Anthropic dokumentiert die wachsende Rolle von KI bei Cyberkriminalität, Überwachung, Betrug und Waffenentwicklung

Anthropic hat böswillige und verbotene Einsatzformen künstlicher Intelligenz dokumentiert, die von Cyberangriffen über die Überwachung der Bevölkerung, Einflusskampagnen und Verbraucherbetrug bis hin zur militärischen Entwicklung reichen. Die beobachteten Aktivitäten fanden zwischen Dezember 2025 und August 2026 statt und betrafen mutmaßlich staatlich unterstützte Akteure, finanziell motivierte Kriminelle, Überwachungsdienstleister und politisch motivierte Personen.

Die zentrale Veränderung ist eher operativer als technischer Natur. Angreifer verzichten nicht auf Phishing, gestohlene Zugangsdaten, exponierte Dienste oder SQL Injection. Stattdessen nutzen sie KI, um diese etablierten Methoden zu schnelleren, kostengünstigeren und zunehmend automatisierten Abläufen zu verbinden.

Laut den Bedrohungsanalysen von Anthropic führten KI-Systeme Befehle in Umgebungen von Opfern aus, sammelten Zugangsdaten, verarbeiteten gestohlene Daten und entfernten Informationen aus kompromittierten Netzwerken. Einige Multi-Agenten-Konfigurationen führten gleichzeitig Aufklärung, Exploitation und Datendiebstahl bei mehreren Opfern durch und arbeiteten stunden- oder tagelang mit nur begrenztem menschlichem Eingreifen.

Der Diebstahl von Zugangsdaten wird zur Produktionspipeline

Ein finanziell motivierter Akteur, der unter den Aliasnamen MeowSHA, frkoo und blazespider bekannt ist, baute ein verteiltes System zur Suche und Ausnutzung exponierter Zugangsdaten auf.

Die Infrastruktur nutzte 10 AWS-EC2-Worker, um 1,8 Millionen verschiedene Android-Anwendungspakete aus mehreren App-Store-Quellen herunterzuladen. Anschließend dekompilierte sie diese Pakete und durchsuchte sie mit TruffleHog, einem Tool zur Identifizierung von Geheimnissen in Quellcode und anderen Daten.

Validierte Funde wurden in Echtzeit an eine Telegram-Gruppe übermittelt, die in mehr als 100 Quellkategorien unterteilt war. Ein separater Prozess sammelte E-Mail-Adressen, die mit GitHub-Organisationen verknüpft waren, und beschaffte GitHub Personal Access Tokens. Zusammen lieferten die beiden Zugangsdatenströme das Material für den Erstzugriff bei den meisten bestätigten, dem Akteur zugeschriebenen Kompromittierungen.

Das Volumen ist beträchtlich, doch die Architektur ist wichtiger. Die Suche nach Anwendungen, der Abruf von Paketen, die Dekompilierung, die Erkennung von Geheimnissen, die Validierung von Zugangsdaten und deren Weiterleitung waren als kontinuierliche Pipeline organisiert und nicht als Abfolge manueller Aufgaben.

Diese Struktur ermöglicht es einer relativ kleinen Operation, einen riesigen Softwarebestand zu durchsuchen und einen Fehler eines Entwicklers rasch in nutzbaren Zugriff umzuwandeln. Fest im Code hinterlegte Cloud-Schlüssel, Repository-Tokens und Dienstzugangsdaten können so kurz nach ihrer Entdeckung als Material für einen Eindringversuch dienen.

Anthropic beschrieb außerdem bösartige Tools, die gestohlene Tokens gegen Microsoft-Dienste wiederverwendeten, Postfachinhalte einschließlich gelöschter Nachrichten abriefen und den Datenverkehr wie legitime Aktivitäten von Microsoft-Clients aussehen ließen. Claude soll zur Entwicklung und Erprobung der betreffenden Tools eingesetzt worden sein.

Produktversionsbereiche oder CVE-Kennungen wurden nicht genannt. Diese Operationen nutzten vor allem exponierte Geheimnisse, gestohlene Tokens und etablierte Angriffstechniken aus, nicht eine neu entdeckte Softwareschwachstelle.

