Das Sicherheits-Start-up Cathedral ist im Rahmen von Anthropics Bug-Bounty-Programm mit KI-Agenten über fremde Business-Software in interne Systeme des KI-Labors eingedrungen.
Cathedral meldete dem Claude-Entwickler den Zugriff auf interne Daten- und Nachrichtensysteme in einem Berichtsentwurf, den die Washington Post einsehen konnte. Das Start-up, gegründet von früheren Mitarbeitern des US-Kostensenkungsgremiums DOGE, verkauft KI-gestützte Sicherheitswerkzeuge an Behörden sowie Unternehmen.
Den Einstieg fanden die Forscher über externe Verwaltungs- und Vertriebsprogramme. Mithilfe von KI-Agenten spürten sie laut ihrem Bericht in unter zwölf Stunden Zugangswege zu Meeting-Transkripten, Gehaltsdaten, Jobangeboten und Slack-Nachrichten über fortgeschrittene KI-Modelle auf.
Anthropic bestätigt den Zugriff auf eine begrenzte Auswahl an Vertriebs-, Personal- und IT-Systemen, darunter Kontaktdaten einzelner Kunden und Partner sowie Basisdaten von Nutzerkonten. Chats mit Claude, Quellcode und Modellgewichte blieben den Forschern laut dem Unternehmen verschlossen. Anthropic schloss die betroffenen Zugänge laut eigener Stellungnahme noch am Tag der Entdeckung, schaltete die Drittanbieter-Programme bis zur Reparatur ab und informierte US-Bundesbehörden.
Unterschiedliche Aussagen über Dauer und Ausmaß
Über den Ablauf gehen die Darstellungen auseinander. Während Cathedral von unter zwölf Stunden spricht, dauerte der Angriffsversuch laut Anthropic mehrere Tage. Erst nach mehrtägigen Anläufen gegen Anthropics eigene Systeme sei das Start-up auf die Drittanbieter-Software ausgewichen, erklärt Anthropics Red-Teamer Logan Graham. Dort habe Cathedral zwei Schwachstellen ausgenutzt, davon jedoch lediglich eine gemeldet. Die zweite Lücke entdeckte und schloss Anthropic demnach aus eigener Kraft.
Zudem wirft Anthropic dem Start-up vor, die Regeln des Bug-Bounty-Programms durch eine unvollständige Offenlegung verletzt zu haben. Graham ergänzt, das Ausnutzen von Drittanbietern und der Abruf von Daten hätten die Safe-Harbor-Zusage des Programms überschritten, begrüßt jedoch ausdrücklich die Entdeckung der Lücken. Cathedral sagt hingegen, es habe sich an übliche Standards der Sicherheitsforschung gehalten.
Auch beim Umfang der eingesehenen Daten bleibt vieles offen. Der frühere OpenAI-Mitarbeiter Will Depue verbreitet das Gerücht, Anthropic spiele den Vorfall herunter. Mehrere aus seiner Sicht sehr verlässliche Quellen hätten ihm berichtet, Cathedral habe den vollen Administrator-Zugriff auf den Slack-Workspace erlangt, jede Nachricht lesen und sich in beliebige Nutzerkonten einloggen können.
Die Labore Anthropic und OpenAI speicherten laut Depue all ihre Forschungsgeheimnisse in Slack, während in den Systemen überall Admin-API-Schlüssel herumlägen. Der im September 2026 ausgeschiedene Anthropic-Mitarbeiter Jacob Coxon kritisierte zuvor bereits, dass Anthropic gefährliche KI-Forschung über gewöhnliche Büro-Software wie Slack abwickle.
Graham widersprach entschieden, Depues Quellen lägen falsch. Mit Verweis auf die Sensibilität des Vorgangs verzichte er auf Einzelheiten. Sein Grundanliegen bestätigt der Sicherheitsexperte aber ausdrücklich: Die Branche müsse ihre Sicherheit inzwischen jedes Jahr neu erfinden.
Depue hakte daraufhin nach, welche Angaben genau falsch seien, und rief Anthropic auf, die tatsächlich von Cathedral eingesehenen Daten offenzulegen. Der ehemalige OpenAI-Entwickler sieht die Ursache auch im hohen Tempo des KI-Wettlaufs, bei dem die Führungsetagen Geschwindigkeit über Sicherheit stellten.
Alex Stamos, Sicherheitschef beim KI-Start-up Cognition, das selbst Modelle von Anthropic einsetzt, bewertete die Funde gegenüber der Washington Post als bedeutend. Eingebundene Drittanbieter-Apps seien ein riesiges Problem für alle, und Anthropic hätte seine externen Dienste besser absichern können.
KI-Agenten verändern die Cybersicherheit
Nach monatelangen Warnungen vor KI-gestützten Cyberangriffen und eigenen versehentlichen Sicherheitsvorfällen kostet Anthropic nun die eigene Medizin: Die Cybersicherheit verändert sich durch KI-Agenten radikal.
Graham nutzt die Gelegenheit geschickt für eine erneute drastische Warnung zur Zukunft der Cybersicherheit. Angreifer lassen KI-Agenten demnach rund um die Uhr laufen und greifen gezielt externe Abhängigkeiten an.
Laut Graham reichen für solche Attacken schon Modelle aus, die eine halbe bis ganze Generation hinter der aktuellen Spitze zurückliegen. Künftige Angreifer verfügen zwangsläufig über noch stärkere Systeme.
Als Reaktion empfiehlt der Sicherheitsexperte dauerhafte eigene Angriffstests und den grundlegenden Neubau von Software mit formaler Verifikation, weil sich sicherer Code dank KI inzwischen günstig schreiben lasse.
"Wahrscheinlich willst du dich ständig selbst einem Red-Team-Test unterziehen. Aktuelle Modelle sind sehr kreativ", schreibt Graham.
Dass Cathedral trotz Anthropics Zugriff auf die wohl weltweit leistungsfähigsten KI-Modelle zur Verteidigung so tief ins Unternehmen eindringen konnte, macht Graham nicht zum Thema.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
