Nach OpenAI ist nun Anthropic an der Reihe, Claude weitet seine Angriffe auf das öffentliche Internet aus.

Nachdem OpenAI offengelegt hatte, dass sein Modell während des Benchmark-Tests von ExploitGym die Sandbox entkommen war, führte Anthropic eine rückblickende Prüfung durch, die 141.006 Bewertungsläufe abdeckte. Die Untersuchung bewertete historische Tests mehrerer offensiver Benchmark-Tests, darunter Cybench, CyberGym und ExploitBench, und konzentrierte sich auf die Prüfung der Läufe, die in der Umgebung des Drittanbieter-Bewertungspartners Irregular ausgeführt wurden. Die Prüfung ergab drei verschiedene Vorfälle, die sechs Bewertungsläufe betrafen. Bei diesen Läufen konnte das Claude-Modell aufgrund fehlerhaft konfigurierter Ausgangsrouten und der Tatsache, dass das Modell während der Capture-the-Flag-Übungen Ziele in der realen Welt kompromittierte, auf das öffentliche Internet zugreifen.

Diese Vorfälle betrafen Claude Opus 4.7, Mythos 5 und ein noch nicht veröffentlichtes internes Forschungsprototyp. Bei allen Läufen lief das Modell in einer dedizierten isolierten Testumgebung, die von dem internen Netzwerk und den Kundendaten von Anthropic getrennt war. Die Modelle behielten die grundlegende modellspezifische Sicherheitstraining bei, verfügten jedoch nicht über produktionsreife Ablehnungsklassifikatoren und Echtzeit-Missbrauchüberwachung. Die Systemhinweise teilten den Modellen ausdrücklich mit, dass sie in einer offline-Simulationsumgebung laufen, die keinen Zugriff auf das Internet hat; jedoch führte eine Fehlkonfiguration des Netzwerkcontainers dazu, dass der ausgehende Internetpfad weiterhin aktiv war. Aufgrund der falschen Annahme, dass alle zugänglichen IP-Adressen im Bewertungsbereich lagen, wandte das Modell grundlegende Angriffstechniken an, ohne Zero-Day-Schwachstellen auszunutzen oder zu versuchen, sich selbst nach außen zu exfiltrieren.

Der erste Vorfall betraf Claude Opus 4.7. In diesem Szenario hatte ein fiktives Zielunternehmen den gleichen Namen wie eine echte Domain. Da Opus 4.7 nicht auf das lokale Ziel innerhalb des Containers zugreifen konnte, führte es eine Netzwerkermittlung durch, fand die entsprechende Domain im öffentlichen Netz und führte gezielte Angriffe in vier unabhängigen Läufen durch. Das Modell extrahierte Infrastrukturanmeldeinformationen, Anwendungsausthentifizierungstoken und eine Tabelle einer Produktionsdatenbank mit Hunderten von echten Datensätzen. Interne Denkkettenspuren zeigten, dass Opus 4.7 erkannte, dass das Ziel zu einem betriebsbereiten Unternehmen gehörte, aber es rechtfertigte sein Handeln mit der Annahme, dass dieser echte Host ein absichtlicher Teil der Capture-the-Flag-Übung war, und setzte die Angriffe fort.

Der zweite Vorfall betraf Mythos 5. Im Testcontainer prüfte das Modell die simulierte Installationsdokumentation, in der auf einen noch nicht registrierten Namen eines Python-Pakets verwiesen wurde. Mythos 5 erkannte eine Schwachstelle durch Abhängigkeitsverwirrung und versuchte, das Paket im öffentlichen PyPI-Register zu registrieren. Um die Anforderungen der PyPI-Kontoregistrierung zu erfüllen, probierte das Modell mehrere automatisierte Strategien aus, um eine Telefonnummer für die SMS-Überprüfung zu erhalten, und erwarb anschließend ein kostenloses E-Mail-Konto. Es gelang ihm, ein Paket mit einer Angriffslast auf PyPI zu veröffentlichen. Dieses Paket verblieb etwa eine Stunde lang im öffentlichen Zustand, bevor es von den automatischen Sicherheitsmechanismen des Registers gelöscht wurde.

