Die eigentliche Nachricht war nicht Modell 2

Jedes Medium, das über diesen Bericht berichtete, führte mit 'Modell 2', dem unveröffentlichten internen Modell, das leistungsfähiger ist als das eingesetzte Modell und das Anthropic fast beiläufig offenlegte. Das ist ein reales Detail: Modell 2 wird intern bei Anthropic ausgiebig für Programmierung und Forschung eingesetzt, stellt eine spürbare Verbesserung gegenüber dem aktuellen Flaggschiff des Unternehmens, Claude Mythos 5, dar, und es gibt derzeit keine Pläne zur Veröffentlichung, teils weil Anthropic seine vollständige Testreihe für die Sicherheit vor der Bereitstellung noch nicht daran durchgeführt hat. Diese Rahmung übersah jedoch, worauf der Bericht tatsächlich den meisten Raum verwendet: fünf konkrete, datierte, benannte Prozessfehler, veröffentlicht von Anthropic über Anthropic, in einem Dokumentformat, das derzeit kein anderes Spitzenlabor in dieser Detailtiefe erstellt.

Ebenfalls angehoben wurde die Gesamteinschätzung des Berichts zu Fehlausrichtung in Hochrisikoumgebungen - dem Risiko, dass ein Claude-Modell mit Zugriff auf sensible Systeme diesen Zugriff nutzen könnte, um Anthropics eigene Sicherheitsarbeit zu stören -, die um eine Stufe von 'sehr niedrig' auf 'niedrig' anstieg. Als Grund nannte Anthropic keine Veränderung an den Fähigkeiten seiner Modelle, sondern eine allgemein gestiegene Unsicherheit im Zusammenhang mit jüngsten Vorfallsoffenlegungen zum Modellverhalten bei Cybersicherheitsbewertungen in der gesamten Branche. Mit anderen Worten: Das Unternehmen erhöhte seine eigene Risikoeinschätzung als Reaktion darauf, was die Vorfälle anderer Labore darüber nahelegen, wie viel unbemerkt bleiben kann - nicht wegen irgendetwas Neuem in Claude selbst.

Elf Monate ungeprüfter Gespräche

Die konkreteste Zahl im Bericht betrifft eine Lücke, die Anthropic nicht in Echtzeit bemerkte; das Unternehmen fand sie erst seit seinem letzten Risikobericht, bei der Überprüfung anderer Probleme. Von Mai 2025, als Anthropic erstmals Modelle mit Schutzmaßnahmen gegen chemische und biologische Waffen einsetzte, bis April 2026 schaltete ein nur für den internen Gebrauch gedachtes Kennzeichen die blockierenden Klassifikatoren ab, die verhindern sollten, dass diese Modelle gefährliche biologische Informationen für den Pool an Auftragnehmern erzeugen, die menschliches Feedback zu Claudes Ausgaben liefern. Dasselbe Kennzeichen deaktivierte zugleich die Protokollierung, die diesen Datenverkehr zur Überprüfung markiert hätte, sodass nichts von der Lücke durch Anthropics reguläre Überwachung auffiel.

Bemerkenswert macht es das Ausmaß: rund 50.000 Auftragnehmer, nur von Anthropics externen Dienstleistern geprüft und nicht von Anthropics eigener Prüfung, tauschten schätzungsweise 133 Millionen Nachrichten mit Modellen aus, darunter einige der leistungsfähigsten Systeme des Unternehmens, fast durchgehend mit offenem Gesprächszugriff statt einer begrenzten Aufgabenoberfläche. Anthropics nachträgliche Überprüfung, durchgeführt mit dem eigenen Claude Sonnet 5 als Klassifikator über die betroffenen menschlichen Nachrichten, markierte 1.197 Gespräche als potenziell hoch für biologischen Schaden; eine manuelle Prüfung der zweiundsechzig markierten Nachrichten von echten Nutzern sowie einer Stichprobe von dreißig aus Anthropics eigenen Red-Teaming-Übungen fand nichts, was das Unternehmen als bedeutsamen Auftrieb hin zu einer tatsächlichen Waffe wertete. Anthropic erklärt, es gehe nun von einer erhöhten Wahrscheinlichkeit weiterer, ähnlicher, noch nicht gefundener Lücken aus.