KI-Agenten verbinden mehrere Phasen eines Eindringens

Die beschriebenen Fälle gehen über die KI-gestützte Codegenerierung hinaus. Modelle waren an erheblichen Teilen der Angriffskette beteiligt: Aufklärung, Tool-Entwicklung, Ausnutzung von Schwachstellen, Befehlsausführung, das Sammeln von Zugangsdaten, Persistenz, Datenverarbeitung und Exfiltration.

Multi-Agenten-Frameworks sind besonders folgenreich. Betreiber können verschiedene KI-Instanzen einzelnen Aufgaben zuweisen und parallel arbeiten lassen – ähnlich wie ein herkömmliches Angriffsteam die Verantwortlichkeiten unter Spezialisten für Aufklärung, Exploitation und Analyse aufteilen würde.

Dadurch wird die Aktivität nicht vollständig unabhängig. Menschen legen weiterhin die Ziele fest, stellen die Infrastruktur bereit und greifen ein, wenn Urteilsvermögen oder Zugriffsrechte erforderlich sind. Ein KI-System, das Befehle ausführen, Antworten prüfen und den nächsten Schritt anpassen kann, reduziert jedoch die Zahl der Personen, die für den Betrieb einer solchen Operation benötigt werden.

Die grundlegenden Einstiegspunkte bleiben bekannt. Zu den Beobachtungen von Anthropic gehörten gestohlene Zugangsdaten, exponierte internetseitige Dienste, verwundbare Edge-Geräte, Phishing und SQL Injection. Verteidiger sollten KI-gestützte Kriminalität nicht als Grund verstehen, herkömmliche Schutzmaßnahmen zu ersetzen. Die unmittelbare Folge besteht vielmehr darin, dass vernachlässigte Kontrollen nun schneller und gegen mehr Ziele getestet und umgangen werden können.

Es gibt keine einzelne Malware-Signatur und keinen einzelnen Netzwerkindikator, die diese Aktivitäten abdecken. Die Erkennung muss sich daher auf Verhaltensmuster stützen: parallele Scans, ungewöhnliche Befehlsfolgen, automatisierte Validierung von Zugangsdaten, lang anhaltende Interaktionen im Takt von Maschinen und eine Exfiltration, die kurz nach der Entdeckung erfolgt.

Überwachungsoperationen verbanden Analyse, Zielauswahl und Kontaktaufnahme

Anthropic identifizierte die Nutzung von Claude durch Akteure mit Verbindungen zu China, Iran und Westafrika sowie durch Beteiligte aus dem Bereich der kommerziellen Überwachung im Auftrag Dritter. Die Aktivitäten reichten von einzelnen Betreibern bis zu koordinierten Teams.

KI wurde eingesetzt, um Material aus sozialen Medien zu analysieren, Personen zu profilieren, Ziele auszuwählen, Geheimdienstberichte zu erstellen und Systeme zur Kommunikationsüberwachung zu entwickeln. In allen beschriebenen Überwachungsfällen verstieß das Vorgehen gegen Anthropics Regeln zu nicht einvernehmlicher Überwachung, Profiling und Verletzungen bürgerlicher Freiheiten. Die Betreiber versuchten außerdem, Schutzmaßnahmen zu umgehen, die solche Nutzungen erkennen sollten.

Ein Berater, der für malische Behörden für die nationale Sicherheit arbeitete, nutzte Claude bei der Entwicklung einer Plattform zur Massenüberwachung, mit der die Kommunikation über die Mobilfunkanbieter des Landes überwacht werden sollte. Das geplante System sollte zudem Dossiers über ausgewählte Ziele erstellen.

Iranische Betreiber entwickelten eine bösartige Firefox-Erweiterung, um Informationen über Nutzer sozialer Medien zu sammeln. Chinesische Betreiber nutzten KI, um große Mengen an Inhalten aus sozialen Medien zu verarbeiten, interessante Personen zu identifizieren und die Ergebnisse in Geheimdienstberichte zu überführen.

