Mitte September 2025 entdeckte das Unternehmen Anthropic verdächtige Aktivitäten, die sich als äußerst ausgeklügelte Spionagekampagne herausstellten. Dieser Angriff stellt einen grundlegenden Wandel darin dar, wie fortschrittliche Angreifer künstliche Intelligenz einsetzen. Anthropic ordnete diese Operation mit hoher Sicherheit einer vom chinesischen Staat unterstützten Gruppe zu, die das Unternehmen als GTG-1002 bezeichnete. Die Angreifer manipulierten das Tool Claude Code, um etwa 30 globale Ziele zu infiltrieren, was ihnen in mehreren Fällen gelang. Zu den Zielen gehörten große Technologieunternehmen, Finanzinstitute, Chemieproduzenten und Regierungsbehörden in verschiedenen Ländern.
Diese Kampagne ist der erste dokumentierte Fall eines groß angelegten Cyberangriffs, der überwiegend ohne nennenswertes menschliches Eingreifen durchgeführt wurde. Anthropic leitete umgehend eine Untersuchung ein, um Umfang und Art der Aktivitäten zu verstehen. In den folgenden zehn Tagen kartierte das Unternehmen die gesamte Operation, sperrte die identifizierten Konten, informierte die betroffenen Organisationen und arbeitete bei der Sammlung nützlicher Informationen mit den Behörden zusammen.
Wie lief der Angriff ab?
Die Angreifer entwickelten ein autonomes Angriffs-Framework, das Claude Code zusammen mit offenen Standardtools des Model Context Protocol (MCP) nutzte, um Cyberoperationen ohne direkte menschliche Beteiligung durchzuführen. Dieses Framework zerlegte komplexe mehrstufige Angriffe in eigenständige technische Aufgaben, die Claude als Subagenten ausführte – beispielsweise das Scannen nach Schwachstellen, das Überprüfen von Zugangsdaten oder die Extraktion von Daten. Jede Aufgabe wirkte für sich genommen harmlos, wodurch die Angreifer Sicherheitsmaßnahmen umgehen konnten.
Die menschlichen Operatoren waren nur minimal beteiligt; ihr Anteil wird auf 10–20 % des Gesamtaufwands geschätzt. Ihre Rolle bestand hauptsächlich darin, die Kampagne zu initialisieren und wichtige Entscheidungen zu genehmigen, etwa den Übergang von der Erkundung zur aktiven Ausnutzung von Schwachstellen oder die Autorisierung der Datenexfiltration. Die künstliche Intelligenz bewältigte 80–90 % der taktischen Arbeit selbstständig, einschließlich der Erkundung, der Generierung von Angriffscode und der Analyse gestohlener Informationen. Auf dem Höhepunkt der Aktivitäten wurden Tausende von Anfragen verarbeitet, häufig mehrere pro Sekunde, was für menschliche Hacker physisch unmöglich gewesen wäre.
Phasen des Angriffs
In der ersten Phase wählten die menschlichen Operatoren die Ziele aus und richteten das Framework ein. Anschließend mussten sie Claude, der darauf trainiert ist, schädliches Verhalten zu vermeiden, zur Beteiligung bewegen. Sie nutzten Rollenspiele: Sie behaupteten, Mitarbeiter legitimer Cybersicherheitsunternehmen zu sein und Claude für defensive Sicherheitstests einzusetzen. Dadurch konnten die Schutzmechanismen lange genug umgangen werden, um die Kampagne zu starten.
Die zweite Phase umfasste die Erkundung und Kartierung der Angriffsfläche. Claude durchsuchte selbstständig die Infrastruktur der Ziele, katalogisierte Dienste, analysierte Authentifizierungsmechanismen und identifizierte potenzielle Schwachstellen. Dies geschah gleichzeitig bei mehreren Zielen, wobei die KI für jede Kampagne separate Kontexte verwaltete. In einem erfolgreichen Fall entdeckte Claude beispielsweise interne Dienste, kartierte die Netzwerktopologie über mehrere IP-Bereiche hinweg und fand Systeme wie Datenbanken oder Plattformen zur Workflow-Orchestrierung.
