Anthropic Claude Threat Report offenbart ein China-Zugangsparadox
Anthropic zufolge nutzten mit China verbundene Akteure Claude in mindestens fünf Militär-, Überwachungs- und KI-Trainingsprogrammen, bevor das Unternehmen ihre Konten sperrte. Der Anthropic Claude Threat Report beschreibt Software zur Unterdrückung von Taiwans Luftverteidigung, einen Vorschlag für ein Anti-Torpedo-System und 151 Millionen mit Alibaba verbundene Interaktionen.
Diese Vorwürfe führen zu einer unbequemen Umkehrung. Chinesische Unternehmen bewerben zunehmend leistungsfähige heimische Modelle, während einige Forscher und kommerzielle Labore Berichten zufolge weiterhin auf ein eingeschränkt verfügbares amerikanisches System zurückgriffen. Die Aktivitäten beschränkten sich nicht auf Fragen. Claude soll beim Schreiben von Software, der Erstellung von Beschaffungsunterlagen, der Automatisierung von Geheimdienst-Workflows und der Produktion von Trainingsmaterial für konkurrierende Modelle geholfen haben.
Anthropic veröffentlichte den Bericht am 10. September 2026; er behandelt bemerkenswerten Missbrauch, der zwischen Dezember 2025 und August 2026 festgestellt wurde. Die Erkenntnisse sind detailliert, bleiben jedoch Erkenntnisse von Anthropic. Das Unternehmen kontrolliert die Kontodaten, Erkennungssysteme und Belege hinter den meisten Zuschreibungen. Das macht den Bericht wichtig, ohne jede Schlussfolgerung unabhängig zu belegen.
Was Anthropic nach eigenen Angaben stoppte
Die zentrale Veränderung besteht darin, dass Claude angeblich nicht mehr nur militärische Fragen beantwortete, sondern bei der Erstellung operativer Software und von Beschaffungsunterlagen half.
Der folgenreichste Fall betraf einen in China ansässigen Akteur, den Anthropic als Forscher im Verteidigungs- und militärisch-industriellen Bereich einschätzte. Kontometadaten und markierte Inhalte deuteten auf Verbindungen zu chinesischen Forschungseinrichtungen hin, darunter der Akademie der Militärwissenschaften der Volksbefreiungsarmee.
Laut Anthropics Threat Report vom September nutzte dieser Akteur die Chat-, Coding- und Agent-Tools von Claude, um etwa 16 Softwaremodule zu entwickeln. Das Paket unterstützte elektronische Kriegsführung und die Unterdrückung gegnerischer Luftverteidigung.
Elektronische Kriegsführung nutzt das elektromagnetische Spektrum, um Radar- und Kommunikationssysteme zu erkennen, zu stören oder zu täuschen. Die Unterdrückung gegnerischer Luftverteidigung umfasst die Identifizierung und Beeinträchtigung von Systemen, die angreifende Flugzeuge bedrohen könnten.
Anthropic zufolge unterstützte Claude die Logik des Systems, die Benutzeroberfläche, Radarberechnungen, Störmodelle, Schwachstellenanalysen und chinesischsprachige Zielanweisungen. Der Akteur soll zwölf Versionen durchlaufen haben, statt einen einzelnen experimentellen Entwurf zu erstellen.
Das Paket analysierte Radarstandorte, Boden-Luft-Raketenbatterien, Kommandoposten und Kommunikationsknoten. Es berechnete Erfassungsabdeckungen, schätzte die Wirksamkeit von Störungen, priorisierte Ziele und verteilte Störflüge über simulierte, mehrtägige Kampagnen.
Anthropic zufolge änderte der Akteur die Standardsimulation während der Entwicklung. Das neue Szenario enthielt 12 Ziele in Taiwan, darunter ein Frühwarnradar, Kommandoeinrichtungen, wichtige Luftwaffenstützpunkte sowie Patriot- und Tien-Kung-Batterien.
Die Software modellierte zudem Einsatzbereiche im Zusammenhang mit Patriot- und THAAD-ähnlichen Systemen. Anthropic warnte jedoch, dass die Häufigkeit von Verweisen in wiederhergestellten Gesprächen den Fokus des Akteurs zeige, nicht eine bestätigte operative Fähigkeit.
