Das erst wenige Monate alte Cybersicherheitsunternehmen Cathedral gibt an, seine KI-Agenten hätten in weniger als 12 Stunden einen Zugang zu Anthropics internen Geschäftssystemen gefunden und dort Besprechungsprotokolle, Gehalts- und Angebotsdaten sowie Slack-Nachrichten erreicht, in denen Mitarbeiter über Frontier-Modelle diskutieren. Anthropic bestätigte anschließend, dass auf einen Teil der Vertriebs-, Personal- und IT-Systeme tatsächlich zugegriffen wurde. Die Prompts, die Kunden an Claude geschickt haben, Claudes Antworten, der Quellcode und die Modellgewichte seien jedoch nicht berührt worden.
Der Test lief über das Bug-Bounty-Programm, das Anthropic für externe Forscher bereithält. Es handelte sich also um einen autorisierten Test und nicht um einen kriminellen Einbruch. Öffentlich wurde der Fall durch die Washington Post, die sich auf einen Berichtsentwurf von Cathedral stützt.
Der Einstieg lag beim Zulieferer
Nach dem bisher Bekannten haben sich Cathedrals Agenten nicht an Anthropics eigenem Code abgearbeitet und auch nicht an den Modellen. Sie nahmen sich mehrere kommerzielle Softwareprodukte von Drittanbietern vor, die das Unternehmen für Verwaltung und Vertrieb einsetzt. Welche Anbieter betroffen sind und um welche Schwachstellen es sich genau handelt, haben beide Seiten nicht veröffentlicht, um eine Wiederverwendung zu verhindern. Die betroffenen Hersteller seien informiert.
Anthropics Darstellung des Ablaufs: Das Monitoring habe einen Teil der Aktivitäten bereits markiert, bevor Cathedral Meldung machte. Am Tag des Berichtseingangs sei der Zugriff gekappt und die betroffene Fachsoftware deaktiviert worden, und erst nach der Bestätigung der Behebung durch die Hersteller sei sie wieder in Betrieb gegangen. Zudem habe man keine Hinweise darauf gefunden, dass jemand außer Cathedral diese Schwächen ausgenutzt hat.
Die Darstellungen passen nicht zusammen
Der Streit dreht sich um zwei Punkte. Anthropic meint, Cathedral habe die Folgen für die nationale Sicherheit übertrieben und zudem nicht, wie es die Bounty-Regeln verlangen, seine gesamten Aktivitäten in den Systemen offengelegt. Cathedral entgegnet, man habe sich an die Konventionen der Sicherheitsforschung gehalten und den Datenzugriff auf das notwendige Minimum beschränkt.
Auch was in den erreichten Systemen tatsächlich lag, wird unterschiedlich beschrieben. Cathedrals Entwurf nennt Besprechungsprotokolle, Vergütungsdaten und Slack-Diskussionen; Anthropic spricht von geschäftlichen Kontaktdaten einiger Kunden und Partner sowie von grundlegenden Kontodatensätzen. Welche Version der Wirklichkeit näherkommt, lässt sich von außen derzeit nicht prüfen, zumal Cathedrals Bericht noch nicht final veröffentlicht ist.
Woher die Firma kommt
Die vier Mitgründer von Cathedral, Gavin Kliger, Luke Farritor, Marko Elez und Jack Stein, haben alle bei DOGE gearbeitet, Kliger war außerdem Chief Data Officer des Pentagons. Reuters berichtete im Juli, das Unternehmen habe 160 Millionen US-Dollar bei einer Bewertung von 1,4 Milliarden US-Dollar eingesammelt, angeführt von a16z und Sequoia. Ziel seien KI-gestützte Cyberoperations-Werkzeuge für das US-Militär, die sowohl offensiv als auch defensiv einsetzbar sind. Ein hochrangiger Regierungsvertreter sagte der Washington Post, drei Bundesbehörden hätten bereits Verträge mit der Firma abgeschlossen.
Legt man die Zeitleiste nebeneinander: Im Juli kam das Geld, im Oktober gibt es bereits einen öffentlichen Fall bei einem der führenden KI-Labore. Welche Überlegungen Cathedral bei der Zielauswahl leiteten, ist von außen nicht zu erkennen. Dass Anthropic eigens der Darstellung einer „Auswirkung auf die nationale Sicherheit“ widersprach, zeigt aber, dass man den Test nicht als schwerwiegenden Sicherheitsvorfall verbucht sehen will.
Chinesische Unternehmen sollten nachschauen
Für Unternehmen in China ist der Vorfall eine sehr direkte Mahnung. Bei den meisten hängen Personalwesen, CRM, Zusammenarbeit und Single Sign-on ebenfalls an externen SaaS-Diensten, die Berechtigungen werden oft gleich umfassend vergeben, und OAuth-Tokens werden über Jahre nicht widerrufen. Der Weg, den Cathedral vorführt, verkürzt mit Agenten das Vorgehen „einen schwächeren Anbieter suchen und der Autorisierungskette nach innen folgen“ auf einen halben Tag.
Was zu tun ist, ist nicht kompliziert: erfassen, welche externen Anwendungen an interne Daten angebunden sind, die Rechte nach dem Prinzip der minimalen Berechtigung neu setzen, langlebige Tokens regelmäßig prüfen und für auffälliges Kontoverhalten Alarme einrichten. Dass Anthropic hier einen Teil der Vorgänge noch vor dem Bericht bemerkte, verdankt das Unternehmen genau dem letzten Punkt.
Quellen: The Washington Post, Cyber Security News, CocoLoop, Reuters; Finanzierungssumme und Bewertung von Cathedral nach Reuters, der Zugriffsumfang jeweils abgeglichen mit Anthropics Stellungnahme und der Beschreibung im Berichtsentwurf von Cathedral.