Cathedral-Hack bei Anthropic: KI-Agenten drangen in unter 12 Stunden ein

Am 26. Oktober berichtete die Washington Post, wie KI-Agenten des Startups Cathedral in weniger als 12 Stunden einen Weg in die internen Systeme von Anthropic fanden. Nicht über Claude, sondern über externe Vertriebs-, HR- und IT-Software, die das Unternehmen nutzt. Der Anthropic-Hack durch Cathedral lief im Rahmen von Anthropics Programm zur Meldung von Schwachstellen, und jetzt streiten beide Seiten darüber, wie weit die Agenten gekommen sind.

Wie kamen die Agenten von Cathedral zu Anthropic hinein?

Laut dem Bericht von Decrypt, der sich auf einen Entwurf des Cathedral-Berichts stützt, der der Washington Post vorliegt, lief es so ab:

1. Mehrere Tage lang versuchten die Agenten, direkt in die Software von Anthropic einzudringen, und das gelang ihnen nicht.
2. Dann wechselten sie das Ziel zu Tools von Drittanbietern: Verwaltungs- und Vertriebs-Apps, die auch viele andere Firmen verwenden.
3. Auf diesem Weg fanden sie in weniger als 12 Stunden Pfade zu sensiblen Daten.

Die Agenten von Cathedral erledigen mehrstufige Aufgaben, ohne dass ein Mensch jeden Schritt freigibt. Die Anbieter, über deren Systeme sie hineinkamen, wurden bisher nicht genannt.

Was fanden sie, und was ist laut Anthropic nicht passiert?

Hier gehen die Versionen auseinander. Im Bericht von Cathedral stehen Pfade zu Meeting-Transkripten, Gehaltsdaten und Jobangeboten sowie zu Slack-Nachrichten über die fortschrittlichsten Modelle von Anthropic.

Anthropic bestätigte den Zugriff auf einen „begrenzten“ Teil (im Original „limited set“) seiner Vertriebs-, HR- und IT-Systeme, in denen Kontaktdaten einiger Kunden und Partner sowie grundlegende Daten von Nutzerkonten lagen. Laut dem Unternehmen erreichten die Forscher weder Gespräche von Kunden mit Claude noch Quellcode oder Modellgewichte.

Laut Anthropic erfasste das eigene Monitoring einen Teil der Aktivität von Cathedral, bevor das Startup sie meldete, und das Unternehmen sperrte den Zugriff noch am selben Tag. Die betroffenen Apps wurden abgeschaltet, bis die Anbieter Korrekturen bestätigten. Laut dem Unternehmen deutet nichts darauf hin, dass jemand außer Cathedral diese Lücken ausgenutzt hat.

Worum geht der Streit?

Um zwei Dinge. Erstens um die Regeln des Programms. Laut Anthropic hat Cathedral nicht seine gesamte Aktivität offengelegt und sich damit nicht vollständig an die Regeln gehalten. Im Berichtsentwurf heißt es dagegen, der Datenzugriff sei auf das „absolute Minimum, im Einklang mit bewährten Praktiken der Sicherheitsforschung“ beschränkt worden (im Original „kept to the absolute minimum in accordance with security research best practices“).

Zweitens um das Ausmaß der Bedrohung. Der Bericht kursiert bereits in der US-Regierung. Ein anonymer hochrangiger Beamter sagte der Washington Post, wenn „ein Haufen Kids, die gerade eine Firma gegründet haben“, das schaffen, dann seien „die Chinesen womöglich nicht weit dahinter“ (im Original „If a bunch of kids who have just started a company can do this… then potentially, the Chinese aren’t far behind“). Laut Anthropic übertreibt Cathedral die Bedeutung dieser Erkenntnisse für die nationale Sicherheit.

Wer ist Cathedral?

Ein sehr junges Unternehmen, vor wenigen Monaten von vier ehemaligen DOGE-Mitarbeitern gegründet. Im Juli sammelte es 160 Mio. USD bei einer Bewertung von 1,4 Mrd. USD ein (Zahlen aus dem Bericht von Decrypt). Laut Digital Trends hat es bereits Cybersicherheitsverträge mit Bundesbehörden.

Ist das etwas Neues in der KI-Welt?

Der Einstieg über löchrige Tools von Drittanbietern ist ein Klassiker. Neu ist, dass KI-Agenten die Arbeit erledigt haben, in wenigen Stunden, bei einem Unternehmen, das selbst einige der stärksten Modelle baut und sehr viel über den Schutz seiner Gewichte spricht. Wie wir wissen, steht im am 26. Oktober veröffentlichten S-1-Prospekt von Anthropic, dass das Unternehmen das Pre-Training eines neuen Modells um mehr als einen Monat verschoben hat, gerade um den Schutz der Gewichte zu verstärken (ich habe über den Prospekt und die Anthropic-Aktie geschrieben).

Es ist auch ein weiteres Beispiel aus derselben Reihe wie der KI-Hackerangriff mit der Plattform Cairn: Agenten finden das schwächste Glied schneller, als ein Mensch die Liste der Anbieter durchgehen könnte.

Nehmen wir das Ganze mit Vorsicht. Der Bericht von Cathedral wurde nicht veröffentlicht, und seinen Inhalt kennen wir nur aus zweiter Hand. Die Version von Anthropic wiederum stammt von der Seite, die einen Grund hat, den Vorfall kleinzureden - daher zwei so unterschiedliche Listen dessen, was die Agenten „gesehen“ haben.

Worauf sollten wir künftig achten?

1. Der schwächste Punkt war nicht das Modell, sondern ganz normales SaaS. Wer Agenten und API-Schlüssel absichert, sollte genauso die Berechtigungen in HR-, CRM- und IT-Tools prüfen.
2. Das Monitoring hat nur teilweise funktioniert. Laut Anthropic erfasste das Monitoring einen Teil der Aktivität von Cathedral, nicht alles.
3. Agenten verkürzen die Dauer eines Angriffs. Wenn ein junges Startup das in 12 Stunden geschafft hat, werden weniger freundliche Gruppen das wahrscheinlich auch können.

Praktische Schritte für eigene Agenten habe ich im Ratgeber zur Sicherheit von KI-Agenten beschrieben.

FAQ

Hat Cathedral Claude gehackt?

Nein. Laut Anthropic und Presseberichten kamen die Agenten über externe Business-Apps hinein, und Gespräche mit Claude, Quellcode und Modellgewichte wurden nicht kompromittiert.

War das ein Hackerangriff?

Nein, es war autorisierte Sicherheitsforschung im Rahmen von Anthropics Programm zur Meldung von Schwachstellen. Der Streit dreht sich darum, ob Cathedral sich an alle Regeln gehalten hat.

Sind Daten von Claude-Nutzern geleakt?

Laut Anthropic erreichten die Forscher Kontaktdaten einiger Kunden und Partner sowie grundlegende Kontodaten, aber nicht den Inhalt von Gesprächen. Das Unternehmen hat keine Belege dafür, dass jemand anderes dieselben Lücken ausgenutzt hat.