Diese Unterscheidung ist wichtig. Ein Modell kann überzeugenden Code oder Analysen erzeugen, die dennoch unzuverlässig, unvollständig oder für den Einsatz ungeeignet sind. Anthropic berichtete nicht, dass die Software in den Militärdienst übernommen wurde, reale Waffen steuerte oder unabhängige operative Tests bestand.
Der Akteur betrieb zudem ein selbst gehostetes Modell in einem internen Netzwerk und verband die Software über eine Tool-Schnittstelle damit. Dies deutet auf einen Versuch hin, den Workflow über den direkten Zugang zu Claude hinaus aufrechtzuerhalten.
Ein zweiter, in China ansässiger Fall konzentrierte sich auf Unterwasserkriegsführung. Anthropic zufolge nutzte ein Akteur Claude, um eine chinesischsprachige Spezifikation für ein Feuerleitsystem zur Torpedoabwehr zu entwerfen. Feuerleitung ist die Logik, die bestimmt, wo und wann eine Defensivwaffe eine eingehende Bedrohung bekämpfen sollte.
Derselbe Akteur erstellte Berichten zufolge einen technischen Vorschlag von mehr als 200 Seiten und eine begleitende Managementpräsentation. Zudem verglich er das vorgeschlagene System mit öffentlich beschriebenen Anti-Torpedo- und U-Boot-Abwehrprogrammen der US Navy.
Anthropic schätzte den Akteur als mit einem chinesischen Rüstungshersteller verbunden ein, der eine Spezifikation und einen Beschaffungsvorschlag für die Marine der Volksbefreiungsarmee vorbereiten wollte. Eine Zuordnung zu einer namentlich genannten Person oder Organisation war nicht möglich.
Claude soll sowohl als Autor als auch als Kritiker gedient haben. Nach jedem Entwurf wies der Akteur das Modell an, die Rolle eines kritischen technischen Gutachters einzunehmen. Die daraus resultierende Kritik floss in spätere Überarbeitungen ein.
Das Unternehmen erklärt, Claude habe auch beim Aufbau von Teilen der Feuerleitsoftware und einer Testmatrix geholfen. Anthropic sperrte das Konto wegen Verstößen gegen seine Regional- und Waffenrichtlinien und integrierte Erkenntnisse der Untersuchung anschließend in zusätzliche Schutzmaßnahmen.
Keiner der militärischen Fälle belegt, dass Claude eigenständig eine funktionsfähige Waffe entworfen hat. Zusammengenommen zeigen sie jedoch, warum allgemeine Coding- und Dokumententools sensibel werden, wenn Nutzer sie mit spezialisiertem Fachwissen verbinden.
Warum der Anthropic Claude Threat Report wichtig ist
Anthropics Belege deuten darauf hin, dass Frontier-KI den Arbeitsaufwand rund um Militärprojekte verdichten kann, selbst wenn sie keine neue Waffe erfindet.
Die Waffenentwicklung erfordert mehr als eine entscheidende wissenschaftliche Erkenntnis. Teams müssen Spezifikationen schreiben, Vorschläge prüfen, Szenarien modellieren, Compliance-Anforderungen dokumentieren, Software testen, Präsentationen vorbereiten und Beschaffungen organisieren.
Diese unterstützenden Aufgaben beanspruchen Expertenzeit. Ein Modell, das sie beschleunigt, kann die Leistung eines kleinen Teams steigern, ohne selbst einen einzelnen Durchbruch beizutragen.
Anthropics separate Tests zu Waffenfähigkeiten kamen zu einer ähnlichen Schlussfolgerung. Die Forscher stellten fest, dass Frontier-Modelle einige simulierte Geheimdienst- und Waffenaufgaben ausführen konnten, die historisch knappen Spezialisten vorbehalten waren.
Die Bewertungen umfassten taktische Zielerfassung und die Entwicklung konventioneller Waffen. Anthropic berichtete von konsistenten Fortschritten der Modelle, setzte Benchmark-Leistung jedoch nicht mit zuverlässiger Einsatzfähigkeit gleich.
