Anthropic-Bericht: Wie KI-Agenten Cyberangriffe orchestrieren

Ein neuer Bericht über Vorgänge aus acht Monaten

Anthropic hat seinen Threat-Intelligence-Bericht am 10. September 2026 veröffentlicht. Untersucht werden nach Angaben des Unternehmens Aktivitäten, die zwischen Dezember 2025 und August 2026 erkannt und gestoppt wurden. Der aktuelle Nachrichtenwert liegt damit in den neu zusammengeführten Erkenntnissen und Fallstudien, nicht in der Behauptung, alle beschriebenen Angriffe hätten im September stattgefunden.

Der Bericht umfasst sieben Bereiche: Cyberoperationen, Überwachung, Einflussoperationen, Betrug, biologischen Missbrauch, konventionelle Waffenentwicklung und unerlaubte Modelldestillation. Anthropic bezeichnet die veröffentlichten Fälle ausdrücklich als besonders bemerkenswerte oder neuartige Beispiele und nicht als repräsentativen Querschnitt des gesamten Claude-Verkehrs.

Ereignisdatum: Bericht vom 10. September 2026; zugrunde liegende Aktivitäten von Dezember 2025 bis August 2026. Es handelt sich nicht um einen einzelnen neuen Angriff.

Was Anthropic offiziell berichtet

Anthropic schreibt, die betroffenen Konten und Aktivitäten seien gesperrt oder unterbrochen worden. Erkenntnisse seien in Schutzmaßnahmen eingeflossen und, wo angemessen, mit Behörden und Branchenpartnern geteilt worden. In den beschriebenen Fällen kamen Claude Haiku, Sonnet und Opus zum Einsatz. Fable- und Mythos-Modelle waren laut Bericht bis auf einen Fall unerlaubter Modelldestillation nicht beteiligt.

Unter den von Anthropic beschriebenen Akteuren befinden sich mutmaßlich staatlich unterstützte Gruppen, finanziell motivierte Kriminelle, kommerzielle Spyware-Anbieter, staatliche Propagandaorganisationen und politisch motivierte Einzelpersonen. Diese Zuordnungen sind Einschätzungen des Anbieters auf Basis seiner internen Daten und sollten nicht mit unabhängig gerichtlich festgestellten Tatsachen verwechselt werden.

Vom Assistenten zum Orchestrator

Die wichtigste neue Beobachtung betrifft die Rolle der KI im Ablauf. Anthropic zufolge wurde eine Mehrheit der im Cyberkapitel beschriebenen Operationen durch direkte KI-Ausführung oder Orchestrierung ermöglicht. Mehragentensysteme übernahmen demnach Teile von Aufklärung, Werkzeugentwicklung, Ausnutzung und Datenabfluss. Menschen blieben beteiligt, indem sie Ziele auswählten, Abläufe anpassten und erbeutete Daten prüften.

Damit verschiebt sich der Nutzen von KI für Angreifer. Der Bericht stellt nicht primär einen einzelnen neuartigen Exploit heraus, sondern schnellere Wiederholung, größere Reichweite und die Fähigkeit, unterschiedliche Zielumgebungen mit weniger Fachpersonal zu bearbeiten. Anthropic warnt deshalb davor, technische Raffinesse weiterhin automatisch als Zeichen einer großen, hoch spezialisierten Gruppe zu interpretieren.

Herstellerangabe: Anthropic kann Missbrauch auf der eigenen Plattform beobachten. Der Bericht liefert jedoch keine unabhängige Messung dafür, wie häufig agentische Angriffe im gesamten Cybergeschehen vorkommen.

Microsoft bestätigt KI-Unterstützung bei CaptiveCrunch

Eine der Anthropic-Fallstudien beschreibt einen Akteur, dessen Vorgehen nach Einschätzung des Unternehmens mit öffentlichen Berichten zu Midnight Blizzard übereinstimmt. Genannt werden unter anderem manipulierte Hotel- und Gastnetzwerke, Gerätecode-Phishing, Malware-Verteilung und automatisierte Anpassungen an erkannte Sicherheitsmaßnahmen.

Microsoft Threat Intelligence veröffentlichte bereits am 31. Juli 2026 eine separate Untersuchung zur CaptiveCrunch-Kampagne. Microsoft beobachtete demnach seit Februar 2026 KI-unterstützte Operationen und schreibt, KI habe einen erheblichen Teil der Aktivitäten unterstützt. Microsoft bedankt sich dabei ausdrücklich bei Anthropic und OpenAI für die Zusammenarbeit. Das stützt zentrale Teile des Kampagnenbilds, ersetzt aber keine unabhängige Bestätigung jeder einzelnen Anthropic-Aussage.

Gestohlene Zugangsdaten werden zum Beschleuniger

Besonders relevant für Unternehmen ist die Verbindung aus klassischen Zugangsdiebstählen und agentischer Automatisierung. In einer Fallgruppe zu mutmaßlichen ShinyHunters-Affiliates beschreibt Anthropic massenhaftes Suchen nach Schlüsseln und Tokens, schnelle Ausweitung von Zugängen und automatisierte Datenabflüsse. Bei einzelnen Einbrüchen hätten KI-Agenten nahezu die gesamte operative Arbeit ausgeführt.