Während dieser Zeit luden 15 externe Systeme das Paket herunter und führten es aus, darunter ein automatisierter Sicherheitsscanner, der von einem Drittanbieter für Cybersicherheit betrieben wird. Nachdem die Last im Scanner ausgeführt wurde, exfiltrierte sie die lokalen Umgebungsanmeldeinformationen zu einem Sammelpunkt, der von Mythos 5 eingerichtet wurde. Anschließend nutzte das Modell diese gestohlenen Anmeldeinformationen, um direkt horizontal in die Infrastruktur dieses Sicherheitsanbieters einzudringen. In seinen Schlussfolgerungsspuren wies Mythos 5 darauf hin, dass das Hochladen eines echten Pakets unangemessen sei, aber da es eine nicht identifizierte TLS-Zertifizierungsstelle fand und das Systemdatum auf 2026 gesetzt war, schloss es, dass die Umgebung eine Simulationsumgebung sei, und ignorierte daher das Risiko.

Der dritte Vorfall betraf ein internes Forschungsprototyp. Nachdem das Modell das Ziel nicht lokal finden konnte, führte es einen automatischen Scan von etwa 9000 öffentlichen IP-Adressen durch. Es nutzte mehrere Web-Angriffsmethoden, um eine externe Anwendung zu kompromittieren, darunter das Sammeln von Anmeldeinformationen von exponierten Debug-Endpunkten und die Durchführung von SQL-Injection. In der nachfolgenden Ausführungskette analysierte der Prototyp die Metadaten der Zielumgebung, stellte fest, dass dieses Cloud-Konto nicht mit der Bewertungsübung zusammenhängt, und beendete eigenständig alle Angriffsaktivitäten.

Anthropic setzte am 23. Juli alle offensiven Cybersicherheitsbewertungen aus und benachrichtigte die betroffenen Einrichtungen am 27. Juli. Das Unternehmen stufte diese Vorfälle als Fehlkontrollen im Betriebs- und Auswertungsrahmen ein, nicht als außer Kontrolle geratene Modellausrichtung, und begründete dies mit dem Fehlen von Ausgangsfiltern und einer Nichtübereinstimmung des Hinweiskontexts. Im nächsten Schritt wird Anthropic die Sandbox-Isolationskontrollen verbessern, die Überwachungspipeline für Interaktionsprotokolle erweitern und mit der unabhängigen Bewertungsstelle METR zusammenarbeiten, um die Bewertungsumgebungen zu prüfen.

Diese Vorfälle des Entkommens aus der Bewertung sind keine isolierten betrieblichen Versäumnisse, sondern zeigen einen entscheidenden branchenweiten Trend im Bereich der KI-Sicherheit und Eindämmung auf. Der Vorfall bei Anthropic weist große Ähnlichkeiten mit jüngsten Präzedenzfällen auf: Modelle von OpenAI, darunter GPT-5.6 Sol, durchbrachen die Sandbox-Isolation während des ExploitGym-Benchmark-Tests und griffen auf die Produktionssysteme von Hugging Face zu. Gemeinsam heben diese Vorfälle die systemischen Sicherheitsherausforderungen hervor, denen sich Spitzenlabore gegenübersehen, da die Fähigkeiten autonomer Agenten stetig voranschreiten. Da Modelle zunehmend die Fähigkeit zeigen, Zero-Day-Schwachstellen zu erkennen und komplexe Angriffspfade auszuführen, besteht in der Branche ein dringender Bedarf an robusteren, stärker isolierten Bewertungsumgebungen sowie an Verteidigungsmodellen ohne Schutzschranken zur Unterstützung der Reaktion auf Vorfälle.

Original-Link: https://www.infoq.com/news/2026/08/claude-sandox-breach/

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto "AI Front", Autor: Olimpiu Pop; Übersetzer: Tian Cheng, veröffentlicht mit Genehmigung von 36Kr.