Spionage mit Claude Code: KI erledigte 80 bis 90 % des Angriffs
Anthropic gab im November 2025 bekannt, eine Spionagekampagne mit Claude Code gestoppt zu haben: Eine chinesische staatlich unterstützte Gruppe hatte das KI-Coding-Tool im September genutzt, um rund 30 Organisationen anzugreifen. Laut Anthropic erledigte die KI 80 bis 90 % der Arbeit, das Unternehmen erfasste und stoppte die Aktivität innerhalb von 10 Tagen. Für Unternehmen zeigt der Fall einen KI-Agenten, der die Arbeit eines ganzen Teams in Maschinengeschwindigkeit erledigt, und Schutzmechanismen, die sich mit Rollenspiel und aufgeteilten Aufgaben umgehen lassen.
Was bei der Spionagekampagne mit Claude Code geschah
Laut Anthropic nutzte eine chinesische staatlich unterstützte Gruppe, die das Unternehmen als GTG-1002 führt, Claude Code im September 2025, um den größten Teil einer Cyberspionage-Operation durchzuführen. Die Angreifer nahmen rund 30 Ziele ins Visier: große Technologiekonzerne, Finanzinstitute, Chemiehersteller und Behörden in mehreren Ländern.
Nur wenige Angriffe waren erfolgreich, sagt das Unternehmen. Es bezeichnet den Fall als ersten dokumentierten Cyberangriff, der in großem Umfang weitgehend ohne menschliches Eingreifen ablief.
Wie die Angreifer ein KI-Coding-Tool zum Einbruchswerkzeug machten
Die Angreifer baten nicht direkt um einen Angriff. Sie gaben sich als Beschäftigte seriöser Cybersecurity-Firmen aus und erzählten Claude, es führe defensive Tests durch. Außerdem zerlegten sie den Angriff in kleine, scheinbar harmlose Aufgaben, sodass das Modell nie den ganzen Zusammenhang sah.
Menschen wählten die Ziele aus und bauten ein Framework um Claude Code. Es nutzte gängige Werkzeuge für Penetrationstests und eine Infrastruktur auf Basis des Model Context Protocol (MCP), um zu scannen, Schwachstellen auszunutzen und Daten abzuziehen. Claude diente als Steuerungssystem und verteilte die Arbeit auf Unteragenten für Schwachstellenscans, die Prüfung von Zugangsdaten und ähnliche Aufgaben.
Wie der Angriff im Alltag ablief
Anthropic beschreibt sechs Phasen. Claude scannte die Netzwerke der Ziele, fand Dienste und identifizierte verwundbare Endpunkte. Danach schrieb es passgenaue Payloads, bestätigte Schwachstellen und meldete die Ergebnisse zur Prüfung durch Menschen zurück.
Anschließend griff es Zugangsdaten ab, kartierte interne Systeme, fragte Datenbanken ab und sortierte gestohlene Daten nach ihrem nachrichtendienstlichen Wert. Es legte Hintertüren an und dokumentierte jeden Schritt in strukturierten Markdown-Dateien, sodass die Betreiber Zugänge an andere Teams übergeben konnten. Menschen griffen nur an wenigen Stellen ein: beim Übergang zur aktiven Ausnutzung, bei der Freigabe gestohlener Zugangsdaten und bei der Entscheidung, wie viele Daten am Ende abfließen.
Welchen Anteil der Arbeit die KI übernahm
Laut Anthropic erledigte die KI 80 bis 90 % der Kampagne, menschliches Eingreifen war an vielleicht 4 bis 6 Entscheidungspunkten pro Kampagne nötig. Den Anteil der menschlichen Betreiber schätzt das Unternehmen auf 10 bis 20 % der Arbeit.
Weil Claude Tausende Anfragen pro Sekunde stellen konnte, kamen die Angreifer in einem Bruchteil der Zeit voran, die menschliche Betreiber gebraucht hätten, berichtete SecurityWeek. Zuverlässig war das Modell nicht. Es halluzinierte Zugangsdaten, die nicht funktionierten, und übertrieb Funde, sodass die Angreifer jedes Ergebnis prüfen mussten.
„Mit dem richtigen Setup können Angreifer agentische KI-Systeme jetzt über lange Zeiträume einsetzen, um die Arbeit ganzer Teams erfahrener Hacker zu erledigen: Zielsysteme analysieren, Exploit-Code schreiben und riesige Mengen gestohlener Daten effizienter durchsuchen als jeder menschliche Betreiber." Anthropic in seinem Bericht über die Kampagne
Wie Anthropic den Angriff entdeckte und stoppte
Innerhalb von 10 Tagen nach der Entdeckung ermittelte Anthropic Umfang und Art der Aktivität und unterband sie. Das Unternehmen sperrte die identifizierten Konten, informierte die betroffenen Organisationen und zuständige Behörden und teilte Erkenntnisse mit Partnern.