Diese Lücke zwischen Unterstützung und Autonomie ist entscheidend. Der Bericht beschreibt nicht, dass Claude beschloss, Taiwan anzugreifen, oder eigenständig nach einem militärischen Kunden suchte. Menschliche Betreiber wählten die Ziele aus, lieferten den Kontext, verlangten Überarbeitungen und versuchten, die Ergebnisse zu integrieren.
Die Rolle des Modells war dennoch erheblich. Es soll fragmentierte Anweisungen in Code, Simulationen, formatierte Vorschläge und wiederholbare Workflows überführt haben. Das sind die Artefakte, die ein Projekt von einer Idee in Richtung Bewertung bewegen.
Damit verändert sich die Sicherheitsfrage für KI-Anbieter. Ein Ablehnungssystem, das sich auf ausdrückliche Anfragen zum Waffenbau konzentriert, kann Projekte übersehen, die in gewöhnlich wirkende Aufgaben aufgeteilt sind.
Eine Unterhaltung könnte Radarabdeckung betreffen. Eine andere könnte nach Code für eine Benutzeroberfläche fragen. Eine dritte könnte eine Beschaffungspräsentation oder eine kritische Prüfung eines technischen Dokuments verlangen.
Einzeln betrachtet können diese Anfragen wie legitime Forschung, Softwareentwicklung oder technische Redaktion wirken. Ihr schädlicher Zweck wird erst deutlich, wenn ein Anbieter Aktivitäten über Sitzungen, Konten, Dateien und Infrastruktur hinweg miteinander verknüpft.
Damit wird Überwachung zu einer architektonischen Anforderung statt zu einem abschließenden Filter um Modellantworten. Anbieter benötigen Systeme, die anhaltendes Projektverhalten erkennen können, ohne jeden technischen Nutzer als verdächtig zu behandeln.
Anthropic erklärt, die militärischen Aktivitäten durch interne Untersuchungen wegen mutmaßlicher Waffenentwicklung entdeckt zu haben. Das Unternehmen sperrte die zugehörigen Konten und aktualisierte seine Schutzmaßnahmen. Die zugrunde liegenden Transkripte oder ausreichend kontobezogene Belege für externe Ermittler, um die Zuschreibungen nachzuvollziehen, hat das Unternehmen nicht veröffentlicht.
Der Bericht setzt daher zwei Gruppen zugleich unter Druck. Frontier-Labore müssen zeigen, dass ihre Kontrollen über lange, fragmentierte Workflows hinweg funktionieren. Regierungen müssen entscheiden, ob freiwillige Durchsetzung durch Anbieter für nationale Sicherheitsrisiken ausreicht.
Die Fälle erschweren zudem Annahmen über Exportkontrollen. Beschränkungen können den offiziellen Zugang zu fortgeschrittenen amerikanischen Modellen begrenzen, entschlossene Nutzer können jedoch betrügerische Konten, Vermittler, Routing-Dienste oder nicht offengelegte Drittanbieterintegrationen einsetzen.
Zugangspolitik erzeugt weiterhin Reibung. Sie gewährleistet jedoch keine Abschottung.
Sobald ein Workflow in lokale Software verpackt wurde, verliert der ursprüngliche Anbieter weiteren Einfluss. Anthropic kann Konten schließen, aber weder Code noch Dokumente oder Datensätze, die bereits in eine externe Umgebung übertragen wurden, aus der Ferne löschen.
Chinas heimische KI-Stärke trifft auf Abhängigkeit von ausländischen Modellen
Die schärfste Umkehrung des Berichts besteht darin, dass Organisationen, die chinesische KI-Systeme entwickeln oder bedienen, angeblich für Fähigkeiten, die sie nachbilden wollten, von Claude abhängig waren.
China verfügt über eine große heimische KI-Industrie, angeführt von Unternehmen wie Alibaba, DeepSeek, Moonshot AI, Zhipu AI und Xiaomi. Ihre Modelle konkurrieren bei Coding, Reasoning, Verbraucherassistenten und Unternehmenseinsätzen.
Dennoch erklärt Anthropic, fünf in China ansässige Technologieunternehmen hätten unerlaubte Distillation-Kampagnen gegen Claude durchgeführt. Model Distillation ist ein Trainingsprozess, bei dem die Ausgaben eines Modells dazu beitragen, ein anderes System zu trainieren.
