Das Unternehmen Anthropic hat einen Bedrohungsbericht für September 2026 veröffentlicht, in dem ein beispielloses Ausmaß des Missbrauchs der Claude-Modelle offengelegt wird – von staatlicher Cyberspionage bis hin zum industriellen Diebstahl von KI-Fähigkeiten. Im Zentrum steht die Kampagne der Gruppierung GTG-20006, deren Attribution nach Einschätzung von Anthropic mit öffentlichen Berichten zu Midnight Blizzard (APT29/Cozy Bear) übereinstimmt. Die Gruppe baute eine automatisierte Pipeline auf, in der KI-Agenten die Erkennung bösartiger Artefakte durch Sicherheitsprodukte überwachten und das Tooling anschließend autonom neu zusammenstellten, um neue Signaturen zu umgehen. Parallel dazu identifizierte und stoppte Anthropic Kampagnen zur industriellen Distillation von Claude durch sieben chinesische Labore, darunter Alibaba, DeepSeek und Moonshot AI.
Automatische Neuzusammenstellung von Malware: So funktionierte die GTG-20006-Pipeline
Laut Anthropic richtete GTG-20006 einen vollständigen Zyklus ein, in dem KI in jeder Phase der Operation Aufgaben übernahm. Monitoring-Agenten prüften, ob Sicherheitsprodukte die ausgerollten Implantate erkannten. Sobald eine Erkennung auslöste, modifizierten und bauten die Agenten die Malware autonom neu, woraufhin die aktualisierten Artefakte auf Wegwerf-Servern bereitgestellt wurden, um sie den Opfern erneut per Phishing, ClickFix und DNS-Hijacking zuzustellen.
Das Tooling der Gruppe umfasste dem Bericht zufolge:
- Zwei Familien von Windows-Implantaten (PowerChrome, WUEngine, Shadow C2, MiniPlasma, CloudSyncSvc)
- Ein mobiles Exploit-Kit: GiftDrop (Android) und DarkSword (iOS)
- Ein Tool zum Diebstahl von Anmeldedaten aus Browser-Passwortspeichern
- Eine Phishing-Plattform, die staatliche Organisationen imitierte
- Eine Administrationskonsole zur Verwaltung kompromittierter Konten
Neben der Neuzusammenstellung der Malware wurden KI-Agenten auch für die Registrierung von Domains, die Konfiguration der Hosting-Infrastruktur und den Versand von Phishing-E-Mails eingesetzt sowie für das Monitoring der Command-and-Control-Kanäle (C2) auf erfolgreiche Kompromittierungen. Anthropic hebt zudem hervor, dass die Angreifer Hilfstools einsetzten, um Sicherheitsupdates auf den Rechnern der Opfer zu blockieren – damit neue Signaturen weder heruntergeladen noch angewendet wurden.
Dieser Ansatz verändert das Kosten-Nutzen-Verhältnis grundlegend: Wenn früher die Veröffentlichung neuer Erkennungen den Angreifer ausbremste, reduziert die automatische Neuzusammenstellung nun die Wirksamkeit statischer Signaturen auf ein Minimum. Für Verteidiger bedeutet das, wiederkehrende Mutationen von Artefakten mit Anzeichen für eine Blockierung von Updates auf Endpunkten zu korrelieren und sich nicht ausschließlich auf signaturbasierte Analysen zu verlassen.
Umfang und Ziele der Kampagne
Anthropic zufolge griff GTG-20006 mehr als 20 Organisationen an – Ministerien, Verteidigungs- und Nachrichtendienste, Botschaften, diplomatische Vertretungen, Thinktanks und Unternehmen der Verteidigungsindustrie, vorwiegend in der Ukraine und in Europa. Die Angriffe betrafen außerdem den Nahen Osten sowie staatliche Seebehörden in Asien.
Ein eigener Vektor war die Kompromittierung von mindestens drei Anbietern von Hotel-Wi-Fi. Mithilfe gestohlener administrativer Zugangsdaten modifizierten die Angreifer DNS-Einträge so, dass der Traffic der Gäste, Gerätekennungen und IP-Adressen auf Server der Gruppe umgeleitet wurden. Den Opfern wurden anschließend ClickFix-Köder präsentiert, mit der Zustellung von Malware, die an die jeweilige Geräteplattform angepasst war.
Anthropic berichtet außerdem von der Kompromittierung einer nordafrikanischen staatlichen Technologiebehörde mit der Exfiltration von mehr als 300.000 Datensätzen nationaler Personalausweise sowie kommerziellen Registerdaten von über einer halben Million Unternehmen. Darüber hinaus verschaffte sich die Phishing-Plattform Embassy Kit, die auf Token-Diebstahl über Device-Code-Phishing setzt, unautorisierten Zugriff auf Microsoft-365-Mailkonten von mindestens acht Organisationen, darunter einer militärischen Bildungseinrichtung und einer Staatsanwaltschaft.
Zu den weiteren Techniken zählen die Übernahme von WhatsApp-Konten über Headless-Browser durch Anbinden von Companion-Geräten und den massenhaften Export russisch- und ukrainischsprachiger Chats sowie die Ausnutzung von Schwachstellen in der Authentifizierung von Video-Streaming-Überwachungsdiensten, um Zugriff auf die Kameras der Opfer zu erhalten.
Indikatoren einer Kompromittierung
Anthropic veröffentlichte Netzwerk- und Host-Indikatoren der Kampagne. Unter den Domains:
- ms365-live[.]com, teams.ms365-live[.]com, m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com
- chamber-ua[.]org, chathamhouse[.]eu, ukrinform-share[.]net
- wa-connect[.]eu, wa-meeting[.]com, cdncounter[.]net
IP-Adressen: 104.145.210[.]184, 31.57.243[.]154, 104.194.151[.]133, 144.172.114[.]192, 213.145.86[.]112, 185.198.234[.]26, 185.198.234[.]101 und andere.
