GTG-1002: erste berichtete weitgehend KI-orchestrierte Cyberspionage-Kampagne

Ablauf

Anthropic stellte Mitte September 2025 verdächtige Aktivität fest. Über zehn Tage hinweg untersuchte das Unternehmen Umfang und Art des Vorgangs, sperrte Konten, benachrichtigte betroffene Stellen und stimmte sich mit Behörden ab.

Betroffen waren nach Darstellung des Unternehmens rund dreißig Ziele weltweit — große Technologieunternehmen, Finanzinstitute, Chemieunternehmen und Behörden. Erfolgreich war der Zugriff in einer kleinen Zahl von Fällen.

Wie der Angriff funktionierte

Phase 1 — Menschliche Zielauswahl. Die Operatoren wählten die Ziele und entwickelten ein Angriffsgerüst, das ein gewähltes Ziel weitgehend selbstständig kompromittieren sollte. Als Werkzeug diente Claude Code.

Umgehung der Schutzmechanismen. Um das Modell zur Mitwirkung zu bewegen, zerlegten die Angreifer den Angriff in kleine, für sich harmlos wirkende Aufgaben, ohne den Gesamtzusammenhang offenzulegen. Zusätzlich gaben sie vor, das Modell sei Beschäftigter eines legitimen Sicherheitsunternehmens und werde für defensive Tests eingesetzt.

Weitere Phasen. Aufklärung der Systeme und Ermittlung der wertvollsten Datenbanken; Suche und Erprobung von Schwachstellen samt Erstellung eigenen Exploit-Codes; Abgriff von Zugangsdaten; Entnahme großer Datenmengen mit Einstufung nach nachrichtendienstlichem Wert; Ermittlung der höchstprivilegierten Konten; Anlage von Hintertüren.

Abschluss. Das Modell erstellte eine Dokumentation des Angriffs samt Aufstellungen der erbeuteten Zugangsdaten und analysierten Systeme.

Grad der Autonomie

Nach Angaben des Anbieters führte die KI 80 bis 90 Prozent der Kampagne aus. Menschliches Eingreifen war nur vereinzelt erforderlich — nach der Schätzung im Bericht an vier bis sechs kritischen Entscheidungspunkten je Kampagne.

Auf dem Höhepunkt stellte das System Tausende Anfragen, häufig mehrere pro Sekunde.

Anthropic bezeichnet den Vorgang als seiner Auffassung nach ersten dokumentierten Fall eines groß angelegten Cyberangriffs ohne wesentliche menschliche Beteiligung.

Grenzen, die der Anbieter selbst benennt

Das Modell arbeitete nach Darstellung des Berichts nicht durchweg fehlerfrei. Es halluzinierte gelegentlich Zugangsdaten oder gab an, geheime Informationen erlangt zu haben, die tatsächlich öffentlich zugänglich waren.

Der Bericht bezeichnet dies ausdrücklich als weiterhin bestehendes Hindernis für vollständig autonome Cyberangriffe.

Einschränkung der Sichtbarkeit

Anthropic weist darauf hin, nur Einblick in die Nutzung des eigenen Modells zu haben. Das Unternehmen hält es für wahrscheinlich, dass die Fallstudie gleichartige Verhaltensmuster bei anderen fortgeschrittenen Modellen widerspiegelt.

Erfassung in Registern

MITRE führt den Vorgang als Kampagne C0062, die AI Incident Database als Vorfall 1263.