Distillation selbst ist eine Standardtechnik des maschinellen Lernens. Die Kontroverse betrifft die Art und Weise, wie die Ergebnisse beschafft wurden, ob Kontobeschränkungen umgangen wurden und ob Nutzer wussten, dass ihre Anfragen an anderer Stelle verarbeitet wurden.
Laut dem Bericht erzeugten mit Alibaba verbundene Konten von Mai bis Juli 2026 mehr als 151 Millionen Claude-Interaktionen. Die Aktivität soll sich 3 Millionen Interaktionen pro Tag genähert und mehr als 3.500 Konten umfasst haben, die Anthropic als betrügerisch einstufte.
Anthropic bezeichnete die Operation als die größte von ihm gemessene Distillation-Kampagne. Den Angaben zufolge zielten die Interaktionen auf Fähigkeiten wie Coding, agentisches Reasoning und Logik für Arbeiten im Zusammenhang mit Alibabas Qwen-Modellen.
Die Behauptung wurde nicht unabhängig anhand interner Unterlagen von Alibaba überprüft. Öffentliche Berichte über die Distillation-Ergebnisse stützen sich ebenfalls hauptsächlich auf Anthropics Zuschreibung und Messungen.
Anthropic ordnete Moonshot AI von Mai bis Juli mehr als 23 Millionen Interaktionen zu. Während eines Zeitraums von zehn Tagen soll Moonshot fast 300.000 Kundenanfragen über 5.380 betrügerische Konten weitergeleitet haben.
Dem Bericht zufolge präsentierte Moonshot von Claude erzeugte Antworten teilweise als Kimi-Antworten, ohne Nutzer darüber zu informieren. Anthropic verband außerdem mehr als 12 Millionen Interaktionen innerhalb von zwei Wochen im Juli mit DeepSeek.
Zhipu erzeugte Berichten zufolge über 17 Tage im Juni und Juli mehr als 3,4 Millionen Interaktionen. Die Kampagne von Xiaomi war mit etwa 400.000 Interaktionen kleiner, soll jedoch Gespräche und Coding-Sitzungen von MiMo-Nutzern wiederholt abgespielt haben.
Diese Anschuldigungen verlagern die Frage über den Wettbewerb zwischen Modell-Benchmarks hinaus. Wenn ein Dienst Prompts stillschweigend an einen anderen Anbieter weiterleitet, verlieren Kunden die Kontrolle darüber, wohin ihre Informationen gelangen.
Anthropic zufolge stammte eine über Moonshot weitergeleitete Anfrage von einem Nutzer, den das Unternehmen als mit der PLA verbunden einschätzte. Die Anfrage betraf die Analyse von Überwachungsaufnahmen von Hunderten Kameras in Chengdu.
Eine weitere, angeblich über DeepSeek weitergeleitete Anfrage legte aktive Zugangsdaten für eine Datenbank der russischen Regierung offen. Diese Beispiele weisen auf ein anderes Risiko als das Kopieren von Modellen hin: sensible Kundeninformationen überschreiten ohne informierte Einwilligung organisatorische und nationale Grenzen.
Die zentrale Wettbewerbsspannung besteht nicht einfach zwischen amerikanischen und chinesischen Modellen. Sie liegt zwischen eingeschränktem Zugang und einer anhaltenden Nachfrage nach Fähigkeiten, die Nutzer nur schwer ersetzen zu können glauben.
Anthropics Bewertungen ergaben, dass die getesteten chinesischen Open-Weight-Modelle bei bestimmten simulierten Aufgaben zu Nachrichtendiensten und Waffen hinter seinen Frontier-Systemen zurückblieben. Laut dem Unternehmen zeigten diese Modelle dennoch besorgniserregende Fähigkeiten.
Dadurch entsteht eine instabile Übergangsphase. Inländische Systeme können zunehmend wertvolle Arbeit leisten, während der Zugang zu einem leistungsstärkeren ausländischen Modell die Entwicklung beschleunigen oder Fähigkeitslücken schließen kann.
Destillation kann diese Lücken verkleinern. Sie kann zudem nützliches Verhalten in Systeme übertragen, die Anthropic weder überwachen noch beschränken oder deaktivieren kann.
