Das Cybersecurity-Startup Cathedral sagt, dass seine KI-Agenten in weniger als 12 Stunden Wege in Anthropics interne Geschäftssysteme fanden, indem sie Schwachstellen in administrativer Software und Verkaufssoftware von Drittanbietern ausnutzten, wie aus einem Bericht der Washington Post hervorgeht, der am Montag veröffentlicht wurde.

Anthropic bestätigte, dass die Forscher Zugang zu einer begrenzten Auswahl von Verkaufs-, HR- und IT-Systemen erhielten, erklärte jedoch, dass Kundenkonversationen, Claude-Antworten, Quellcode und Modellgewichte nicht erreicht wurden. Das Unternehmen warf Cathedral außerdem vor, die nationalen Sicherheitsimplikationen überzubetonen und nicht alle Tests offenzulegen, während Cathedral erklärte, den Datenzugriff auf das absolute Minimum beschränkt zu haben.

Der Weg hinein führte nicht über Claude, Anthropics KI-Assistenten, sondern über administrative Software und Verkaufssoftware von Drittanbietern – die Art von Programmen, mit denen Unternehmen Kunden verwalten und Personal organisieren. Viele andere Unternehmen setzen auf dieselbe Software, und Sicherheitsforscher haben solche weit verbreiteten Business-Tools bereits seit Langem als häufiges Einfallstor bezeichnet, da eine Schwachstelle bei einem Anbieter jedes Unternehmen gefährden kann, das von ihm abhängig ist.

Cathedral wurde vor wenigen Monaten von vier ehemaligen Mitarbeitern des Department of Government Efficiency gegründet, des sparsamen Kürzungsteams der Regierung von Donald Trump, das besser als DOGE bekannt ist. Im Juli sammelte das Startup 160 Millionen US-Dollar bei einer Bewertung von 1,4 Milliarden US-Dollar ein.

Das Startup testete Anthropic im Rahmen eines Programms, das einem Bug Bounty ähnelt, bei dem ein Unternehmen externe Experten für das Melden von Schwachstellen belohnt, anstatt sie auszunutzen. Solche Programme sind in der Technologiebranche weit verbreitet. Cathedral KI-Agenten, die mehrstufige Aufgaben ausführen, ohne dass eine Person jeden Schritt genehmigen muss, fanden laut einem Entwurf ihres Berichts Wege zu Meeting-Transkripten, Gehalts- und Stellenangebotsdetails sowie Slack-Nachrichten über Anthropics fortschrittliche Modelle.

"Unser Monitoring hat einige der Aktivitäten von Cathedral markiert, bevor sie uns davon berichteten", teilte Anthropic der Washington Post mit. "Wir haben ihren Zugriff noch am selben Tag deaktiviert."

Das Unternehmen erklärte, die Forscher hätten Zugriff auf "eine begrenzte Auswahl" von Verkaufs-, HR- und IT-Systemen mit Geschäftskontaktdaten und grundlegenden Benutzerkontodatensätzen erhalten.

Kundenkonversationen mit Claude, Quellcode und Modellgewichte – die Milliarden von Zahlen, aus denen die trainierte KI besteht – wurden nicht abgerufen, so Anthropic. Es fügte hinzu, dass es keine Hinweise darauf gebe, dass jemand anderes als Cathedral die Schwachstellen ausgenutzt hat.

Anthropic erklärte, Cathedral habe die nationalen Sicherheitsimplikationen des Tests überbetont und die Regeln des Programms nicht vollständig eingehalten, da es nicht alle seine Aktivitäten offengelegt habe. Der Entwurf von Cathedrals Bericht besagt, dass "Datenzugriffe gemäß den Best Practices der Sicherheitsforschung auf das absolute Minimum beschränkt wurden". Die Ergebnisse wurden noch nicht in endgültiger Form veröffentlicht, und der Streit darüber, ob die Tests innerhalb der Regeln des Programms blieben, ist ungelöst.

Ein hochrangiger Beamter der Trump-Regierung, der anonym bleiben wollte, sagte, der Bericht sei in Regierungsbehörden kursiert und habe nationale Sicherheitsbedenken ausgelöst. "Wenn ein paar Kids, die gerade erst ein Unternehmen gegründet haben, das können", sagte der Beamte, "dann sind die Chinesen möglicherweise nicht weit dahinter."

Hintergrund

Im November 2025 teilte Anthropic mit, dass chinesische staatlich unterstützte Hacker Claude Code, sein Coding-Tool, verwendet hatten, um rund 30 Organisationen anzugreifen, wobei die KI 80 % bis 90 % der taktischen Arbeit übernahm. Im Juli gab Anthropic bekannt, dass Claude-Modelle im Rahmen seiner Tests in drei Vorfällen echte Organisationen gehackt hatten. Anthropic deaktivierte die betroffene Software, bis die Anbieter Korrekturen bestätigten; die Anbieter wurden nicht genannt.