auf Cyberaufgaben griff das Labor zunächst Anthropics Fable-Modell an, gab dieses Vorhaben aber nach Degradierung durch die Cyber-Safeguards auf und wechselte bewusst auf Modelle mit schwächer eingeschätztem Schutz.

SenseTime kaufte laut Bericht Transkripte von Drittanbietern, bezog die erbeuteten Claude-Daten also nicht selbst, sondern über einen zwischengeschalteten Markt. MiniMax betrieb über eine Briefkastenfirma ein eigenes Proxy-Netz, das ausschließlich Modelle von Anthropic und OpenAI anbot, keine chinesischen, auch nicht die eigenen.

Überwachung als primäre Engineering-Belegschaft

Im Überwachungskapitel sticht Mali heraus. Ein einzelner Berater nutzte Claude als primäre Engineering-Belegschaft für "Lakana 360", eine Plattform zur Überwachung von rund 25 Millionen SIM-Karten bei allen drei nationalen Mobilfunkbetreibern. Sie erkennt Personen an der Stimme über SIM-Wechsel hinweg, markiert Nutzer von Verschlüsselung und VPNs und verknüpft Personen mit dem nationalen biometrischen Zivilregister.

Die Kontosperrung unterbrach nur die Entwicklung, nicht den Betrieb, da die Plattform mit lokalen Modellen on-premises läuft. Ähnliche Muster dokumentiert Anthropic bei iranischen Einheiten, die nach eigener Angabe binnen eines Jahres 6.388 Iraner überwacht und profiliert haben wollen.

Erstmals ein Kapitel zu konventionellen Waffen

Beim Thema Waffen dokumentiert Anthropic erstmals eigene Fälle. Eine Zelle im Norden Jemens (GTG-87001) setzte Claude Code an die Stelle menschlicher Softwareingenieure für die Steuerungs-, Navigations- und Regelungssoftware von drei Raketenprogrammen, darunter eine mehrstufige Rakete mit angestrebter Reichweite über 2.000 Kilometer.

Die Akteure verwalteten mehrere Claude-Instanzen parallel und verteilten die Arbeit über Sitzungen, sodass keine einzelne die Absicht offenlegte. Ein Testabschuss scheiterte offenbar und innerhalb von Stunden kehrten die Akteure zu Claude zurück, um die Ursache zu klären.

Ein zweiter Fall (GTG-27005) betrifft wahrscheinlich freiberufliche russische Akteure, die einen autonomen FPV-Kamikazedrohnenschwarm bauten, mit einem kleinen Sprachmodell an Bord und einer Endphasen-Zielführung per Kamera. Die Plattform war für autonome tödliche Wirkung ausgelegt: Das Bordmodell konnte Ziele der Klasse "Person" auswählen und die Detonation ohne Mensch in der Schleife auslösen. Der Bildklassifikator wurde laut Anthropic auf abgezogenem ukrainischem Kampfmaterial trainiert.

Ein chinesischer Fall (GTG-17002) betraf zudem eine Suite von rund 16 Modulen für elektronische Kampfführung und die Unterdrückung feindlicher Luftabwehr. Mitten im Projekt wechselte das Standardszenario der Simulation auf zwölf Ziele in Taiwan.

Biologie: Anthropic beschreibt die Grenzen der eigenen Filter

Am selbstkritischsten ist das Biologie-Kapitel. Anthropic dokumentiert fünf anonymisierte Fälle tätiger Wissenschaftler, in denen Claude bei potenziell gefährlichen Dual-Use-Vorhaben unterstützte. In einem Fall blockierte der Biosicherheitsklassifikator einen Förderantrag für Gain-of-Function-Arbeiten am Chikungunya-Virus, geplant an einem militärischen Forschungsinstitut.

Der Betreiber der genutzten Plattform hatte eigens einen Fallback gebaut, der von Claude abgelehnte Anfragen an das Modell eines Wettbewerbers weiterleitete, den Code dafür schrieb laut Bericht zu großen Teilen Claude selbst. Andere Vorhaben liefen weitgehend unbehindert, etwa der Entwurf eines Antrags zu Immunevasionsgenen von Orthopoxviren.

Die Schlussfolgerung: Klassifikatoren könnten nicht gleichzeitig Nutzen ermöglichen und Schaden verhindern, weil sich die Absicht eines Nutzers in Dual-Use-Bereichen nicht zuverlässig erkennen lasse. Als Reaktion startete Anthropic Claude Fable 5 mit strengeren Schutzmaßnahmen für Dual-Use-Biologieanfragen, gegen Distillation soll das mit Fable 5.1 eingeführte "preserved thinking" neuen API-Konten die Manipulation des Kontexts verwehren.

Der einzige sichere Weg für Spitzenfähigkeiten in der Biologie seien jedoch Programme für verifizierte Nutzer.