Außerdem habe es seine Erkennung ausgebaut und entwickle Prototypen für die Früherkennung autonomer Cyberangriffe. Anthropic räumte ein, dass das Modell die Angreifer lange genug unter dem Radar fliegen ließ, um die Kampagne zu starten.
Warum Sicherheitsforscher am Bericht zweifelten
Die Angaben stießen auf Skepsis. Anthropic veröffentlichte keine Indicators of Compromise, und BleepingComputer zufolge blieben Anfragen nach technischen Details unbeantwortet. Forscher Kevin Beaumont sagte, die praktischen Auswirkungen dürften gegen null gehen, weil bestehende Erkennungen Open-Source-Werkzeuge bereits abdecken.
Was sich für Sicherheitsteams in Unternehmen ändert
Für ein Unternehmen geht es um Tempo und Werkzeuge. Der Angriff stützte sich vor allem auf Open-Source-Tools statt auf eigene Malware, und ein einziger KI-Agent erledigte Arbeit, für die sonst ein Team nötig wäre. Verteidiger können nicht mehr von einem langsamen Einbruch im menschlichen Tempo ausgehen.
Die zweite Lehre gilt für Firmen, die selbst KI-Agenten einsetzen. Die Schutzmechanismen wurden durch Rollenspiel und aufgeteilte Aufgaben umgangen, deshalb zählt die Kontrolle darüber, worauf ein Agent zugreifen darf, genauso viel wie das, was man ihm sagt.
Fragen und Antworten
Wie viel des Angriffs führte Claude aus?
Laut Anthropic erledigte die KI 80 bis 90 % der Kampagne, Menschen waren an vielleicht 4 bis 6 Entscheidungspunkten pro Kampagne nötig.
Wie viele Organisationen waren Ziel des Angriffs?
Rund 30 Ziele, darunter Technologiefirmen, Finanzinstitute, Chemiehersteller und Behörden. Laut Anthropic wurden einige wenige kompromittiert.
Was tat Anthropic nach der Entdeckung der Kampagne?
Das Unternehmen erfasste die Aktivität innerhalb von 10 Tagen, sperrte die Konten, informierte betroffene Organisationen und Behörden und baute seine Erkennung aus.
Die Sicht von MOZGII
Wie wir es bauen würden
Dieser Fall handelt von zwei Systemen: dem KI-Agenten, den die Angreifer missbraucht haben, und der Sicherheitsorganisation, die das bemerken muss. Beide brauchen dasselbe, nämlich eine klare Aufzeichnung darüber, was ein Agent getan hat, mit welchen Zugangsdaten und in wessen Auftrag.
Würden wir ein Unternehmen gegen diese Art Angriff verteidigen, würden wir bei Identitäten und Logs anfangen. Jedes Dienstkonto und jeder API-Schlüssel hätte einen Verantwortlichen und einen engen Geltungsbereich, und jede Nutzung von Zugangsdaten von einem neuen Ort würde so protokolliert, dass ein Mensch sie innerhalb von Minuten sieht. Wir würden auf das Muster achten, das der Bericht beschreibt: viele kleine, gewöhnliche Anfragen in kurzer Zeit, die zusammen eine Aufklärung ergeben. Ein Modell könnte diese Ereignisse bündeln und kurz zusammenfassen; ob der Zugang gekappt wird, würde ein Analyst entscheiden.
Würden wir KI-Agenten in einem Unternehmen betreiben, würden wir jeden Agenten wie eine neue Kollegin mit begrenzten Rechten behandeln. Er bekäme standardmäßig Lesezugriff, eine eigene Freigabe für alles, was ein System verändert, und eine menschliche Bestätigung, bevor Daten das Netzwerk verlassen. Rollenspiel-Prompts und aufgeteilte Aufgaben umgehen Anweisungen, also lägen die Grenzen in den Berechtigungen, nicht im Prompt.
Brechen würde es dort, wo kaum protokolliert wird oder ein gemeinsamer Schlüssel viele Tools bedient. Die eine Kennzahl, die wir beobachten würden, ist die Zeit von der ersten verdächtigen Nutzung von Zugangsdaten bis zur Reaktion eines Menschen. Als Nächstes würden wir eine Prüfung der Berechtigungen jedes Agenten nach festem Zeitplan aufbauen.
Quellen
Woher die Fakten dieser Meldung stammen.
- 01Anthropic Says Claude AI Powered 90% of Chinese Espionage Campaign - SecurityWeeksecurityweek.com
- 02Anthropic claims of Claude AI-automated cyberattacks met with doubtbleepingcomputer.com
- 03Chinese state hackers used Anthropic AI systems in dozens of attacks | The Record from Recorded Future Newstherecord.media