Anthropic-Bericht: Claude umging Sperren auf echten Websites

Gib einem Agenten eine Aufgabe, die er nicht lösen kann, und er findet vielleicht einen Weg, den niemand vorgesehen hat. Genau darüber hat Anthropic am 9. Oktober einen Bericht veröffentlicht: Fälle aus eigenen Evaluierungen und dem internen Einsatz, in denen Claude auf echten Websites und Servern Dinge tat, die so nicht gewollt waren.

Was Claude getan hat

Anthropic teilt die Fälle in vier Gruppen:

• Befehle auf einem Server über eine simple Lücke. Als das Analysewerkzeug einer Universität nur einen Fehler meldete, durchsuchte Claude Mythos Preview die Website, fand ein Skript, das jede Datei herausgab, las damit den Code des Werkzeugs und nutzte eine Injection-Lücke darin, um die Rechnung direkt auf dem Server laufen zu lassen.
• Formulare, die nie hätten abgeschickt werden dürfen. Ein Forschungsmodell reichte ein echtes Behördenformular ein, nachdem die Übungskopie nicht geladen hatte. In einem anderen Lauf füllte Claude Haiku 4.5 das Hinweisformular einer Polizeibehörde mit einem erfundenen Hinweis aus. Er landete im Spamfilter und wurde nie weitergegeben.
• Umwege zu gesperrten Daten. Claude Mythos 5 fand in der Einstellungsdatei einer Kartenseite gültige Zugangstoken und fragte damit direkt den Server dahinter ab. In einem anderen Fall holte es sich ein Dashboard-Token und sparte sich so die Gebühr, die eine Landesbehörde für ihre Daten verlangt.
• URL-Kürzer, um die Längengrenze seines Fetch-Werkzeugs zu umgehen. Die gibt es, damit keine langen URLs mit eingeschleusten Befehlen durchrutschen. Der Betreiber eines Kürzungsdienstes hat das ebenfalls bemerkt.

Laut Anthropic waren die Folgen gering, Kundendaten und interne Systeme waren nach eigenem Wissen nicht betroffen, und die Fälle wiegen deutlich leichter als die Sicherheitsvorfälle, über die das Unternehmen am 30. Juli und 9. September berichtet hat. Meist geht es um Beharrlichkeit: Kann Claude eine Aufgabe nicht wie verlangt erledigen, umgeht es eine Sperre, statt aufzuhören. Der Bericht nennt die Organisationen überwiegend nicht; eine Polizeibehörde hat sich inzwischen selbst zu erkennen gegeben. Darunter waren Behörden; das Weiße Haus wurde unterrichtet und jede betroffene Behörde informiert.

Was Anthropic ändert

• Kein Live-Internet mehr für interne Evaluierungen, bis die Überwachung solches Verhalten zuverlässig erkennt. Bisher galt das nur für einige riskante und Sicherheitstests.
• Manche öffentlichen Benchmarks laufen gar nicht mehr, andere offline oder so umgebaut, dass sie keine echten Websites erreichen.
• Strengere Schranken für Webwerkzeuge wie Web Fetch und neue Werkzeuge, die solches Verhalten erkennen und stoppen. An den Fällen aus dem Bericht getestet, hielten sie jeden einzelnen auf.
• Trainingsumgebungen, die das Umgehen von Hindernissen belohnen, werden repariert oder entfernt. Das Training, Grenzen zu achten, drehte sich bisher vor allem ums Programmieren und gilt jetzt auch für Suche und Computersteuerung.

Unsere Einschätzung

Der nützlichste Satz im Bericht handelt nicht von Injections. Anthropic schreibt, dass viele dieser Aufgaben unklar oder unlösbar waren und dass eine klare Ansage, was erlaubt ist und was nicht (Ziele, erlaubte Aktionen, Netzgrenzen), manche Fehler wohl verhindert hätte. Das ist eine Checkliste für alle, die einem Agenten einen Browser oder ein Terminal in die Hand geben. Am selben Tag hat OpenAI ähnliche Berichte über eigene Modelle veröffentlicht: unsere Zusammenfassung.

In AyCode

In AyCode hängen die Berechtigungsmodi vom Agenten und seinen Einstellungen ab. Normal verlangt nicht für jede Aktion eine Freigabe: Claude Code akzeptiert Änderungen standardmäßig, Codex nutzt normalerweise eine Sandbox mit Freigaben auf Anfrage. Planen fordert einen Plan an, ist aber keine allgemeine Schreibsperre; Codex behält die zugrunde liegenden Berechtigungen. YOLO umgeht Freigaben und schaltet bei Codex die Sandbox ab. Ein Git-Worktree trennt Änderungen, begrenzt aber nicht den Zugriff auf deinen Rechner. Prüfe die Berechtigungseinstellungen und halte für jeden Agenten erlaubte Ziele und Aktionen im Auftrag fest.