Anthropic veröffentlichte am 10. September einen Bedrohungsbericht, der die zwischen Dezember 2025 und August 2026 festgestellten Fälle von Claude-Missbrauch in sieben Kategorien einteilt: Cyberoperationen, Einflussoperationen, Überwachung, Entwicklung konventioneller Waffen, biologischer Missbrauch, Betrug sowie illegale Modell-Destillation.
In der Kategorie konventionelle Waffen gibt es insgesamt 6 Fälle, nach der im Bericht genannten Zuordnung 3 aus China, 2 aus Russland und 1 aus dem Jemen. Am detailliertesten beschrieben ist der Jemen-Fall.
Eine Einheit, drei Projekte
Der Bericht beschreibt eine Waffenentwicklungseinheit im Norden Jemens, die gleichzeitig drei Projekte vorantreibt: eine lenkbare Rakete, eine mehrstufige ballistische Rakete mit einer Reichweite von über 2.000 Kilometern sowie eine Reihe hyperschallfähiger Gleitvarianten.
Claude Code wurde für Steuerungs-, Navigations- und Regelungssoftware eingesetzt, im Fachjargon meist als GNC bezeichnet. Konkret listet der Bericht vier Aufgaben auf: Code für Steuerung und Positionsschätzung schreiben, Parameter abstimmen, Firmware erstellen, Flugsimulationen durchführen. Anthropic formuliert es so, dass die Beteiligten mit Claude Code einen Teil der Arbeit erledigten, die normalerweise Softwareingenieure übernehmen müssten.
Zwei Methoden dienten dazu, die Sicherheitsmechanismen zu umgehen. Zum einen wurde der militärische Zweck der Software verschleiert und die Anfrage als allgemeines Problem der Regelungsalgorithmik dargestellt; zum anderen wurde die Gesamtarbeit in voneinander unabhängige Sitzungen aufgeteilt, sodass jede Sitzung nur eine Komponente sah und sich daraus kein vollständiger Plan zusammensetzen ließ.
Aufgedeckt wurde es durch einen Fehlschlag. Laut Bericht scheiterte ein Testschuss der lenkbaren Rakete, und als der Bediener Claude nach der Ursache des Fehlschlags fragte, löste diese Frage einen Sicherheitsalarm aus.
Nach Angaben von Anthropic blockierten die Sicherheitsmechanismen viele, aber nicht alle dieser Anfragen; die betroffenen Konten wurden dauerhaft gesperrt.
Ein Punkt muss klargestellt werden: Der Bericht benennt nicht, welcher Seite die Einheit zuzuordnen ist. "Norden Jemens" ist die geografische Beschreibung des Berichts, die Zuschreibung an die Huthi-Bewegung stammt aus medialen Schlussfolgerungen und wurde von Anthropic nicht bestätigt. Der Bericht hält ebenfalls fest, dass es keine Belege dafür gibt, dass diese Projekte zu einsatzfähigen Waffen geführt haben.
Die Überwachungskategorie hat eine deutlich größere Dimension
Von den sieben Kategorien lässt sich bei der Überwachung am leichtesten von den Zahlen einschüchtern. Der Bericht erwähnt eine Plattform namens Lakana 360 in Mali, die rund 25 Millionen SIM-Karten abdeckt und an drei landesweite Mobilfunkbetreiber angebunden ist. Diese Größenordnung geht über den Missbrauch durch Einzelpersonen hinaus und gehört zur Kategorie systematischer Infrastruktur.
Hauptakteure der Kategorie illegale Modell-Destillation sind mehrere chinesische Labore. Bei der mit Alibaba verbundenen Linie nennt der Bericht 151 Millionen Interaktionen innerhalb von drei Monaten und bezeichnet diese Kategorie als „verdeckte Operation im industriellen Maßstab". Über diesen Teil wurde bereits zuvor separat berichtet.
Der Bericht klärt außerdem einen Punkt auf Modellebene: Missbraucht wurden überwiegend ältere Versionen wie Claude Opus 4 und Sonnet 4.5. Die biologischen Schutzmechanismen der älteren Modelle sollen laut Bericht „vor allem verhindern, dass Einsteiger Zugang zu bereits bekannten Inhalten über biologische Waffen erhalten", während die neuere Modellgeneration der Fable- und Mythos-Klasse strengeren Beschränkungen unterliegt und auch breit gefasste Anfragen zur Dual-Use-Biologieforschung eingeschränkt wurden.
Zwei Veröffentlichungen am selben Tag
Am 10. September veröffentlichte Anthropic nicht nur diesen Bericht. Am selben Tag erschien auch eine Fähigkeitsbewertung des Frontier-Red-Team und des Threat-Intelligence-Teams, die testete, wie weit Modelle bei militärischen und geheimdienstlichen Aufgaben kommen, darunter Foto-Geolokalisierung, Kontoverknüpfung, Endphasen-Zielführung für Drohnen und autonome Navigation bei gestörtem GPS-Signal. Das Fazit dieser Bewertung: Bei einigen Aufgaben können Modelle inzwischen leisten, wozu früher nur wenige speziell ausgebildete Experten in der Lage waren.
Betrachtet man beide Berichte zusammen, ist die zeitliche Reihenfolge umgekehrt. Die Fähigkeitsbewertung beantwortet die Frage „Ist es möglich", der Bedrohungsbericht beantwortet die Frage „Wird es bereits getan". Letzterer deckt den Zeitraum ab Dezember 2025 ab, also mehr als ein halbes Jahr vor den Tests der Fähigkeitsbewertung.
Betrachtet man den Takt, in dem Anthropic im vergangenen Jahr öffentlich informiert hat, verdichtet sich diese Linie zunehmend: von anfänglich vereinzelten Meldungen über Kontosperrungen über die Offenlegung einzelner Vorfälle wie beim Wassersystem in Mexiko bis hin zu dieser nach Kategorien und Zuordnungen geordneten Jahresbilanz. Ob eine solche Offenlegungsdichte zur Branchennorm wird, ist offen — vergleichbares öffentliches Material anderer Unternehmen gibt es bislang nicht.
Quellen: Bedrohungsbericht von Anthropic, CocoLoop, United Daily News, unwire.hk; Veröffentlichungszeitpunkt des Berichts, Verteilung der Fallzahlen und Darstellung der drei Projektlinien im Jemen-Fall wurden geprüft.