Die zentralen KI-Systeme von Anthropic blieben sicher, doch Forscher fanden einen anderen Weg in das Unternehmen: über Geschäftsanwendungen von Drittanbietern.
Forscher des Cybersicherheits-Start-ups Cathedral nutzten laut einem von The Washington Post eingesehenen Entwurf eines Berichts autonome KI-Agenten, um innerhalb von weniger als 12 Stunden auf interne Geschäftssysteme von Anthropic zuzugreifen. Die Agenten sollen Schwachstellen in administrativen und vertrieblichen Tools von Drittanbietern ausgenutzt und dabei sensible Mitarbeiter- und Unternehmensinformationen erreicht haben.
Der gemeldete Zeitraum von 12 Stunden bezog sich auf die Versuche von Cathedral, in Geschäftsanwendungen von Drittanbietern einzudringen. Anthropic erklärte, die Forscher hätten zuvor mehrere Tage lang versucht, direkt auf die firmeneigenen Systeme zuzugreifen.
Im Netzwerk von Anthropic, erreichten die Agenten Gehaltsdaten von Mitarbeitern, Stellenangebote, Gesprächsprotokolle und Slack-Nachrichten zu fortgeschrittenen Modellen. Anthropic bestätigte den Eindringversuch in eine „begrenzte Anzahl“ seiner Vertriebs-, Personal- und IT-Plattformen, betonte jedoch, dass die zentralen Ressourcen unangetastet blieben.
„Unsere Überwachung schlug Alarm, als sie einen Teil der Aktivitäten von Cathedral erkannte, noch bevor das Unternehmen uns darüber informierte, und wir sperrten den Zugang noch am selben Tag“, teilte Anthropic gegenüber The Washington Post mit und wies darauf hin, dass nie auf Kundengespräche, Quellcode oder Modellgewichte zugegriffen wurde.
Die Illusion der Perimeter-Verteidigung
Der Versuch von Cathedral legt einen strukturellen blinden Fleck in der Unternehmensverteidigung offen: die Lücke zwischen dem Schutz proprietärer Algorithmen und dem Umgang mit der ausufernden Landschaft von Software-as-a-Service-Angeboten.
Führende Technologieunternehmen geben Millionen für die Absicherung zentraler Modelle aus, doch ihre Mitarbeiter koordinieren sich über Slack, schließen Geschäfte über externe CRM-Systeme ab und wickeln die Gehaltsabrechnung über cloudbasierte Personalsoftware ab.
„Die Tatsache, dass Schwachstellen in gewöhnlicher Unternehmenssoftware die Infrastruktur selbst der fortschrittlichsten Organisationen kompromittieren können, sollte ein Weckruf für jedes Unternehmen in Amerika sein“, heißt es im Berichtsentwurf von Cathedral.
Alex Stamos, Chief Information Security Officer beim KI-Coding-Start-up Cognition, prüfte die Ergebnisse von Cathedral und sagte gegenüber The Washington Post, die Abhängigkeit von Tools Dritter sei „ein gigantisches Problem für alle“, fügte jedoch hinzu: „Anthropic hätte sehr viel besser abschneiden können.“
Washington bewertet die Folgen für die Nachrichtendienste
Der Vorfall hat innerhalb der US-Bundesregierung Besorgnis ausgelöst. Dort betrachten die Verantwortlichen KI-Fähigkeiten als strategische nationale Ressourcen.
„Wenn eine Gruppe von Kindern, die gerade erst ein Unternehmen gegründet haben, so etwas tun kann, dann sind die Chinesen möglicherweise nicht weit dahinter“, sagte ein nicht namentlich genannter hochrangiger Vertreter der Trump-Regierung gegenüber The Washington Post. Er fügte hinzu, er sei überrascht gewesen, „wie wenig Zeit es gedauert hat, in die sensiblen Systeme eines Unternehmens einzudringen, das Material von nahezu nuklearwaffenfähiger Qualität kontrolliert“.
Anthropic entgegnete, Cathedral habe die Risiken für die nationale Sicherheit übertrieben und durch die unvollständige Offenlegung sämtlicher Aktivitäten gegen die Regeln für Bug-Bounty-Programme verstoßen. Cathedral bekräftigte, die Standards für Sicherheitsforschung eingehalten zu haben, und erklärte: „Die Datenzugriffe wurden im Einklang mit den bewährten Verfahren der Sicherheitsforschung auf das absolut notwendige Minimum beschränkt.“
Folgen für Unternehmens- und Verbraucherdaten
Für die gewerblichen und privaten Nutzer von Anthropic offenbart der Eindringversuch unmittelbare operative Risiken.
Die Gespräche mit Claude blieben zwar sicher, doch Anthropic räumte ein, dass Kontaktdaten einiger Partner und Kunden sowie grundlegende Datensätze zu Benutzerkonten zugänglich waren.
Für normale Nutzer besteht kein unmittelbares Risiko einer Kontoübernahme. Unternehmenskunden müssen sich jedoch der Tatsache stellen, dass vertrauliche Kommunikation aus Vorstandspräsentationen oder Partnerkanälen abgegriffen werden kann, wenn sekundäre Verwaltungsebenen zusammenbrechen.
Geschäftsführer, die auf Frontier-KI-Plattformen setzen, müssen nun davon ausgehen, dass administrative SaaS-Plattformen aktive Angriffsvektoren sind. Wenn interne Slack-Kanäle, in denen über Modellarchitekturen diskutiert wird, innerhalb eines halben Tages offengelegt werden können, stellen nicht geprüfte Integrationen in der gesamten Software-Lieferkette eine dringende Schwachstelle dar.
Anthropic erklärte, dass weder auf seine zentralen KI-Systeme noch auf Kundengespräche zugegriffen wurde. Der Vorfall zeigt jedoch, wie sensible Geschäftsinformationen auch dann gefährdet bleiben können, wenn die wertvollsten technischen Ressourcen eines Unternehmens geschützt sind.
Mit der zunehmenden Leistungsfähigkeit autonomer KI-Tools müssen Sicherheitsteams möglicherweise neu bewerten, ob vorhandene Überwachungs- und Zugriffskontrollen unbefugte Aktivitäten über die wachsende Zahl von Diensten hinweg erkennen können, auf die ihre Organisationen angewiesen sind.
Außerdem: Ein südkoreanischer Hacker soll mithilfe von KI-gestützten Tools in nur 44 Tagen 60 Organisationen infiltriert haben, was zu einer umfassenderen Kampagne beitrug, bei der mehr als 8,2 Millionen Datensätze mit personenbezogenen Informationen kompromittiert wurden.