Anthropic: Bericht über unterbundenen Missbrauch von KI (September 2026)

Gegenstand

Der Bericht beschreibt Fälle, in denen Akteure die KI-Modelle des Anbieters für schädliche Zwecke einsetzten und deren Zugang daraufhin gesperrt wurde. Erfasst ist der Zeitraum Dezember 2025 bis August 2026.

Sieben Schadensbereiche werden unterschieden: Cyberoperationen, Einflussoperationen, Überwachung, Betrug, biologischer Missbrauch, Entwicklung konventioneller Waffen und unerlaubte Destillation.

Es ist der vierte Bericht dieser Art; frühere erschienen im März, August und November 2025. Der Bericht vom November 2025 ist in diesem Verzeichnis als eigener Vorfall erfasst.

Fälle mit europäischem Bezug

Angriff auf europäische Parteien und Medien. Ein französischsprachiger Akteur griff nach dem Bericht im Frühjahr 2026 europäische politische Parteien, Medien, Denkfabriken und deren Dienstleister an. Von 42 beobachteten Zielen erlangte er bei mindestens 14 internen Zugang.

Dabei wurden rund 140.000 Datensätze mit politischen Meinungen von Nutzern aus einer Kampagnenplattform abgezogen. Politische Meinungen gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten.

Der Akteur baute nach dem Bericht zudem eine eigene Suchplattform, in die er Millionen Datensätze aus fremden Datenlecks einspeiste — darunter nationale Gesundheitskennungen und Daten aus Justizsystemen — und die er als Dienst im Tor-Netz veröffentlichte, über den sich Angehörige der betroffenen politischen Bewegung namentlich nachschlagen ließen. Der Anbieter bezeichnet dies als einen der deutlichsten Fälle, in denen KI-gestützte Softwareentwicklung unmittelbar für einen Angriff auf die Privatsphäre in großem Umfang eingesetzt wurde. Die Plattform sei von einer einzelnen Person erstellt worden.

Werbeagentur als Betreiberin eines Desinformationsnetzes. Ein Netz aus rund 70 erfundenen Nachrichtenseiten, 70 zugehörigen und über 250 kommentierenden Konten auf X wurde nach dem Bericht einer in Frankreich ansässigen digitalen Werbeagentur zugeordnet. Es veröffentlichte mindestens 8.913 Artikel in etwa 20 Sprachen. Die Ausrichtung wechselte je nach Auftraggeber; der Anbieter ordnet das dem Muster einer kommerziellen Einflussdienstleistung zu.

Wahlbezogene Operationen. Mehrere Kampagnen waren auf nationale Wahlen abgestimmt. Genannt werden erfundene Behauptungen über die Präsidentin der Republik Moldau vor der Parlamentswahl im September 2025, verbreitet über russische Staatsmedien, sowie Vorbereitungen für die Wahl in Kenia 2027.

Redaktionelle Nutzung durch Staatsmedien. Vier Konten nutzten das Modell nach dem Bericht als Redaktionsebene für Inhalte, die über russische staatliche und staatsnahe Medien verbreitet wurden. In mindestens einem bestätigten Fall gelangte so erzeugtes Material in eine Fernsehsendung. Zur Verschleierung wurde die staatliche Herkunft aus übernommenen Meldungen gezielt entfernt.

Konventionelle Waffen — ein neuer Bereich

Der Bericht führt die Entwicklung von Software für konventionelle Waffen erstmals als eigenen Schadensbereich. Nach der Berichterstattung werden sechs Fälle dargestellt: drei mit Bezug zu China, zwei zu Russland, einer zum Jemen.

Im Jemen soll eine Gruppe im Norden des Landes drei Waffenprogramme betrieben haben — eine gelenkte Rakete, eine mehrstufige ballistische Rakete mit einer angestrebten Reichweite von über 2.000 Kilometern und mehrere Raketenvarianten. Das Modell sei anstelle von Softwareentwicklern zur Erstellung von Steuerungs- und Regelungscode eingesetzt worden. Ein Testschuss der gelenkten Rakete soll fehlgeschlagen sein.

