Ein Sicherheitsforscher hat eine kritische Schwachstelle in der Claude-KI von Anthropic aufgedeckt, eine Schwachstelle, die es Angreifern ermöglicht, Benutzerdaten zu stehlen, indem sie die eigenen Tools der KI gegen sich selbst richten.
In seinem Bericht erläuterte der Forscher, wie versteckte Befehle den Code-Interpreter von Claude kapern können. Diese Befehle verleiten die KI dazu, die eigene Datei-API von Anthropic zu verwenden, um vertrauliche Daten wie Chatverläufe direkt an einen Angreifer zu senden.
Anthropic wies den Bericht zunächst am 25. Oktober ab, hob seine Entscheidung jedoch am 30. Oktober auf und räumte einen „Prozessfehler“ ein. Der Vorfall verdeutlicht die neuartigen Sicherheitsherausforderungen, vor denen KI-Plattformen in Unternehmen jetzt stehen, und dient als kritische Fallstudie.
Ein genialer Exploit: Claudes eigene API in einen Datenexfiltrationskanal verwandeln
Durch die Verkettung mehrerer davon Claudes legitimen Funktionen entwarf der Sicherheitsforscher Johann Rehberger einen raffinierten Angriff, der die KI in einen unwissenden Komplizen verwandelt.
Sein Exploit beginnt mit einer indirekten Prompt-Injection, bei der bösartige Anweisungen erfolgen sind in einem Dokument versteckt, das ein Benutzer Claude zur Verarbeitung auffordert.
Diese versteckten Befehle kapern den Arbeitsablauf der KI und weisen sie an, vertrauliche Informationen, wie zum Beispiel aktuelle Chat-Gespräche, zu sammeln und den Inhalt in eine Datei in ihrer Sandbox-Umgebung zu schreiben.
Die wahre Genialität des Angriffs liegt in der Exfiltration. Schädlicher Code weist Claude an, seinen Code-Interpreter zum Hochladen der neu erstellten Datei zu verwenden. Entscheidend ist, dass der Exploit ein Versehen in Claudes Standard-Netzwerkeinstellungen ausnutzt, die api.anthropic.com ausdrücklich auf die Zulassungsliste setzen.
Da dieser Endpunkt für legitime Funktionen gedacht ist, wird er zum Kanal für die Datenpanne. Seine Nutzlast weist Claude an, die Datei mit dem API-Schlüssel eines Angreifers hochzuladen, nicht mit dem des Opfers.
Wie Rehberger in seinem technischen Artikel erklärte: „Der Upload erfolgt nicht über das Anthropic-Konto des Benutzers, sondern über die Angreifer, da hier der ANTHROPIC_API_KEY des Angreifers verwendet wird!“ Eine solche Technik ermöglicht es einem Angreifer, bis zu 30 MB Daten auf einmal für jede hochgeladene Datei zu exfiltrieren.
Die Entwicklung eines zuverlässigen Exploits erforderte die Umgehung der integrierten Sicherheitsmechanismen von Claude, die Klartext-API-Schlüssel korrekt als verdächtig identifizierten. Rehberger entdeckte einen einfachen, aber effektiven Workaround.
„Ich habe einfach eine Menge harmlosen Codes eingemischt, etwa print („Hello, world“), und das hat Claude davon überzeugt, dass nicht allzu viele bösartige Dinge passieren.“ Diese Methode überzeugte die KI erfolgreich davon, dass der Vorgang harmlos war, und ermöglichte die Ausführung des Schadcodes.
Eine holprige Offenlegung: Von „Out-of-Scope“ zu „Prozess-Hiccup“
In einem Schritt, der die Sicherheitsgemeinschaft zunächst verwirrte, lehnte das Bug-Bounty-Programm von Anthropic den Bericht zunächst ab. Nachdem Rehberger seine Ergebnisse am 25. Oktober über HackerOne eingereicht hatte, wurde das Ticket innerhalb einer Stunde geschlossen, und das Unternehmen stufte das Problem als außerhalb des Anwendungsbereichs liegendes Sicherheitsproblem und nicht als Sicherheitslücke ein.
Der Forscher bestritt diese Einstufung öffentlich und argumentierte, dass die Schwachstelle ein konkretes Sicherheitsrisiko und kein abstraktes Sicherheitsrisiko darstelle.
