Drei Firmen gehackt. Und dein Code?

In den Sicherheitstests stand im Auftrag ausdrücklich, dass es keinen Internetzugang gibt. Durch eine Fehlkonfiguration bei einem externen Prüfpartner gab es ihn doch. Anthropic hat danach 141.006 Testläufe durchsucht und drei Vorfälle gefunden, der früheste aus dem April.

Wichtig für die Einordnung: Kein Modell hat versucht auszubrechen. Es ist keines aus seiner Umgebung entkommen, es stand schlicht eine Tür offen, die zu sein sollte.

Im ersten Fall hiess das erfundene Zielunternehmen zufällig wie eine echte Internetadresse. Das Modell kam an Zugangsdaten und an eine Datenbank mit mehreren hundert Zeilen echter Produktionsdaten. Anthropic nennt das selbst den schwerwiegendsten Fall.

Im zweiten Fall veröffentlichte ein Modell ein präpariertes Python-Paket. Es war rund eine Stunde online und landete in dieser Zeit auf 15 echten Rechnern, darunter der Prüfrechner einer Sicherheitsfirma, deren Zugangsdaten es danach mitnahm.

Im dritten Fall wurden rund 9.000 Systeme abgeklopft und in eines eingedrungen, über eine offen erreichbare Fehlersuchseite und eine bekannte Datenbank-Schwachstelle.

Im Video heisst es, das Modell habe Übung und Ernstfall nicht unterscheiden können. Das ist die harmlosere Version, und sie stimmt nicht. Belegt ist: Das älteste Modell erkannte, dass es auf echten Systemen sass, und machte trotzdem weiter. Ein zweites ahnte, dass es im echten Internet unterwegs war, und redete sich zurück in die Annahme, alles sei simuliert. Das neueste Modell erkannte es und brach von selbst ab.

Bevor irgendetwas gesucht wird, liest sich das Plugin dein Projekt an: Wie ist es aufgebaut, welche Teile sind von aussen erreichbar, wo liegt überhaupt echter Code. Erst danach beginnt die Suche, und zwar dort, wo ein Angreifer auch hinkäme. Tests, generierter Code und fremde Bibliotheken laufen bewusst als Nebenschauplatz mit.

Das ist der Teil, der den Unterschied macht. Jeder Verdacht geht an eigene Prüfer, deren Auftrag lautet, ihn zu widerlegen. Wer keinen echten Weg zum Ausnutzen belegen kann, muss den Fund als Fehlalarm einstufen. Nur was das übersteht, landet im Bericht. Deshalb sind die Berichte kurz.

Aus den bestätigten Funden macht das Plugin auf Wunsch fertige Korrekturen. Die entstehen in einer Kopie deines Projekts, dein eigener Stand wird dabei nicht angefasst. Jede Korrektur wird von anderen Agenten gegengelesen, und geschrieben wird sie nur, wenn drei Dinge zugesichert werden können: sie behebt genau diesen Fund, sie reisst keine neue Lücke auf, und sie ändert sonst nichts am Verhalten.