Datei-Hashes: be99857449d2856dd5a84e21c8a3d5e0e01456adb44062ddec5a6b4970d8d42c, 918fa52ae45ed60ba7cc8bdc99c3cbe9ab92e0375ec31fc05d0d4513be11c593.
Industrielle Distillation von Claude: sieben chinesische Labore
Der zweite große Teil des Berichts ist der illegalen Distillation gewidmet – der industriellen Extraktion von Modelfähigkeiten über massenhaftes Abfragen mit Fake-Accounts. Anthropic identifizierte seit Februar 2026 sechs Kampagnen:
- Alibaba (GTG-16005) – der größte dokumentierte Angriff: mehr als 151 Mio. Interaktionen in den Monaten Mai–Juli 2026, mit einem Spitzenwert von etwa 3 Mio. Anfragen pro Tag über mehr als 3.500 Fake-Accounts, die auf die Extraktion der Reasoning-Chains von Claude Opus 4.6 und 4.7 zielten
- Moonshot AI (GTG-16002) – leitete Anfragen von Nutzern des Kimi-Dienstes heimlich an Claude weiter, zeigte Claude-Antworten als eigene an und speicherte die Interaktionen parallel zum Training; in 10 Tagen fast 300.000 Anfragen über 5.380 Fake-Accounts
- DeepSeek (GTG-16001) – ein ähnliches Schema mit Umleitung von Nutzeranfragen, mehr als 12,1 Mio. Interaktionen in 14 Tagen
- Zhipu/Z.ai (GTG-16006) – mehr als 3,4 Mio. Interaktionen über 273 Fake-Accounts
- Xiaomi (GTG-16008) – mehr als 400.000 Interaktionen, Umleitung von Sitzungen aus den eigenen MiMo-Modellen
- SenseTime (GTG-16012) – Ankauf von Transkripten von Nutzerinteraktionen mit Claude über Dritt-Wiederverkäufer
- MiniMax (GTG-16003) – Aufbau eines eigenen Proxy-Netzes über ein vorgeschobenes Unternehmen
All diese Angaben stützen sich ausschließlich auf Ermittlungen von Anthropic und sind in frei zugänglichen Quellen nicht unabhängig bestätigt. Wir haben bereits darüber berichtet, wie KI-Labore in der Cybersicherheit konkurrieren – die aktuellen Vorwürfe verschärfen dieses Thema erheblich.
Zur Abwehr von Distillation-Angriffen hat Anthropic eine Reihe von Maßnahmen eingeführt: Sperrung von Accounts aus nicht unterstützten Regionen, verpflichtende Identitätsverifizierung, Zusammenfassung der internen Überlegungen des Modells vor Ausgabe der Antwort (damit gestohlene Transkripte für Trainingszwecke weniger nützlich sind) sowie den Mechanismus des „preserved thinking“ in Fable 5.1, der neuen API-Accounts verbietet, den Systemprompt und Kontext vor den Überlegungen von Claude zu verändern.
Weitere Bedrohungen im Bericht
Neben GTG-20006 und der Distillation dokumentiert der Bericht Dutzende weiterer Kampagnen – von chinesischen Studierenden, die Aufklärung in staatlichen Netzen im Nahen Osten und in Südostasien betrieben (GTG-10007), über iranische Akteure, die Plattformen für Massenüberwachung entwickelten, bis hin zu einem Operator aus Mali, der ein Abhörsystem für 25 Mio. SIM-Karten entwarf. Anthropic verhinderte zudem Versuche, Claude zur Konstruktion gelenkter Waffensysteme, von Anti-Torpedo-Systemen und autonomen FPV-Drohnen zu nutzen.
Empfehlungen für Verteidiger
Die im Bericht beschriebenen Zugangspfade von GTG-20006 reichen von Anmeldedatendiebstahl über Device-Code-Phishing und DNS-Hijacking bis hin zu bösartigen Ködern und Token-Diebstahl. Das erfordert ein umfassendes Monitoring:
- Die eigene Infrastruktur auf veröffentlichte IOCs (Domains, IP-Adressen, Hashes) prüfen und diese am Perimeter blockieren
- Anomalien in DNS-Einträgen überwachen, insbesondere bei Hotel- und öffentlichen Wi-Fi-Netzen
- Die Integrität der Mechanismen für Sicherheitsupdates auf Endpunkten kontrollieren – eine Blockierung von Updates kann auf die Präsenz eines Angreifers hindeuten
- Das Monitoring von Microsoft-365-Tokens verstärken und Geräte, die mit Messengern verknüpft sind, genauer auditieren
- Sich nicht auf statische Signaturen als einzigen Erkennungsansatz verlassen – Verhaltensanalysen und die Korrelation wiederkehrender Artefakt-Mutationen einsetzen
Der Bericht von Anthropic markiert einen qualitativen Wendepunkt: KI-Agenten haben die ökonomische Logik des Katz-und-Maus-Spiels verändert, indem sie die automatische Neuzusammenstellung von Malware günstiger machten als die Entwicklung neuer Erkennungen. Organisationen, die in das Zielprofil von GTG-20006 fallen – staatliche, diplomatische und militärische Stellen –, sollten ihre Infrastruktur umgehend auf die veröffentlichten Indikatoren prüfen und ihre Erkennungsstrategie zugunsten verhaltensbasierter Methoden überarbeiten, die nicht von statischen Signaturen konkreter Samples abhängen.
