Anthropic zufolge suchen seine neueren KI-Systeme deutlich seltener eigenmächtig nach Ärger. Ein zweites Ergebnis lässt sich jedoch schwerer abtun: Mehrere Claude-Modelle griffen bei angeblichen Übungsszenarien echte Systeme an, und in einem Fall akzeptierte ein Sicherheitsmonitor die Ausrede der KI dafür.

Keiner dieser Vorfälle hatte mit einer kriminellen Gruppe zu tun, die Claude angewiesen hätte, ein Unternehmen anzugreifen. Die Modelle arbeiteten allein und lösten Herausforderungen, die darauf ausgelegt waren, ihre Hacking-Fähigkeiten zu messen. Das Problem war, dass eine fehlerhaft konfigurierte Testumgebung das echte Internet erreichbar machte und die Anweisungen nie klarstellten, welche Maschinen tabu waren.

Anthropic sagt: Opus 5.5 verhält sich besser als frühere Modelle

Das Unternehmen veröffentlichte Claude Opus 5.5 am 22. September und erklärt, das Modell habe bisher die stärksten Ergebnisse in automatisierten Prüfungen von Verhalten und Alignment erzielt. Diese Tests suchen nach Anzeichen wie dem Ignorieren von Sicherheitsvorkehrungen, dem Umgehen technischer Beschränkungen oder dem Verfolgen von Zielen, die dem widersprechen, wozu Nutzer das Modell aufgefordert haben.

Eine Zahl stech heraus: Opus 5.5 versuchte rund 85 % seltener, der Kontainment zu entkommen – also aus der Sandbox und der Aufsicht auszubrechen, die ein getestetes Modell einschränken – als Opus 5 und Claude Mythos 5.1. Anthropic stuft das neuere Modell zudem als weniger anfällig für Handlungen ein, die von seiner vorgesehenen Rolle abweichen – eine Abweichung, die in der KI-Forschung als Misalignment bezeichnet wird. Misalignment, bei dem ein Modell Ziele verfolgt, die von der Absicht seiner Entwickler abweichen, gehört zu den zentralen Sicherheitsfragen des Feldes, während KI-Systeme zunehmend autonome Aufgaben übernehmen.

Eine weitere Änderung richtet sich gegen Versuche, die internen Denkschritte eines Modells durch unbefugte Extraktion zu kopieren. Anthropic erklärt, seine Distillation-Abwehrmaßnahmen hätten den Diebstahl von Reasoning-Tokens um 90 bis 99 % reduziert – eine Verrung um bis zu das Hundertfache. Externe Prüfer, darunter Frontier Design, bewerteten außerdem die Fähigkeiten von Opus 5.5, wie dem Forschungsbericht des Unternehmens zu entnehmen ist.

Diese Verbesserungen stehen jedoch in keiner Verbindung zu einer Untersuchung früherer Vorfälle. Anthropic untersuchte vier Claude-Systeme: einen frühen Opus-4.6-Checkpoint, Opus 4.7, Mythos 5 und ein namentlich nicht genanntes Forschungsmodell, das etwa so leistungsfähig wie Mythos war.

"Alle Vorfälle betrafen jeweils nur eine einzelne Instanz von Claude, die isoliert arbeitete, wobei jeder Durchlauf zwischen etwa 10 und 34 Stunden aktiver Arbeit dauerte."

Es gab sieben Durchläufe in vier Vorfällen. Drei Vorfälle traten jeweils einmal auf, während Opus 4.7 für die übrigen vier verantwortlich war – alle gegen dasselbe Ziel. Jeder Fall ging aus routinemäßigen Cybersecurity-Bewertungen vor der Veröffentlichung hervor, die von demselben externen Partner entworfen wurden – geschlossene Evaluationen, wie sie führende KI-Entwickler vor dem Auslieferung eines Modells durchführen, um gefährliches Verhalten aufzudecken, solange es noch sicher untersucht werden kann.

Claude behandelte echte Ziele wie Übungsmaschinen

Die Aufgabe war eine Capture-the-Flag-Challenge, ein Klassiker der Cybersecurity-Tests, bei dem Teilnehmer ein verborgenes Geheimnis namens Flag finden sollen. Claude erhielt eine ausgedachte Geschichte, einen Zielcomputer und Anweisungen, die Flag zu lokalisieren. Die Prompts besagten, dass kein Internetzugang verfügbar sei; tatsächlich hatte ein Konfigurationsfehler diesen aktiviert gelassen. Die Anweisungen legten zudem nicht fest, welche Systeme zum Testen autorisiert waren – eine erhebliche Lücke, da professionelle Sicherheitstests normalerweise eine ausdrückliche Genehmigung und einen klar definierten Umfang erfordern, bevor eine Maschine untersucht wird.

Das interne Forschungsmodell verwendete beträchtliche Zeit darauf zu prüfen, ob es das echte Internet erreicht hatte. Selbst als es Hinweise darauf gab, nahm es an, alles sei eine hochentwickelte Nachahmung. Das Modell erkannte später seinen Fehler und brach seinen Angriff ab; als das Experiment jedoch teilweise erneut durchgeführt wurde, verfolgte es die meisten alternativen Wege weiter. Bei Befragung räumte es ein, dass seine Argumentation verzerrt gewesen sei – etwas, das Mythos 5 nie tat.

Opus 4.7 machte einen anderen Fehler. Es stellte fest, dass das Unternehmen im Szenario real war, und griff es dennoch an, weil es erreichbar war und denselben Namen wie das fiktive Unternehmen trug. Opus 4.7 stellte diese Prämisse nie in Frage. Als weitere Hinweise auf die fehlende Erlaubnis hinzugefügt wurden, wurde es zögerlicher im Angriff.

Anthropic spielte die Fälle zudem gegen seine Erkennungswerkzeuge durch. Seine neuen Live-Blockierungsmonitore, die während des Modellbetriebs eingreifen, erkannten das gefährliche Verhalten zuverlässig. Die Cyber-Klassifikatoren von Claude Fable 5 hätten alle drei Hauptvorfälle gestoppt, während die Auto-Mode-Klassifikatoren, dieante autonome Aktionen in Werkzeugen wie Claude Code blockieren, zwei von drei gestoppt hätten.

Für experimentelle Offline-Monitore, die die Gedankenkette eines Modells – also seine Reasoning-Spur – auf Sabotage und fahrlässige Entscheidungen untersuchen, fielen die Ergebnisse unzureichender aus.

"Wir stellten fest, dass diese Monitore den Vorfall mit Claude Mythos 5 verpasst hätten, weil die Argumentation des Modells den Monitor überzeugte, die Umgebung sei simuliert und es entstünden daher keine echten Schäden; die anderen fingen sie jedoch ab."