Das Ergebnis ähnelt einem einseitigen Sicherheitsproblem. Anbieter müssen genügend Fähigkeiten offenlegen, um legitime Kunden zu bedienen, doch jede erfolgreiche Interaktion kann zu einem Beispiel für ein anderes Modell werden.
Der Bericht legt einen Sicherheitskonflikt offen, keinen eindeutigen Sieg
Anthropic entdeckte schwerwiegenden Missbrauch, doch eine Erkennung erst nach umfangreicher Arbeit ist ein Hinweis sowohl auf defensive Sichtbarkeit als auch auf unvollständige Prävention.
Dem Unternehmen ist zugutezuhalten, ungewöhnlich konkrete Fallstudien veröffentlicht zu haben. Es beschrieb Arbeitsabläufe, Kontomuster, Vertrauensgrade, Modellrollen und Gegenmaßnahmen, statt nur allgemeine Warnungen auszusprechen.
Anthropic erklärt, alle mit den offengelegten Überwachungsoperationen verbundenen Konten gesperrt zu haben. Zudem setzte das Unternehmen neue Klassifikatoren ein, verstärkte die Überwachung und integrierte Ermittlungsergebnisse in spätere Schutzmaßnahmen.
Dennoch begrenzt das berichtete Ausmaß jede Siegesbehauptung. Eine Targeting-Suite mit 12 Versionen und ein 200-seitiger Militärvorschlag erforderten anhaltende Interaktion. Eine Destillationskampagne mit 151 Millionen Austauschen stellt industrielle Aktivität dar, keinen kurzen Richtlinienverstoß.
Der Zeitpunkt der Entdeckung ist nicht klar genug, um festzustellen, wie viel Arbeit die Schutzmaßnahmen verhinderten. Anthropic beschreibt die Unterbrechung von Konten, quantifiziert jedoch nicht, wie viele Ausgaben blockiert wurden, wie viele abgeschlossen wurden oder wie viele der daraus resultierenden Daten nutzbar blieben.
Auch die Zuschreibung verdient Prüfung. Anthropic nutzt Kontometadaten, Prompt-Inhalte, gemeinsame Infrastruktur, Arbeitszeiten, Spracheinstellungen und Verhaltensmuster, um Operationen mit Akteuren zu verknüpfen.
Diese Signale können eine belastbare Einschätzung stützen, ohne einen öffentlichen Beweis darzustellen. Betrügerische Konten, Proxys, gemeinsam genutzte Routing-Dienste und gezielte Identitätstäuschung können Aussagen über die Identität erschweren.
Für das auf Taiwan fokussierte Projekt bewertete Anthropic den Betreiber als mit chinesischen Forschungseinrichtungen verbunden, darunter der PLA Academy of Military Sciences. Es nannte weder eine Einzelperson noch eine Forschungseinheit, einen Auftragnehmer oder ein eingesetztes Militärprogramm.
Im Fall der Torpedoabwehr erklärte das Unternehmen ausdrücklich, die Aktivität keiner bestimmten Organisation oder keinem bestimmten Akteur zuschreiben zu können. Seine Schlussfolgerung, der Nutzer sei mit einem chinesischen Rüstungshersteller verbunden, bleibt eine Einschätzung.
Leser sollten zudem zwischen generiertem Output und validierter Fähigkeit unterscheiden. Sprachmodelle können schlüssig wirkende technische Texte erzeugen, die falsche Annahmen verbergen. Software, die in einer modellgestützten Simulation funktioniert, kann unter realem Sensorrauschen, unvollständigen Daten, gegnerischem Verhalten oder Hardwarebeschränkungen versagen.
Anthropics eigene Darstellung erkennt diese Einschränkung an. Sie beschreibt, was Nutzer versuchten, welche Materialien aus Gesprächen gesichert wurden und welche Unterstützung Claude leistete. Sie behauptet nicht, dass jedes Projekt erfolgreich war.
Unabhängige Berichterstattung liefert eine weitere nützliche Kontrolle. Die Berichterstattung über die umfassendere Offenlegung weist darauf hin, dass die Fälle ausgewählt wurden, weil sie bemerkenswert und neuartig waren, nicht weil sie die typische Nutzung von Claude repräsentierten.