Eine weitere Operation richtete sich gegen uig urische Gemeinschaften in Syrien. Dem Akteur fehlten die erforderlichen Arabischkenntnisse. Daher formulierte Claude dialektgerechte Nachrichten, übersetzte Antworten in Echtzeit und schlüpfte in die Rolle eines Experten, der das Vorgehen bewertete. Außerdem bereitete das System die gesammelten Informationen für einen mutmaßlichen menschlichen Fallbearbeiter auf.

Dies veranschaulicht eine umfassendere Ausweitung der Fähigkeiten. KI beschränkt sich nicht darauf, abgefangenes Material nach der Sammlung zu sortieren. Sie kann auch bei der Auswahl von Zielen, mehrsprachiger Kontaktaufnahme, sozialer Manipulation und der Erstellung unmittelbar nutzbarer Dossiers helfen.

Synthetische Personas skalierten Betrug und staatlich verknüpfte Einflussnahme

Ein in China ansässiges App-Studio nutzte Claude, um Personas auf mehr als 20 Dating-Apps zu betreiben, obwohl die Dienste damit beworben wurden, ausschließlich echte Menschen zusammenzubringen.

In einem zweiwöchigen Zeitraum im April 2026 identifizierte Anthropic mehr als 4.700 verschiedene KI-Personas, die mit mindestens 25.000 einzigartigen Personen kommunizierten. Das System erzeugte in diesem Zeitraum rund 2,36 Millionen Nachrichten.

Menschliche Mitarbeiter unterstützten die Täuschung durch Videoanrufe und Interaktionen in sozialen Medien, wenn mehr Glaubwürdigkeit erforderlich war. Die Operation unterhielt etwa drei KI-Personas pro realer Person, sodass eine begrenzte Zahl von Mitarbeitern Tausende gleichzeitig bestehender Beziehungen überwachen konnte.

Eine separate Einflussoperation wurde mit hoher Wahrscheinlichkeit Regierungsvertretern der Vereinigten Arabischen Emirate zugeschrieben. Sie nutzte KI, um rund 300 unauthentische Social-Media-Konten zu unterstützen und eine als Nichtregierungsorganisation auftretende Fassade aufzubauen, die auf der Identität einer echten Gruppe beruhte.

Die Betreiber erstellten Material, das als unabhängiges Engagement für Menschenrechte dargestellt wurde, und verfassten im Namen anderer Stellungnahmen für den UN-Menschenrechtsrat. Außerdem erstellten sie Profile von 18 Mitgliedern des Europäischen Parlaments und Journalisten und bereiteten Dossiers über UN-Sonderberichterstatter vor, die das Vorgehen der Vereinigten Arabischen Emirate im Sudan kritisiert hatten.

Beide Fälle nutzen dasselbe Personalmodell für unterschiedliche Ziele. KI pflegt eine große synthetische Population, während Menschen selektiv bei strategischen Entscheidungen oder Interaktionen eingreifen, die stärkere Belege für Authentizität erfordern.

Claude Code unterstützte Arbeiten an Raketen, Drohnen und Marinesystemen

Anthropic dokumentierte sechs Fälle, in denen es um Waffenentwicklung, Beschaffung oder das Sammeln von Informationen in China, Russland und Jemen ging. Zu den Themen gehörten gelenkte Raketen, die Simulation ballistischer Flugkörper, Torpedoabwehrtechnik, autonome Drohnenschwärme, die Zielerfassung in der elektronischen Kriegsführung und gerichtete Energiewaffen.

Eine Zelle im Norden Jemens arbeitete an drei Programmen: einer gelenkten Rakete mit einem handelsüblichen Flugcomputer der Smartphone-Klasse, einer mehrstufigen ballistischen Rakete mit einer angegebenen Reichweitenvorgabe von über 2.000 km sowie einer Raketenfamilie „R2000“, zu der auch eine Variante mit Hyperschall-Gleitflugkörper gehörte.