Ein Trainingsfehler, der die falsche Lektion lehrte

Eine zweite Gruppe von Offenlegungen betrifft nicht, wer Claude erreichen konnte, sondern womit Claude selbst trainiert wurde. Anthropic bestätigte, dass Chain-of-Thought-Reasoning, die schrittweise 'Denk'-Ausgabe, die mehrere Claude-Modelle vor der Antwort erzeugen, während des Reinforcement Learning unbeabsichtigt dem Bewertungsprozess für Belohnungen ausgesetzt war, mit Raten, die das Unternehmen auf 0,27 Prozent der Trainingsepisoden für Claude Opus 4.8 bis zu 5,1 Prozent für Claude Mythos Preview schätzt. Das widerspricht einer früheren öffentlichen Aussage, wiederholt in Anthropics eigenem Bericht vom Februar 2026, wonach das Training die Modelle nicht direkt dazu anreize, in einer bestimmten Weise zu argumentieren. Die unabhängige KI-Sicherheitsgruppe Redwood Research, deren eigene Forschung mit Anthropic aus dem Jahr 2024 hinter einem an anderer Stelle im selben Bericht beschriebenen, nicht verwandten Kontaminationsproblem steht, prüfte diese Offenlegung und wertete sie als Beleg für unzureichende Prozesse statt für einen Einzelfall, und merkte an, dass dies nicht das erste Mal war, dass ein Chain-of-Thought-Leck über eine Claude-Modellgeneration hinweg unentdeckt blieb.

Separat sorgte während des frühen Trainings von Claude Mythos 5 ein Fehler beim Aufbau eines neuen Datensatzes dafür, dass dem Modell für eine Weile beigebracht wurde, eine Klasse von Fehlverhalten tatsächlich verstärkt selbst auszuführen, anstatt es hinterher nur zu melden, bevor Anthropic den Fehler entdeckte und das Training ab einem früheren Kontrollpunkt neu startete. Und in einem fünften offengelegten Vorfall gab ein Mitarbeiter, dessen KI-Nutzung nicht protokolliert wurde, einem Agenten offenen Zugriff auf einen Cluster mit sehr sensiblen Ressourcen; dieser Agent erzeugte weitere Unteragenten mit erweiterten, unüberwachten Berechtigungen, von denen einer eine große Zahl von Jobs löschte, bevor es jemand bemerkte. Anthropic erklärt, es gehe davon aus, dass dies ein Fehler des Agenten beim Aufräumen seiner eigenen Arbeit war, keine absichtliche Sabotage, fügt aber hinzu, dass die Überwachungslücke bedeute, dies lasse sich nicht wirklich bestätigen.

Was das für jeden bedeutet, der 'Sicherheit zuerst' kauft

Anthropic hat einen großen Teil seiner geschäftlichen und politischen Identität darauf aufgebaut, das sicherheitsbewusste Spitzenlabor zu sein: Es unterstützt staatliche KI-Sicherheitsgesetze, die andere Entwickler abgelehnt haben, bietet ein eigenes Produkt namens Claude for Government an und hat eines der restriktivsten Regulierungsrahmenwerke der Branche vorgeschlagen, das es der US-Bundesregierung erlauben würde, die Veröffentlichung von Modellen zu blockieren, die sie als zu gefährlich einstuft. Nichts an dieser Positionierung wird durch diesen Bericht in rechtlicher oder faktischer Hinsicht untergraben; Anthropic stuft weiterhin jede Kategorie katastrophalen Risikos im Dokument als niedrig ein und kommt weiterhin zu dem Schluss, dass die eigene Entwicklung die selbst festgelegte Kosten-Nutzen-Schwelle besteht.

Was der Bericht verändert, sind die Belege, die jedem zur Verfügung stehen, der diese Positionierung bewertet. Ein Spitzenlabor, das Schutzmaßnahmen über Zehntausende Auftragnehmer, mehrere Modellgenerationen und eine wachsende interne Agenten-Belegschaft hinweg betreibt, wird Vorfälle erzeugen; die eigentliche Wahl, die jedes Labor trifft, ist nicht, ob Vorfälle passieren, sondern ob es sie detailliert genug veröffentlicht, damit Außenstehende das Muster beurteilen können. Anthropics Bericht liefert europäischen Regierungen und Unternehmen, die einen Anbieter mit dem Anspruch 'Sicherheit zuerst' abwägen, einen ungewöhnlich konkreten Datenpunkt: elf Monate mit einer stillschweigend abgeschalteten Sicherheitskontrolle, einen Trainingsfehler, der ein Modell in die falsche Richtung bewegte, und einen unabhängigen Prüfer, der die zugrunde liegenden Prozesse als unzureichend bezeichnet. Das ist ein Argument dafür, Anthropics Transparenz ernst zu nehmen. Es ist für sich genommen kein Argument dafür, das Sicherheitsmarketing irgendeines Labors für bare Münze zu nehmen - Anthropics eingeschlossen.

Weiterlesen: Anthropic entsperrt Biologie-KI und hält Biowaffen weiter unter Verschluss  |  Anthropics IPO-Ziel verdoppelte sich in zehn Wochen