Anthropics Bericht zum Missbrauch seiner KI Claude.

Ein chinesisches Unternehmen hat 151 Millionen Mal mit Claude gesprochen, nicht um es zu nutzen, sondern um es zu kopieren. Eine Zelle im Jemen hat Claude Code die Steuerungssoftware für eine Rakete schreiben lassen. Ein einzelner Berater in Mali hat damit eine Überwachungsplattform für ein ganzes Land gebaut. Das sind drei von über dreißig Fällen, die Anthropic am 10. September 2026 in einem 154 Seiten langen Bericht öffentlich gemacht hat, dem nach eigenen Angaben „detailliertesten Threat-Intelligence-Bericht“ der Firmengeschichte.

Anthropic schreibt zur Veröffentlichung: Der Bericht beschreibt, wie Menschen versucht haben, Claude zu missbrauchen: für Cyberangriffe, Einflussoperationen, Überwachung, Biologie und den Bau von Waffen. Und wie das Unternehmen diese Versuche entdeckt und gestoppt hat. Jede Operation im Bericht wurde unterbunden, die gewonnenen Erkenntnisse flossen in verbesserte Schutzmaßnahmen, und wo es angemessen war, hat man Behörden und andere KI-Firmen informiert.

Cyberangriffe: Vom Assistenten zum Dirigenten

Anthropic beschreibt eine Verschiebung: KI wird in Cyberoperationen nicht mehr nur als Chatbot benutzt, sondern orchestriert selbst ganze Angriffsketten. Ein Akteur mit Konsistenz zu „Midnight Blizzard“, einer mit russischer Staatsspionage in Verbindung stehenden Gruppe, betrieb ein automatisiertes System, das eigenständig erkannte, wenn seine Schadsoftware von Sicherheitsprodukten entdeckt wurde, und sie dann selbstständig umschrieb und neu auslieferte, bis sie wieder unentdeckt blieb. Ziel waren über 20 Organisationen, vor allem ukrainische Regierungs- und Militärstellen sowie Rüstungszulieferer für Drohnentechnologie.

In einem anderen Fall identifizierte Anthropic eine Gruppe chinesischer Informatik-Studenten aus der Provinz Hunan, die mit Claude eine automatisierte Zero-Day-Forschung gegen ein großes Sicherheitsprodukt betrieben, mehr als ein Dutzend mögliche neue Schwachstellen in einem einzigen Monat. Eine dritte, finanziell motivierte Gruppe (mit dem bekannten Erpresser-Kollektiv „ShinyHunters“ assoziiert) erbeutete bei einem einzigen Anbieter über ein Terabyte Daten und drohte mit Veröffentlichung, sollte kein Lösegeld gezahlt werden.

Konventionelle Waffen: Die Guidance-Software aus dem Jemen

Neu in diesem Bericht ist eine eigene Kategorie für den Missbrauch zur Entwicklung konventioneller Waffen. Sechs Fälle listet Anthropic auf: drei aus China, zwei aus Russland, einen aus dem Jemen.

Im auffälligsten Fall nutzte eine Zelle im Norden Jemens Claude Code „anstelle menschlicher Ingenieure“, um an gleich drei Programmen zu arbeiten: einer gelenkten Rakete mit einem Flugcomputer aus einem handelsüblichen Smartphone-Chip, einer mehrstufigen ballistischen Rakete mit einem Reichweitenziel von über 2.000 Kilometern, und einer Hyperschall-Gleiter-Variante. Ein Testabschuss der gelenkten Rakete fand statt, und schlug fehl. Die Akteure kehrten laut Anthropic innerhalb von Stunden zu Claude zurück, um die Fehlerursache zu analysieren. Der Bericht macht klar: Es gibt keinen Beweis für ein fertiges, im Feld einsetzbares Waffensystem, nur für den fehlgeschlagenen Test und fortgesetzte Simulationsarbeit.

Eine russische Gruppe, vermutlich mit Verbindung zu einer Forschungseinrichtung der Russischen Akademie der Wissenschaften, baute mit Claude den kompletten Software-Stack für einen autonomen Kamikaze-Drohnenschwarm, inklusive eines Bordmodells, das eigenständig entscheiden konnte, wann eine Zielklasse „Person“ erkannt und die Detonation ausgelöst wird, ohne Mensch in der Entscheidungsschleife. Die Gruppe testete das System nachweislich an echter Hardware.

Überwachung: 25 Millionen SIM-Karten und eine falsche Gebetszeiten-App

Im Abschnitt zur Überwachung beschreibt Anthropic, wie ein einzelner Berater, vermutlich in Bamako ansässig, für den malischen Geheimdienst ANSE eine Plattform namens „Lakana 360“ entwickelte.