Das Unternehmen sagte der Associated Press, es veröffentliche solche Fälle, weil Modellrisiken mit steigenden Fähigkeiten zunehmen würden. Diese Aussage unterstützt zugleich Anthropics bevorzugte politische Position: Anbieter von Frontier-Modellen benötigen stärkere Schutzmaßnahmen und umfassendere Zusammenarbeit.
Anthropic hat in dieser Debatte kommerzielle und regulatorische Anreize. Detaillierte Bedrohungsberichte können verantwortungsvolle Governance demonstrieren und zugleich Einschränkungen stützen, die für kleinere Wettbewerber oder Anbieter offener Modelle schwerer umzusetzen sind.
Das entkräftet die Belege nicht. Es bedeutet, dass politische Entscheidungsträger nach Bestätigung, standardisierten Offenlegungsregeln und vergleichbarer Berichterstattung anderer Anbieter suchen sollten.
Zudem besteht ein Spannungsfeld mit dem Datenschutz. Um ein Projekt zu erkennen, das über viele Gespräche hinweg zusammengestellt wurde, müssen Anbieter Muster untersuchen, die über einen einzelnen Prompt hinausgehen.
Sicherheitsteams benötigen ausreichende Sichtbarkeit, um gewöhnliche technische Arbeit von einem koordinierten Waffen-Workflow zu unterscheiden. Nutzer benötigen derweil klare Grenzen für Aufbewahrung, automatisierte Prüfung, menschlichen Zugriff und Zuschreibung.
Dieselben Telemetriedaten, die militärischen Missbrauch aufdecken, können sensible legitime Forschung oder Kundenaktivitäten offenlegen. Sicherheitsüberwachung muss daher einer unabhängigen Governance unterliegen, statt als unbegrenzte Ausnahme von Datenschutzanforderungen zu funktionieren.
Kontosperren schaffen ein weiteres unsicheres Ergebnis. Jacob Klein, Leiter der Threat Intelligence bei Anthropic, sagte Axios, Akteure wechselten manchmal zu offenen Modellen, wenn die Durchsetzung zu viel Reibung verursache.
Die berichteten Überwachungsfälle veranschaulichen dieses Problem. Eine mit der Regierung verbundene Operation kann Claude nutzen, um einen Workflow aufzubauen, und diesen Workflow anschließend lokal mit einem anderen Modell einsetzen.
Die Durchsetzung durch Anbieter bleibt notwendig, weil sie Kosten erhöht, den Zugang unterbricht und Erkenntnisse über Missbrauch erzeugt. Sie kann Fähigkeiten jedoch nicht eliminieren, wenn diese bereits über herunterladbare Modelle, kopierte Daten oder exportierte Software verbreitet wurden.
Destillation macht Modellzugang zu einem Lieferkettenrisiko
Die mutmaßlichen Destillationskampagnen verknüpfen Modellsicherheit, Kundendatenschutz und nationale Sicherheit über dieselbe verborgene Routing-Infrastruktur.
Ein gewöhnlicher Kunde erwartet, dass ein namentlich genannter KI-Dienst eine Anfrage nach den Richtlinien dieses Dienstes verarbeitet. Nicht offengelegtes Routing bricht diese Erwartung, indem es Anbieter, Vermittler und Speichersysteme hinzufügt, die der Kunde nicht ausgewählt hat.
Das Risiko wird schwerwiegender, wenn Prompts Quellcode, Überwachungsaufnahmen, Zugangsdaten, Unternehmensdateien oder Regierungsinformationen enthalten. Jeder Routing-Schritt erweitert die Zahl der Systeme, die das Material speichern oder analysieren können.
Anthropic zufolge nutzten einige chinesische Labore betrügerische Konten und Routing-Dienste Dritter, um Claude zu erreichen. Diese Mechanismen können die letztlich hinter dem Datenverkehr stehende Organisation verschleiern und Aktivitäten über viele Identitäten verteilen.
Dadurch entsteht eine Modelllieferkette, die Käufer nur schwer prüfen können. Die Oberfläche kann eine Marke tragen, während die Antwort teilweise oder vollständig vom Modell eines anderen Unternehmens stammt.
Unternehmen prüfen bereits, wo ihre Daten gespeichert werden und ob Anbieter sie für das Training verwenden. Sie müssen nun fragen, ob ein KI-Anbieter Prompts stillschweigend an externe Systeme sendet oder Kundeninteraktionen für die wettbewerbliche Modellentwicklung nutzt.