Ein mutmaßlich freiberuflicher Akteur mit Bezug zu Russland soll an einem Schwarm unbemannter Fluggeräte gearbeitet haben, dessen Zielauswahl — einschließlich einer Kategorie für Personen — und dessen Auslöseentscheidung ohne menschliche Beteiligung erfolgen sollten. Die zugrunde liegende Bilderkennung sei mit abgesammeltem Bildmaterial aus dem Ukraine-Krieg trainiert worden.

Ein Akteur mit Bezug zu China soll eine modulare Software zur elektronischen Kriegführung entwickelt und die voreingestellte Übungslage im Projektverlauf auf zwölf Ziele in Taiwan geändert haben. Der Anbieter ordnet den Akteur Forschungseinrichtungen der Volksrepublik zu.

Der Bezug zur KI-Verordnung ist ein negativer: Nach Art. 2 Abs. 3 gilt die Verordnung nicht für KI-Systeme, die ausschließlich für militärische Zwecke, Verteidigungszwecke oder die nationale Sicherheit in Verkehr gebracht, in Betrieb genommen oder verwendet werden. Die geschilderten Vorgänge lägen damit außerhalb ihres Anwendungsbereichs; einschlägig wären Exportkontrollrecht und Außenwirtschaftsrecht.

Biologischer Missbrauch, Überwachung und Betrug

Biologischer Missbrauch: Fünf Fälle werden dargestellt. In einem soll im Mai 2026 ein Sicherheitsfilter des Anbieters eine Anfrage abgewiesen haben, die der Ausarbeitung eines Förderantrags für Forschung zur Funktionsverstärkung eines Virus diente und für eine militärische Forschungseinrichtung bestimmt gewesen sein soll. Die Anfrage sei über eine Plattform zur Umgehung von Schutzmaßnahmen gestellt worden.

Überwachung: Zu den Akteuren zählt der Bericht ausdrücklich kommerzielle Anbieter von Überwachungssoftware. Nach der Berichterstattung wurden Konten mit Bezug zu chinesischen Sicherheitsbehörden gesperrt, die das Modell zur Unterstützung der Unterdrückung abweichender Meinungen eingesetzt haben sollen.

Betrug: Ein in China ansässiges Entwicklungsstudio soll über zwanzig Partnervermittlungsanwendungen betrieben haben, in denen rund 4.700 künstliche Gesprächspartner innerhalb von zwei Wochen im April mit mindestens 25.000 Personen kommunizierten.

Der Angriff auf die KI-Lieferkette

Ein wiederkehrendes Muster betrifft gestohlene Zugangsschlüssel. Nach dem Bericht wurden in mehreren Fällen API-Schlüssel aus den Umgebungen von Kunden entwendet und für weitere Angriffe eingesetzt. Der Anbieter nennt drei Vorteile für die Täter: Weiterverkaufswert, fremd bezahlte Rechenleistung und Zurechnung der Aktivität zum rechtmäßigen Inhaber des Schlüssels.

Beschrieben werden ferner betrügerische Wiederverkäufer, die vergünstigten Zugang zu einem bekannten Modell anboten, den Verkehr tatsächlich an ein anderes Modell weiterleiteten und dabei Zugangsdaten der Kunden abgriffen.

Der Anbieter hält fest, dass in allen genannten Fällen Schlüssel aus Kundenumgebungen betroffen waren und seine eigenen Systeme nicht kompromittiert wurden.

Destillation

Nach der Berichterstattung hat der Anbieter seit Februar 2026 Destillationsangriffe von sieben in China ansässigen Laboren unterbunden.

Als größte gemessene Kampagne werden über 151 Millionen Austausche zwischen Mai und Juli 2026 genannt, mit Spitzenwerten von nahezu drei Millionen je Tag aus mehr als 3.500 als betrügerisch eingestuften Konten. Die so gewonnenen Mitschriften sollen zum Training eigener Modelle verwendet worden sein. Der Anbieter ordnet diese Kampagne einem namentlich benannten Unternehmen zu.

