Ein kleines Team richtete Anthropics neuestes Modell auf OpenAIs Haustür und spazierte hindurch. Die Version, die die meisten Leute lesen – clevere Außenseiter, die den Macher von ChatGPT blamieren – verfehlt das Thema. Der Einbruch hing nicht daran ab, dass OpenAI vergessen hatte, etwas zu patchen. Er hing an dem Moment, als Anthropic einen leistungsfähigeren Claude auslieferte. Das ist der Teil, den es zu bedenken gilt: eine Aufgabe, die tagelang ins Stocken geraten war, löste sich von selbst, sobald ein neues Flaggschiff live ging.

Die Beteiligten waren keine Kriminellen. Forscher des Sicherheits-Start-ups Hacktron arbeiteten innerhalb von OpenAIs eigenem Bug-Bounty-Programm, verknüpften ein paar unscheinbare Webschwachstellen, gelangten an die Konten von OpenAI-Mitarbeitern und kamen bis zu einem internen Code-Repository – und stoppten dann, reichten ihre Funde ein und kassierten eine bescheidene Prämie. Sie hinterließen einen harmlosen Marker als Beweis und gingen nicht weiter. Als Verbrechen betrachtet, ist es eine Nichtigkeit. Als Fähigkeitstest betrachtet, ist es ein aufsteigendes Leuchtfeuer.

Hier ist der Mechanismus, den die Berichterstattung der Nachrichtenagenturen übersprungen hat. Das Team führte die Aufgabe zunächst auf Claude Opus 4.8 aus, der für Sicherheitsarbeit optimierten Version, und sie scheiterte in mehreren Sitzungen. Dann veröffentlichte Anthropic Opus 5. „Opus 4.8 hatte über mehrere Sitzungen hinweg Mühe, einen funktionierenden Exploit zu produzieren“, schrieb das Hacktron-Team. „Innerhalb von Stunden nach der Veröffentlichung von Opus 5 gaben wir ihm dasselbe Problem, und es gelang.“ VentureBeat berichtete, das neuere Modell habe innerhalb von Stunden einen funktionierenden Exploit für ein schwieriges Chip-Ziel geschrieben. Nichts an OpenAIs Abwehr änderte sich in diesem Zeitfenster. Das Modell schon.

Genau diese Art von Sprung – ein Sprung in dem, was ein normaler Nutzer mit einem Standard-Abonnement tun kann – ist es, den Anthropics eigene Sicherheitsmechanismen erkennen und zurückhalten sollen. Das Unternehmen hält sein leistungsfähigstes Cyber-Modell, Mythos, hinter Exportkontrollen und einer kurzen Liste geprüfter Verteidiger und bezeichnet es als das stärkste Sicherheitsmodell, das es gebaut hat. Nichts davon spielte hier eine Rolle. Die öffentlich verfügbare Stufe reichte aus. Wie Gray-Swan-Geschäftsführer Matt Fredrikson gegenüber TechCrunch sagte: „Für 200 Dollar im Monat kann jeder diese Werkzeuge nutzen und in ein Unternehmen wie OpenAI hacken.“

Hier liegt die Verantwortung eher bei Anthropic als bei seinem Rivalen. Anthropic hat seine gesamte Identität auf Vorsicht aufgebaut – sein Geschäftsführer Dario Amodei spricht offen über die „echten Gefahren“ der Technologie und hat die Branche gedrängt, langsamer zu machen. Ein allgemein veröffentlichtes Modell, das die Hürde für das Eindringen in ein konkurrierendes Labor messbar senkt, ist ein unangenehmes Gegengewicht zu dieser Botschaft. Um eine Erklärung gebeten, sagte das Unternehmen nichts; CBS News berichtete, dass Anthropic nicht auf eine Bitte um Stellungnahme reagierte. OpenAI seinerseits dankte den Forschern, schränkte die Berechtigungen ein, die die Angreifer missbraucht hatten, und widerrief die betroffenen Sitzungen.

Die Einzelheiten sind fast banal. Der Einstieg war eine veraltete Bildverarbeitungsbibliothek, die mit der Discourse-Software gebündelt war, die OpenAIs Community-Forum betreibt; ein zweiter Fehler in der Gültigkeit von Anmeldetoken erlaubte den Forschern, eine kompromittierte Sitzung in Mitarbeiterkonten für ChatGPT und Codex zu reiten und weiter zu privatem Code. Die gesamte Kette, vom ersten Zugang bis zum Repository-Zugriff, dauerte weniger als drei Tage. OpenAI zahlte 6.500 Dollar. Das Team gibt an, insgesamt weniger als 3.000 Dollar an Claude-Zeit für das gesamte Vorhaben ausgegeben zu haben – zwei Monate Arbeit, größtenteils menschlich, am Ende komprimiert in eine Maschine, die keinen Spezialisten mehr brauchte.

Die knappe Ressource, die ein Ziel früher schützte, war nie der Patch. Es war der Experte, der die Schwachstellen finden, zusammenschweißen und den Weg durchsehen konnte – und die Monate, die das dauerte. Dieses Fachwissen wurde gerade billig. Dieses Mal reichte das Team, das an OpenAIs Code gelangte, einen Bericht ein und nahm die Prämie. Der Nächste, der dieselbe Hürde überwindet, mit demselben Abonnement, ist nicht verpflichtet, dasselbe zu tun.

Schlagwörter: OpenAI, Anthropic, Claude, KI-Sicherheit, Claude Opus 5, Cyberangriffe