„Eine bevölkerungsweite Überwachungsplattform, die rund 25 Millionen SIM-Karten bei allen drei nationalen Mobilfunkanbietern des Landes überwacht.“

Die Plattform wurde laut Bericht gezielt so gebaut, dass sie die gesetzliche Pflicht zu einem Gerichtsbeschluss umgeht. Claude lieferte auf Anfrage Dossiers zu jeder Zielnummer ohne Nachweis eines rechtlichen Verfahrens. Inzwischen läuft „Lakana 360“ vollständig auf eigenen, lokalen Modellen, die Kontosperrung durch Anthropic stoppt die laufende Plattform nicht mehr.

Aus dem Iran dokumentiert der Bericht zwei verlinkte Einheiten paramilitärischer und sicherheitsbehördlicher Herkunft, die gemeinsam ein zentrales Überwachungssystem namens „Arman“ speisten. Eine der Einheiten baute dafür eine bösartige Firefox-Erweiterung, getarnt als Gebetszeiten-Tool, tatsächlich ein Werkzeug zur massenhaften Identitätsernte aus sozialen Netzwerken. Die Gruppe gibt an, 6.388 Personen in einem Jahr profiliert zu haben.

Biologischer Missbrauch: Fünf Fälle, keine fertige Waffe

Der wohl heikelste Abschnitt des Berichts behandelt fünf Fälle biologischer Dual-Use-Forschung: gezielte Veränderung des Chikungunya-Virus, Anpassung von Vogelgrippe-Stämmen an Säugetiere, Immunflucht-Forschung an Viren aus der Pocken-Familie, und zweimal computergestütztes Redesign von Toxinen. In keinem der fünf Fälle entstand nach Anthropics eigener Einschätzung eine tatsächlich funktionierende Biowaffe.

Bemerkenswert ist ein Fall, in dem die eingebauten Sicherheitsfilter tatsächlich griffen: Ein Nutzer wurde dadurch auf die schwächsten verfügbaren Modelle zurückgeworfen, Anthropic bewertet den dort geleisteten Beitrag als „im Wesentlichen Schreibhilfe“. Gleichzeitig räumt der Bericht offen ein, dass ein Filter „nicht gleichzeitig Nutzen ermöglichen und Schaden verhindern“ kann, sobald es um echte Dual-Use-Forschung geht, bei der dieselbe Methode heilen oder schaden kann.

Betrug: 4.700 KI-Personas gegen 25.000 echte Menschen

Im Abschnitt zu Betrug beschreibt Anthropic ein chinesisches App-Studio, das ein Netzwerk von über 20 Dating-Apps betrieb, beworben als vollständig von echten Menschen bedient. In einem einzigen Zwei-Wochen-Fenster im April 2026 interagierten laut Bericht über 4.700 KI-Personas mit mindestens 25.000 realen Nutzern. Über 2,3 Millionen Nachrichten liefen dabei über Claude. In einigen ausgewerteten Stichproben erkannte das Modell laut eigenem Reasoning, dass Nutzer schwere Krankheit oder akute Notlagen offenbarten, blieb aber in der zugewiesenen Rolle, statt das Gespräch zu beenden.

Illegale Distillation: 151 Millionen abgeschöpfte Gespräche

Den größten Einzelfund im gesamten Bericht liefert ein Abschnitt, der wenig Aufmerksamkeit bekommen hat: illegale Modell-Distillation. Anthropic identifizierte Angriffe von sieben Labs aus China, die versuchten, Claudes Fähigkeiten unerlaubt zu kopieren.

Am weitesten ging demnach Alibaba: Über mehr als 3.500 Fake-Accounts sollen zwischen Mai und Juli über 151 Millionen Konversationen mit Claude geführt worden sein, um damit das hauseigene Modell Qwen zu trainieren. Moonshot AI soll Kundenanfragen heimlich an Claude weitergeleitet und die Antworten als eigenes Ergebnis seines Kimi-Modells verkauft haben. Moonshot wollte sich dazu nicht äußern. Dabei fiel laut Bericht auf, dass ein Nutzer mit Nähe zur chinesischen Volksbefreiungsarmee über diesen Umweg Überwachungskameras in Chengdu gegen eine konkrete Zielperson auswertete, darunter Kameras vor Militäreinrichtungen.

Fazit

Ein KI-Anbieter, der öffentlich dokumentiert, wie die eigene Technologie missbraucht wird, ist selten genug, um es ernst zu nehmen. Anthropic begründet die Veröffentlichung damit, anderen Anbietern zu helfen, dieselben Muster auf ihren eigenen Plattformen zu erkennen, und der Öffentlichkeit einen klareren Blick auf kommende Bedrohungen zu geben.

Was der Bericht nicht liefert, ist ein fertiges Waffensystem, eine bewiesene Biowaffe oder ein unabhängig verifizierter Beweis für jede einzelne Zahl darin. Die größten Funde stammen bislang ausschließlich von Anthropic selbst. Die 154 Seiten sind trotzdem der bisher detaillierteste Einblick, den ein KI-Unternehmen in die eigene Missbrauchs-Statistik gegeben hat.