KI-Hacker knacken Anthropic in 12 Stunden: Wie sicher ist die KI-Elite?

Ein erst wenige Monate altes Start-up ehemaliger DOGE-Mitarbeiter will mit KI-Agenten in weniger als zwölf Stunden in interne Systeme des KI-Konzerns Anthropic eingedrungen sein. Das berichtete die „Washington Post“ am Montag unter Berufung auf einen Berichtsentwurf. Anthropic widerspricht in wichtigen Punkten. Der Zeitpunkt könnte für das Unternehmen kaum ungünstiger sein: Es bereitet gerade seinen Börsengang vor.

Gehaltsdaten, Slack-Chats, Protokolle

Das Start-up heißt Cathedral. Nach eigener Darstellung gelangte es an Mitschriften von Meetings, an Gehälter und Details zu Jobangeboten sowie an Slack-Nachrichten über die fortschrittlichsten Modelle von Anthropic. Die eigentliche KI, den Chatbot Claude, habe man dabei nicht geknackt.

Das Einfallstor war profaner. Cathedral habe Schwachstellen in fremder Unternehmenssoftware ausgenutzt, also in den Verwaltungs- und Vertriebsprogrammen, mit denen fast jede Firma arbeitet. Welche Anbieter betroffen sind, behielt die Zeitung für sich.

Gemeldet hat Cathedral die Lücken nach eigenen Angaben Anfang des Monats über das Bug-Bounty-Programm von Anthropic, das externe Sicherheitsforscher für Hinweise auf Schwachstellen bezahlt. Auch die betroffenen Softwareanbieter seien informiert worden. Der Berichtsentwurf sieht eine „ernste Lücke zwischen den neu entstehenden Angriffsfähigkeiten und den Verteidigungen“. Auf Daten habe man nur im absolut notwendigen Umfang zugegriffen.

Anthropic schlägt zurück

Anthropic beschreibt den Vorfall als deutlich kleiner. Cathedral sei nur in „eine begrenzte Anzahl“ von Vertriebs-, Personal- und IT-Systemen gelangt. Betroffen seien unter anderem geschäftliche Kontakte von Kunden und Partnern sowie einfache Nutzerkonten. Den Zugang habe man noch am selben Tag gesperrt.

Gespräche von Claude-Nutzern, Quellcode und Modellgewichte seien laut dem Konzern nicht berührt worden. Die eigene Überwachung habe einen Teil der Aktivitäten schon vor der Meldung bemerkt. Für einen Missbrauch der Lücken durch Dritte gebe es keine Hinweise. Nach Darstellung von Anthropic versuchten die Angreifer zudem mehrere Tage erfolglos, die hauseigene Software direkt zu knacken, bevor sie auf die Programme der Zulieferer auswichen.

Anthropic geht noch weiter. Cathedral habe gegen die Regeln des Bounty-Programms verstoßen, weil es nicht alle Aktivitäten offengelegt habe. Außerdem übertreibe das Start-up die angedeuteten Folgen für die nationale Sicherheit. Die betroffene Software sei abgeschaltet worden, bis die Anbieter sie repariert hätten, und Bundesbehörden seien informiert worden.

„Die Chinesen sind nicht weit dahinter“

Ein Fachmann sieht das anders. Alex Stamos, Sicherheitschef bei Cognition, prüfte die Ergebnisse im Auftrag der Zeitung. Cognition nutzt selbst Modelle von Anthropic und anderen Laboren.

„They found something big here.“

Anthropic hätte die externen Softwareanbieter nach seiner Einschätzung „viel besser“ überwachen können. Noch deutlicher wurde ein hochrangiger Vertreter der Trump-Regierung. Der Bericht kursiere bereits in Regierungskreisen. Wenn ein paar junge Leute mit einer frisch gegründeten Firma so etwas schafften, dann seien die Chinesen womöglich nicht weit dahinter.

Keine Hinterhof-Hacker

Cathedral ist allerdings alles andere als eine Garagenfirma. Laut Gizmodo stehen Gavin Kliger, Luke Farritor, Marko Elez und Jack Stein dahinter, alle früher bei Elon Musks Effizienzbehörde DOGE. Kliger war Chief Data Officer des Pentagons und soll Berichten zufolge mit dem Rechtsstreit zwischen dem Verteidigungsministerium und Anthropic in Verbindung stehen. Ein Interessenkonflikt? Diese Frage drängt sich zumindest auf.

Reuters berichtete im Juli, Cathedral habe bei einer Bewertung von 1,4 Milliarden Dollar 160 Millionen Dollar eingesammelt. Geldgeber seien Andreessen Horowitz und Sequoia. Drei Bundesbehörden sollen nach Angaben des Regierungsvertreters inzwischen Verträge mit dem Start-up geschlossen haben.

Kratzer am Image vor dem Börsengang

Für Anthropic ist das heikel. Das Unternehmen hat seinen Börsenprospekt vorgelegt, und Medienberichten zufolge ist eine Bewertung von bis zu zwei Billionen Dollar im Gespräch. Dazu kommen Zusagen für Rechenkapazitäten in Höhe von mehreren hundert Milliarden Dollar. Ausgerechnet der Konzern, der sich als besonders vorsichtiges KI-Labor verkauft, hat jetzt einen handfesten Sicherheitsvorfall am Hals. Wie groß er wirklich war, darüber streiten beide Seiten.

Für Anleger zeigt der Fall, wie verwundbar digitale Werte sind. Ein einziger Zulieferer mit schlampig gesicherter Software kann genügen. Physisches Gold und Silber lassen sich dagegen nicht hacken. Als Beimischung in einem breit gestreuten Portfolio können sie deshalb einen soliden Gegenpol bilden.

Hinweis: Dieser Beitrag stellt keine Anlageberatung dar. Jeder Leser muss eigenständig recherchieren und ist für seine Anlageentscheidungen selbst verantwortlich.