Vertragliche Zusicherungen allein sind schwach, wenn das technische Routing undurchsichtig bleibt. Käufer benötigen überprüfbare Modellherkunft, die festhält, welches System eine Anfrage verarbeitet hat und welche Unterauftragnehmer deren Inhalte erhielten.
Entwickler stehen bei der Einführung von Modell-Routern und Agent-Frameworks vor einem verwandten Problem. Ein Router kann Anbieter nach Kosten, Verfügbarkeit oder Leistung auswählen. Dieser Komfort kann regionale Beschränkungen und Unterschiede bei der Datenverarbeitung verschleiern.
Agent-Systeme verstärken die Gefährdung, weil sie Prompts mit Dateien, Zugangsdaten, Tools und dauerhaftem Projektkontext verbinden. Ein einzelner nicht offengelegter Modellaufruf kann weit mehr übertragen als die sichtbare Frage eines Nutzers.
Teams sollten beim Umgang mit sensiblem Material eigene Anfragelogs, Anbieterkennungen und Routing-Richtlinien aufbewahren. Eine durchsuchbare Engineering-Wissensdatenbank kann Prüfern helfen, Anforderungen und Entscheidungen nachzuverfolgen, ohne jedes interne Dokument in ein externes Modell zu kopieren.
Die nationale Sicherheitsdimension folgt derselben Architektur. Kann eine eingeschränkte Organisation über Tausende vermittelte Konten auf ein Frontier-Modell zugreifen, muss der Anbieter koordiniertes Verhalten erkennen, statt sich auf die Rechnungsidentität zu verlassen.
Dafür sind gemeinsame Indikatoren zwischen KI-Unternehmen, Infrastrukturanbietern und zuständigen Behörden erforderlich. Der Informationsaustausch muss jedoch technische Missbrauchssignale von unbestätigter politischer Zuschreibung unterscheiden.
Ein Routing-Dienst, der betrügerischen Datenverkehr verarbeitet, könnte den Zugang wissentlich ermöglichen oder keine Sichtbarkeit über seine Kunden haben. Ebenso können ähnliche Prompt-Muster auf Kopieren, Benchmarking, routinemäßige Entwicklung oder ein gemeinsames nachgelagertes Produkt hindeuten.
Anthropics Bericht stellt die Kampagnen aufgrund ihres Umfangs, ihrer Umgehungsmethoden und ihres offensichtlichen Trainingszwecks als unerlaubte Destillation dar. Externe Ermittler benötigen weiterhin mehr Belege zu organisatorischer Steuerung, Datenaufbewahrung und dazu, wie Outputs in konkrete Modell-Pipelines gelangten.
Die politische Reaktion sollte sich auf überprüfbares Verhalten konzentrieren. Nützliche Kontrollen umfassen authentifizierten organisatorischen Zugang, Analyse von Ratenmustern, Herkunftsaufzeichnungen, Offenlegung von Unterauftragsverarbeitern und durchsetzbare Beschränkungen gegen täuschendes Routing.
Breite Beschränkungen, die allein auf Nationalität beruhen, drohen Forscher und Entwickler ohne Verbindung zu den berichteten Kampagnen einzubeziehen. Sie können zudem mehr Aktivität in undurchsichtige Proxy-Märkte drängen.
Der eigentliche Wettbewerb besteht daher nicht allein zwischen geschlossenen und offenen Modellen. Er besteht zwischen nachvollziehbarem Zugang und nicht nachvollziehbarer Wiederverwendung.
Geschlossene Anbieter haben Einblick in Konten und können Nutzer sperren, sind jedoch attraktive zentralisierte Ziele für verdeckten Zugang. Offene Modelle verringern die Abhängigkeit von Remote-Diensten, doch ihre Betreiber können Fähigkeiten nicht zurückrufen oder nachgelagerte Einsätze beobachten.
Keine der beiden Strukturen beseitigt den Zielkonflikt. Der Anthropic-Claude-Bedrohungsbericht zeigt, wie Akteure beides kombinieren können: Sie nutzen einen überwachten Frontier-Dienst, um Daten, Code oder Workflows aufzubauen, die später in weniger sichtbare Systeme migrieren.
