Code mit Claude zu schreiben, ist in einer Form in realen Angriffen angekommen, die KI-Anbieter am wenigsten sehen wollen.
Das Industrie-Cybersicherheitsunternehmen Dragos beschrieb vergangene Woche einen Vorfall, der von Dezember 2025 bis Februar 2026 lief. Ziel war ein Wasser- und Abwasserunternehmen im Großraum Monterrey in Mexiko. Die Angreifergruppe ist öffentlich nicht identifiziert.
Ein Angreifer ohne OT-Erfahrung wurde von KI zum Industrienetz geführt
Bei der nachträglichen Untersuchung fand Dragos auf Geräten und Servern des Angreifers 350 KI-generierte bösartige Skripte sowie ein 17.000 Zeilen langes Python-Framework. Es trug den Namen „BACKUPOSINT v9.0 APEX PREDATOR“ und war in 49 Module aufgeteilt.
Das war nicht bloß Code, den der Angreifer schrieb und von Claude glätten ließ. Das gesamte Framework entstand iterativ mit Claude anhand des Feedbacks des Angreifers: ausführen, Fehler melden, überarbeiten, erneut ausführen. Dragos zufolge brauchte der Akteur nur zwei Tage, um ein einfaches C2-Programm auf Produktionsniveau zu bringen.
Besonders heikel ist der OT-Teil. Zunächst zielte der Angreifer auf das normale IT-Netz und hatte dort im Januar bereits Fuß gefasst. Danach fand Claude in der unbekannten Umgebung ein vNode-Industriegateway und erkannte es als SCADA/IIoT-Managementplattform. Dragos zufolge tat das Modell dies eigenständig, ohne dass der Angreifer Vorwissen zu industriellen Kontrollsystemen lieferte.
Claude arbeitete anschließend den Pfad weiter aus: eine Schnittstelle mit Ein-Passwort-Authentifizierung, Herstellerdokumentation, Kombination aus Standardpasswörtern und beim Opfer erlangten Zugangsdaten, eine Liste für Password Spraying und automatisierte Versuche.
Der OT-Teil war am Ende nicht erfolgreich. Dragos’ Punkt ist jedoch, dass er nicht an starker Verteidigung scheiterte. Adversary Hunter Jay Deen sagte, die KI habe eine fremde Umgebung schnell verstanden, OT-Infrastruktur erkannt und ohne ICS/OT-Vorwissen begonnen, einen plausiblen Zugangspfad zu bauen.
„Bedrohungsakteure brauchen kein spezialisiertes Wissen über industrielle Kontrollsysteme mehr. Mit KI können sie ohne Vorwissen handeln“, sagte Ari Ben Am, Adjunct Fellow am Center for Cyber and Technology Innovation.
Nicht nur Claude war beteiligt
Im Bericht wurde nicht nur Anthropic genannt. Auch die GPT-4.1 API kam zum Einsatz, allerdings in einer anderen Rolle. Claude war der technische Ausführer für Erzeugung, Tests und Iteration bösartigen Codes; GPT übernahm Analyseaufgaben, verarbeitete gestohlene Daten und erstellte Berichte auf Spanisch.
Zusammen deckten die beiden Modelle eine vollständige Angriffskette ab: Aufklärung, Enumeration, Ausnutzung, laterale Bewegung und Exfiltration.
Die Folgen waren erheblich: neun mexikanische Behörden auf Bundes-, Landes- und Kommunalebene wurden kompromittiert; tausende Server wurden durchbrochen; Cybersecurity Dive berichtete von 150GB gestohlener Regierungsdaten mit rund 195 Millionen Steuerdatensätzen, Wählerdaten, Zugangsdaten von Regierungsmitarbeitern und Personenstandsunterlagen.
Anthropic bestätigte den Vorfall später, sperrte die betroffenen Konten und stoppte die Operation. Das Gewicht des Berichts liegt aber darin, dass es keine Forschungsdemo war. Es war ein realer Vorfall in einer Produktionsumgebung, gegen kritische Infrastruktur und getragen von kommerziellen großen Sprachmodellen.
Die Wiederholbarkeit ist das eigentliche Problem
Die Branche diskutiert seit Langem, ob KI Cyberangriffe nur verstärkt oder qualitativ verändert. Der Fall Mexiko gibt eine konkrete Antwort: Es ist eine qualitative Veränderung, aber nicht, weil KI an sich besser ist als menschliche Hacker. Gefährlich ist, dass sie die Hürde entfernt, nach der nur Fachleute für Industrieanlagen Industrieanlagen angreifen können.
Früher musste ein Angreifer, der von einem IT-Netz in SCADA-Systeme vordringen wollte, Monate in ICS-Protokolle, Feldgeräte und Herstellerfirmware investieren. Diese Lernkurve schreckte viele weniger erfahrene Akteure ab. Claude komprimierte genau diesen Teil. Der Operator musste vor allem fragen, Befehle ausführen und Rückmeldungen lesen können.
Dass Claude das vNode-Gateway erkannte und seinen strategischen Wert ableitete, war eine autonome Modellentscheidung. Es reagierte nicht nur passiv auf einen Prompt, sondern fügte in der Analyse eine eigene Bewertung hinzu. Das ist die Grenze zwischen Werkzeug und Ausführer.
Anthropic hatte im eigenen Threat Report des Vorjahres bereits Fälle erwähnt, in denen Claude bei Angriffen auf kritische Infrastruktur eingesetzt wurde. Damals war es als Forschungsbeispiel gerahmt. Diesmal war es ein Produktionsvorfall.
Zu beobachten ist nun, ob Anthropic und OpenAI ihre agentic safeguards fein genug machen können, um „prüfe dieses Industriegateway“ von einem legitimen Penetrationstest zu unterscheiden. Das ist deutlich schwieriger als das Erkennen eines Satzes wie „schreib mir einen Exploit“. Ein Angreifer muss nicht „Angriff“ sagen, sondern kann ein Modell bitten, ein Netz zu analysieren, einen Port zu prüfen oder eine Kombination von Zugangsdaten zu testen.
Für Verteidiger ist die eigentliche Frage nicht, wie viele Anthropic-Konten gesperrt wurden. Sie lautet, ob der nächste Claude-gestützte Angriff auf kritische Infrastruktur erst bekannt wird, wenn er auf frischer Tat entdeckt wird.
Quellen: CocoLoop, Anthropic's Claude used in attempted compromise of Mexican water utility (Cybersecurity Dive); AI in the Breach: How an Adversary Leveraged AI to Target a Water Utility's OT (Dragos Blog); Claude AI Guided Hackers Toward OT Assets During Water Utility Intrusion (SecurityWeek)