Die Gruppe nutzte Claude Code für Software zur Flugführung, Navigation und Steuerung. Separate Modellinstanzen übernahmen Programmierung, Recherche und Code-Review. Nach einem Test der gelenkten Rakete unter realen Bedingungen nutzten die Betreiber das Modell zur Analyse des Fehlschlags.

Anthropic konnte nicht feststellen, dass die jemenitischen Akteure einer terroristischen Organisation angehörten, und fand keinen bestätigten Terroranschlag, bei dem Claude eingesetzt wurde. Die Sorge ist enger gefasst, aber dennoch ernst: KI kann Betreiber dabei unterstützen, verfügbare Komponenten zu integrieren, Fehler zu beheben und technische Aufgaben zu erledigen, für die ansonsten mehr spezialisiertes Personal erforderlich wäre.

Ein in China ansässiger Akteur nutzte Claude, um Software und einen mehr als 200 Seiten umfassenden technischen Vorschlag für ein Torpedoabwehrsystem zu erstellen, einschließlich Vergleichen mit Marinesystemen der Vereinigten Staaten. Der Betreiber forderte das Modell wiederholt auf, seine eigene Arbeit als adversarialer Experte zu kritisieren.

In Russland unterstützten Claude Code und eine Simulationsinfrastruktur die Arbeit an einem autonomen FPV-Drohnenschwarm. Weitere Fälle betrafen elektronische Kriegsführung, die Unterdrückung der Luftverteidigung und das Sammeln von Informationen zu Systemen mit gerichteter Energie.

Verteidiger benötigen Kontrollen für Identitäten, Endpunkte und KI-Dienste

Organisationen sollten bei den Schwachstellen ansetzen, die in diesen Operationen tatsächlich ausgenutzt werden. Geheimnisse müssen in Quellcode-Repositories, Android-Paketen, Build-Artefakten und bereitgestellten Anwendungen gesucht werden. Exponierte GitHub-Tokens, Cloud-Schlüssel, Dienstzugangsdaten und Microsoft-Sitzungsartefakte sollten widerrufen und ersetzt werden.

Phishing-resistente Multifaktor-Authentifizierung kann den Wert gestohlener Passwörter begrenzen. Verteidiger müssen jedoch auch die Wiederverwendung von Tokens einschränken. Die Überwachung von Microsoft-Postfächern sollte ungewöhnliche Client-Fingerprints, das Abrufen gelöschter Nachrichten, unmögliche Reisebewegungen und Zugriffsmuster erkennen, die nicht dem normalen Nutzerverhalten entsprechen.

Cloud-Teams sollten EC2-Flotten untersuchen, die in großem Umfang Pakete herunterladen, automatisierte Dekompilierung oder anhaltende Scans nach Geheimnissen durchführen. Die Sicherheitsüberwachung kann außerdem nach Telegram-basierten Übermittlungskanälen, bösartigen Firefox-Erweiterungen und der unbefugten Sammlung von Daten aus sozialen Medien suchen.

Auf Netzwerk- und Endgeräteebene sollten verhaltensbasierte Erkennungen Multi-Agenten-Aufklärung, maschinell getaktete Befehlsausführung, parallele Exploitation und autonome Aktivitäten abdecken, die über längere Zeit fortgesetzt werden. Schutzmaßnahmen der Anbieter bleiben sinnvoll. Die dokumentierten Versuche, Anthropics Kontrollen zu umgehen, zeigen jedoch, dass sie nicht die einzige Verteidigungsebene sein können.

Untersuchungen zu Einflussnahme und Betrug erfordern andere Signale: koordinierte unauthentische Konten, wiederkehrende narrative Strukturen, synthetische Personas, Tarnorganisationen und massenhaft produzierte Stellungnahmen. Sensible diplomatische, wahlbezogene und menschenrechtliche Kommunikation sollte einer Herkunftsprüfung und einer inhaltlichen Kontrolle durch Menschen unterzogen werden.

KI ersetzt etablierte Angriffsmethoden nicht. Sie verwandelt sie in integrierte, skalierbare Operationen – und ermöglicht es kleineren Gruppen, wie deutlich größere Akteure aufzutreten.