Was nach Anthropics Offenlegungen zu beobachten ist
Der nächste Test besteht darin, ob Anthropics Erkenntnisse messbare Veränderungen bei Zugang, Zuschreibung und anbieterübergreifenden Abwehrmaßnahmen bewirken.
Das erste Signal ist Bestätigung. Alibaba, Moonshot AI, DeepSeek, Zhipu AI, Xiaomi und die von Anthropic implizierten chinesischen Institutionen sollten konkrete Antworten zu Routing, Kontoinhaberschaft und Praktiken bei Trainingsdaten liefern.
Ein allgemeines Dementi würde die technischen Fragen ungelöst lassen. Aussagekräftige Belege wären Zugriffsprotokolle, Routing-Richtlinien, Lieferantenunterlagen, Kontrollen zur Datenaufbewahrung und unabhängige Audits.
Eine Bestätigung würde die zentrale Behauptung des Berichts stärken, dass die Abhängigkeit von Frontier-Modellen hinter Chinas heimischem KI-Ausbau fortbesteht. Glaubwürdige gegenteilige Belege würden Anthropics Zuschreibungen schwächen, ohne das umfassendere Zugangsproblem zu beseitigen.
Das zweite Signal ist, ob Anthropic und seine Wettbewerber vergleichbare Kennzahlen zur Durchsetzung veröffentlichen. Kontosperren allein verraten wenig über Prävention.
Anbieter sollten offenlegen, wie schnell Kampagnen erkannt wurden, welcher Anteil der Anfragen blockiert wurde und ob Angreifer erfolgreich über Konten hinweg migrierten. Sie sollten zudem erklären, wie neue Klassifikatoren bei legitimer militärnaher Forschung abschneiden.
Konsistente Berichte von OpenAI, Google, Microsoft und anderen Modellbetreibern würden zeigen, ob Anthropic ein branchenweites Muster dokumentiert hat oder ob die Aktivitäten ungewöhnlich stark auf Claude konzentriert waren.
Das dritte Signal sind regulatorische Maßnahmen rund um Modell-Routing und Herkunftsnachweise. Behörden könnten KI-Dienste dazu verpflichten offenzulegen, wenn Kundenprompts von einem anderen Anbieter verarbeitet oder für das Modelltraining gespeichert werden.
Solche Regeln würden kommerzielle Datenschutzrisiken angehen, ohne sich auf die umstrittensten militärischen Zuschreibungen zu stützen. Sie würden Unternehmenskäufern zudem eine klarere Grundlage für die Bewertung von KI-Anbietern geben.
Strengere Anforderungen an Herkunftsnachweise würden Anthropics Warnung stützen, dass verborgenes Routing ein Sicherheitsproblem ist. Eine eng gefasste Reaktion, die sich auf geopolitische Zugriffsverbote beschränkt, würde darauf hindeuten, dass politische Entscheidungsträger die Identität behandeln, während sie die Infrastruktur übersehen.
Die militärischen Fälle verdienen genaue Aufmerksamkeit, aber keine Sensationslust. Anthropic berichtete weder über eine autonome, von Claude gesteuerte Waffe noch über ein bestätigtes operatives Zielerfassungssystem. Das Unternehmen berichtete über eine anhaltende, von Menschen gesteuerte Nutzung von KI in den Bereichen Software, Analyse, Tests, Dokumentation und Beschaffung.
Das ist bereits bedeutsam. Moderne Institutionen sind auf diese arbeitsintensiven Ebenen angewiesen, und KI kann sie verdichten, bevor sie etwas erreicht, das autonomer Kriegsführung ähnelt.
Entwickler und Unternehmenskäufer sollten darauf reagieren, indem sie ihre eigenen Modell-Lieferketten prüfen. Fragen Sie, welche Modelle sensible Arbeit verarbeiten, welche Daten die Organisation verlassen und ob generierte Artefakte nach dem Export überprüfbar bleiben.
Die wichtigste Frage ist nicht, ob ein Anbieter eine Gruppe von Konten sperren kann. Sie lautet, ob die Branche nützlichen Zugang bewahren und zugleich koordinierten Missbrauch erkennen kann, bevor die daraus entstehende Software, Dokumente und Trainingsdaten ihrer Kontrolle entgleiten.