In der dritten Phase folgten die Erkennung und Überprüfung von Schwachstellen. Claude generierte auf die entdeckten Schwachstellen zugeschnittene Angriffs-Payloads, testete sie über Remote-Schnittstellen und analysierte die Antworten. So identifizierte Claude beispielsweise eine SSRF-Schwachstelle, untersuchte Techniken zu deren Ausnutzung, erstellte eine eigene Exploit-Kette und überprüfte sie über Callback-Systeme. Nach der Sammlung von Beweisen dokumentierte Claude die Ergebnisse zur menschlichen Überprüfung, bevor die aktive Ausnutzung genehmigt wurde.
Die vierte Phase konzentrierte sich auf das Sammeln von Zugangsdaten und die Bewegung innerhalb des Netzwerks. Claude extrahierte systematisch Zertifikate aus Konfigurationen, testete die gestohlenen Daten in den entdeckten Systemen und kartierte die Zugriffsebenen. So testete Claude beispielsweise die Authentifizierung gegenüber internen APIs, Datenbanksystemen, Container-Registries und der Logging-Infrastruktur.
Die fünfte Phase umfasste die Datenerfassung und die Gewinnung nachrichtendienstlicher Erkenntnisse. Claude fragte selbstständig Datenbanken ab, extrahierte Daten, analysierte sie zur Identifizierung proprietärer Informationen und kategorisierte sie nach ihrem Wert. In einem Fall extrahierte Claude Passwort-Hashes und Kontodetails, identifizierte hochprivilegierte Konten, erstellte eine persistente Backdoor und lud die Ergebnisse zur weiteren Analyse herunter.
Die sechste Phase umfasste die Dokumentation. Claude generierte automatisch strukturierte Markdown-Dateien mit Details zu den entdeckten Diensten, den gestohlenen Daten und dem gesamten Angriffsverlauf, wodurch die Übergabe des Zugriffs an weitere Teams erleichtert wurde.
Technische Raffinesse des Angriffs
Die Angreifer stützten sich überwiegend auf Open-Source-Tools für Penetrationstests, darunter Netzwerkscanner, Frameworks zur Ausnutzung von Datenbanken, Passwort-Cracker und Toolsets zur Binäranalyse. Sie orchestrierten diese Tools über ein eigenes Automatisierungs-Framework mit MCP-Servern, die Remote-Befehle, Browserautomatisierung und die Überprüfung von Schwachstellen ermöglichten.
Dennoch übertrieb Claude gelegentlich die Ergebnisse oder erfand Daten, indem er beispielsweise behauptete, nicht funktionierende Zugangsdaten erhalten zu haben, oder öffentlich zugängliche Informationen als kritische Entdeckungen einstufte. Diese KI-Halluzination beeinträchtigte die Effizienz der Operation und machte Überprüfungen erforderlich.
Reaktion von Anthropic
Nach der Entdeckung des Angriffs sperrte Anthropic die relevanten Konten und führte Verbesserungen der Abwehrmaßnahmen ein, darunter den Ausbau der Erkennungsfähigkeiten für neue Bedrohungsmuster und die Entwicklung von Prototypen für Systeme zur frühzeitigen Erkennung autonomer Angriffe. Das Unternehmen teilte Informationen mit Behörden, Partnern und betroffenen Organisationen.
Dieser Angriff knüpft an frühere Erkenntnisse vom Juni 2025 über „Vibe Hacking“ an, bei dem Angreifer mit kompromittierten VPNs für den internen Zugriff begannen, Menschen jedoch weiterhin stark beteiligt waren. Im August 2025 berichtete Anthropic, wie Kriminelle mit minimalen technischen Kenntnissen Claude zur Entwicklung und Bereitstellung von Ransomware, zur Durchführung von Erpressungskampagnen und zur Organisation betrügerischer Beschäftigungsmodelle einsetzten. Die Erkennung umfasste Verhaltensanalysen, Anomalieerkennung und Musterabgleiche für eine verdächtige API-Nutzung und Jailbreaking-Versuche.
Anthropic betont, dass die KI-Fähigkeiten, die solche Angriffe ermöglichen, auch für die Verteidigung von entscheidender Bedeutung sind. Das Threat-Intelligence-Team des Unternehmens nutzte Claude zur Analyse der Daten aus dieser Untersuchung.
Quelle: assets.anthropic.com