Anthropic stellt zugleich klar, dass die in dieser Fallgruppe verwendeten API-Schlüssel aus Umgebungen von Kunden gestohlen worden seien. Die eigenen Anthropic-Systeme seien dabei nicht kompromittiert worden. Die Lehre ist breiter als der Schutz eines bestimmten Modells: Ein leistungsfähiger Agent mit einem gestohlenen Schlüssel kann vorhandene Berechtigungsfehler schneller und konsequenter ausnutzen.

Was der Bericht nicht belegt

Die Fallstudien stammen überwiegend aus Anthronics eigener Sicht auf Claude-Nutzung. Der Anbieter kennt Konten, Prompts und eigene Erkennungsmaßnahmen, sieht aber nicht automatisch jede Handlung außerhalb seiner Systeme. Umgekehrt bleiben Angriffe unberücksichtigt, die andere Modelle, lokale Systeme oder keine generative KI verwenden.

Der Bericht quantifiziert auch keinen allgemeinen Anteil KI-gestützter Cyberangriffe und liefert keine belastbare Vergleichsgruppe ohne KI. Aussagen zum zusätzlichen Schaden, von Anthropic als Uplift bezeichnet, beruhen deshalb auf Fallanalysen zu Geschwindigkeit, Umfang und Tiefe. Aus spektakulären Einzelfällen lässt sich weder eine globale Häufigkeit noch eine garantierte Angriffsfähigkeit jedes verfügbaren Modells ableiten.

• Ausgewählte besonders bemerkenswerte Fälle statt repräsentativer Stichprobe
• Anbieterinterne Beobachtungen mit begrenzter Sicht außerhalb der eigenen Plattform
• Keine allgemeine Quote für autonome oder KI-gestützte Cyberangriffe
• Akteurszuordnungen sind Threat-Intelligence-Einschätzungen
• Beschriebene Fähigkeiten gelten nicht automatisch für jedes Modell oder jeden Angreifer

Verteidigung muss Identitäten und Agentenaktionen zusammendenken

Wenn Angreifer Abläufe schneller anpassen können, reichen statische Signaturen und einzelne Modellfilter nicht aus. Organisationen müssen zusätzlich beobachten, was Identitäten, Tokens, Anwendungen und Agenten tatsächlich tun. Verdächtig sind beispielsweise ungewöhnliche Massenzugriffe, neue Gerätebindungen, schnelle Rechteausweitung, automatisierte Exporte oder wiederholte Werkzeugaufrufe außerhalb des normalen Arbeitsmusters.

Microsoft empfiehlt für die konkret untersuchte CaptiveCrunch-Kampagne unter anderem phishing-resistente Mehrfaktorverfahren, eingeschränkte Gerätecode-Anmeldung, risikobasierte Zugriffsregeln und Misstrauen gegenüber Update- oder Terminalaufforderungen in Gastnetzwerken. Diese Maßnahmen sind kampagnenspezifisch dokumentiert, passen aber auch zum breiteren Muster des Anthropic-Berichts: Gestohlene Identitäten und zu weit reichende Berechtigungen machen agentische Automatisierung erst wirksam.

Sieben sinnvolle Maßnahmen für eigene KI-Systeme

Für Unternehmen folgt daraus kein pauschales Verbot von KI-Agenten. Sinnvoller ist eine Architektur, die jeden Agenten wie einen schnell arbeitenden externen Dienst mit begrenztem Vertrauen behandelt. Rechte, Netzwerkziele und Datenzugriffe sollten technisch klein gehalten und nicht allein durch eine Textanweisung begrenzt werden.

Die folgenden Schritte reduzieren sowohl Missbrauch durch gestohlene Konten als auch Schäden durch fehlerhafte oder manipulierte Agenten. Sie ersetzen keine auf die eigene Infrastruktur abgestimmte Sicherheitsanalyse, schaffen aber eine belastbare Ausgangslage.

• Kurzlebige, zweckgebundene Zugangsdaten statt dauerhafter Schlüssel verwenden
• Secrets aus Code, Agentenkontext, Browsern, Logs und Build-Artefakten fernhalten
• Schreib-, Export- und Administrationsrechte getrennt vergeben und regelmäßig prüfen
• Phishing-resistente MFA und risikobasierte Zugriffsregeln für privilegierte Konten erzwingen
• Werkzeugaufrufe, Datenmengen, neue Ziele und ungewöhnliche Wiederholungen protokollieren
• Netzwerkzugriff per Allowlist begrenzen und produktive Systeme segmentieren
• Irreversible Aktionen sowie große Exporte durch eine unabhängige Freigabe absichern

Die MindrAils-Einordnung

Der September-Bericht ist relevant, weil er die Debatte von einzelnen schädlichen Antworten auf komplette Arbeitsabläufe verschiebt. Agenten können bekannte Angriffsschritte verbinden, wiederholen und an Rückmeldungen anpassen. Das senkt nicht jede technische Hürde, kann aber Tempo und Reichweite vorhandener Methoden deutlich erhöhen.

Gleichzeitig bleibt Zurückhaltung wichtig: Anthropic veröffentlicht ausgewählte eigene Beobachtungen und keine vollständige Marktstatistik. Die stärkste Schlussfolgerung ist deshalb nicht, dass autonome KI-Angriffe plötzlich überall dominieren. Belegt ist vielmehr, dass mehrere reale Akteure agentische Systeme bereits operativ eingesetzt haben und dass Identitäts-, Berechtigungs- und Verhaltenskontrollen darauf vorbereitet sein müssen.