Aus seiner Sicht gilt: „Sicherheit schützt Sie vor Unfällen. Sicherheit schützt Sie vor Gegnern.“ Ein entscheidender Unterschied, da eine Sicherheitslücke einen Verstoß gegen die Integrität des Systems impliziert, während Sicherheitsprobleme oft mit dem Inhalt oder dem Verhalten des Modells zusammenhängen.
Anthropic revidierte seine Haltung fünf Tage später, am 30. Oktober. Als das Unternehmen das Ticket erneut öffnete, informierte es den Forscher über eine Kurskorrektur.
Laut einem Update von Rehberger „hat Anthropic bestätigt, dass Datenexfiltrationsschwachstellen wie diese im Spiel sind.“ für die Meldung, und dieses Problem hätte nicht als außerhalb des Geltungsbereichs liegend geschlossen werden dürfen.“
Das Erkennen eines „Prozessproblems“ bringt den Vorfall in Einklang mit den Standardpraktiken zur Offenlegung von Schwachstellen und bestätigt die Schwere des Exploits.
Ein vertrautes Muster in der KI-Sicherheit von Unternehmen
Für Unternehmen, die KI-Assistenten in ihren Organisationen einsetzen, dient die Schwachstelle als kritische Warnung. Dieser Vorfall ist Teil eines umfassenderen Musters komplexer, verketteter Exploits, die auf KI-Agenten abzielen, die tief in sensible Daten integriert sind.
Seine Technik weist eine verblüffende Ähnlichkeit mit einem kürzlich behobenen Fehler in Microsoft 365 Copilot auf, bei dem Angreifer eine Kombination aus Prompt-Injection und Mermaid-Diagrammen nutzten, um Benutzerdaten zu exfiltrieren.
Solche Angriffe verdeutlichen eine grundlegende Herausforderung: Da KI-Agenten mehr Fähigkeiten und Zugriff auf interne Tools erhalten, vergrößert sich ihre Angriffsfläche unvorhersehbar Methoden.
Im Kern besteht das Risiko darin, dass KI-Agenten zu einer neuen Form der Insider-Bedrohung werden können. Sie arbeiten mit legitimen Berechtigungen, was es für herkömmliche Sicherheitstools schwierig macht, zwischen normalen Vorgängen und böswilligen Aktivitäten zu unterscheiden, die durch eine versteckte Eingabeaufforderung inszeniert werden.
Anthropic selbst ist sich genau darüber im Klaren, wie seine Technologie als Waffe eingesetzt werden kann. In einem Bedrohungsbericht vom August 2025 erläuterte das Unternehmen detailliert, wie böswillige Akteure Claude für raffinierte Cyberkriminalität nutzten, eine Praxis, die es als „Vibe-Hacking“ bezeichnete.
Das macht das anfängliche Fummeln im Offenlegungsprozess umso überraschender, da das Unternehmen aktiv die genauen Arten von Missbrauch erforscht, die diese Schwachstelle ermöglicht.
Zu einer Zeit, in der Anthropic ein lautstarker Befürworter der KI-Sicherheit ist, ist die Offenlegungskontroverse umso überraschender Bemerkenswert.
Das Unternehmen hat Tools wie Petri veröffentlicht, um andere KI-Modelle zu prüfen, und Systeme zur Abwehr von Jailbreaks entwickelt.
Darüber hinaus schienen seine Modelle auch immun gegen andere aktuelle Exploits wie „ASCII-Schmuggel“, von dem einige Konkurrenten betroffen waren. Dieser Kontext deutet darauf hin, dass selbst sicherheitsbewusste Labore immer noch mit der Klassifizierung und Reaktion auf diese neuartigen, KI-nativen Bedrohungen zu kämpfen haben.
Letztendlich verdeutlicht die Claude File API-Schwachstelle das prekäre Gleichgewicht zwischen Funktionalität und Sicherheit im Zeitalter der KI-Agenten. Anthropics eigene Dokumentation erkennt dieses Risiko an und weist Benutzer darauf hin, dass „wir empfehlen, dass Sie Claude überwachen, während Sie die Funktion verwenden, und sie stoppen, wenn Sie sehen, dass sie unerwartet Daten verwendet oder darauf zugreift.“
Für große Organisationen ist die manuelle Überwachung jeder KI-Interaktion jedoch eine unpraktische, wenn nicht unmögliche Strategie zur Risikominderung. Da diese leistungsstarken Tools immer autonomer werden, steht die Branche vor einem Wettlauf um die Entwicklung neuer Sicherheitsparadigmen, die vor Angriffen schützen können, die von innen heraus agieren.