In zwei weiteren Fällen sollen Anbieter eigene Kundenanfragen verdeckt an das fremde Modell weitergeleitet und die Antworten als Trainingsmaterial verwendet haben — in einem Fall rund 300.000 Anfragen binnen zehn Tagen über 5.380 Konten. Nach der Berichterstattung enthielten die weitergeleiteten Gespräche teils sensible Angaben der Kunden.

Dies ist zugleich der einzige Bereich, in dem nach Angaben des Anbieters ein Modell der obersten Leistungsklasse betroffen war.

Zwei übergreifende Feststellungen

Verbreitung. Der Anbieter hält fest, dass sich das im November 2025 beschriebene Vorgehen inzwischen über alle untersuchten Akteursklassen verbreitet hat. Frei verfügbare Angriffsgerüste bildeten einen großen Teil davon nach. Das unterscheidende Merkmal zwischen staatlich unterstützten und privaten Akteuren sei nicht mehr die technische Ausgereiftheit, sondern die Absicht.

Selbsttätigkeit. Der Einsatz reiche von der Nutzung als Programmierhilfe bis zu Abläufen, die über Stunden oder Tage ohne menschliche Aufsicht gegen mehrere Ziele gleichzeitig liefen. Der Anbieter trennt dabei ausdrücklich zwei Achsen: Selbsttätigkeit vervielfache Umfang und Geschwindigkeit, die Schwere eines Schadens hänge aber von anderen Faktoren ab. Mehrere der schwersten Fälle stammten aus Operationen, bei denen ein Mensch jeden Schritt steuerte.

Regulatorische Anknüpfungspunkte

Die geschilderten Einflussoperationen berühren den Bereich, den Anhang III Nummer 8 Buchstabe b der KI-Verordnung als hochriskant einstuft: Systeme, die das Ergebnis einer Wahl oder das Wahlverhalten beeinflussen sollen. Diese Pflichten greifen erst am 2. Dezember 2027.

Die Offenlegungspflicht für KI-erzeugte Texte zu Angelegenheiten von öffentlichem Interesse nach Art. 50 gilt dagegen bereits seit dem 2. August 2026.

Die Destillationsfälle berühren die Pflichten aus Art. 53 zur Dokumentation und zur Zusammenfassung der Trainingsinhalte sowie die urheberrechtliche Frage, unter welchen Voraussetzungen fremde Modellausgaben als Trainingsmaterial verwendet werden dürfen.

Keines der in der Berichterstattung genannten Unternehmen steht auf der Unterzeichnerliste des Verhaltenskodex. Die Liste der Kommission führt mit Stand 31. Juli 2026 einundzwanzig Unterzeichner sämtlicher Kapitel sowie einen weiteren Anbieter, der allein das Kapitel zu Sicherheit und Gefahrenabwehr gezeichnet hat. Kein Anbieter mit Sitz in China ist darunter.

Daraus folgt nach dem Kodex zweierlei: Wer nicht unterzeichnet hat, muss die Einhaltung der Pflichten aus Art. 53 auf andere geeignete Weise nachweisen — und erhält nach der Fachdarstellung typischerweise mehr Auskunftsersuchen.

Vorgelagert ist allerdings eine andere Frage: Die Pflichten aus Art. 53 treffen nur Anbieter, die ein Modell in der Union in Verkehr bringen. Ob und in welchem Umfang das für die genannten Unternehmen zutrifft, ist in diesem Eintrag nicht geprüft. Ohne diesen Bezug greift die Verordnung nicht, und das Fehlen auf der Unterzeichnerliste besagt dann nichts.

Die Weiterleitung von Kundenanfragen an ein fremdes Modell ohne Kenntnis der Kunden berührt zudem die Transparenzpflicht aus Art. 50 Abs. 1 sowie datenschutzrechtliche Pflichten, soweit personenbezogene Daten betroffen waren.