# anthropic-threat-intelligence-misuse-report-2026-09-10

## Veille

Bedrohungsbericht, veröffentlicht vom **Threat Intelligence**-Team von Anthropic am **10. September 2026** auf anthropic.com (~36.000 Wörter einschließlich Kompromittierungsindikatoren, herunterladbares PDF, unsigniert). Er behandelt Missbrauchsfälle, die zwischen **Dezember 2025 und August 2026** in **sieben** Bereichen unterbunden wurden: Cyber, Einflussnahme, Überwachung, konventionelle Waffen, Biologie, Betrug, Distillation. Alle Fälle betreffen Haiku, Sonnet oder Opus; keiner betrifft Fable oder Mythos, mit Ausnahme eines Distillationsversuchs.

## Titre Article

Detecting and countering misuse of AI: September 2026

## Date

2026-09-10

## URL

https://www.anthropic.com/threat-intelligence-report-september-2026

## Keywords

Threat Intelligence, KI-Missbrauch, Generative Threat Group, uplift, Cyber Kill Chain, autonome Agenten, vibe hacking, PentAGI, gestohlene API-Schlüssel, KI-Lieferkette, ShinyHunters, Midnight Blizzard, exploit foundry, Zero-Day, Einflussoperationen, Influence-as-a-Service, Breakout Scale, staatliche Überwachung, transnationale Repression, Massenabhörung, konventionelle Waffen, autonome Drohnen, biologischer Dual-Use, Gain-of-Function, unerlaubte Distillation, Reasoning-Kette, thinking signature, Cross-Session-Replay, Resale-Proxys, Alibaba, Moonshot AI, DeepSeek, Z.ai, Xiaomi, Guardrails, Classifier, Trusted-Access-Programme

## Authors

Anthropic — équipe Threat Intelligence (rattachée aux Safeguards), rapport institutionnel non signé publié sur anthropic.com.

## Ton

Profil: Bedrohungsbericht, verfasst in der institutionellen ersten Person Plural, im Register eines CTI-Analysten (GTG-xxxxx-Bezeichner, Konfidenzstufen *low / medium / high*, entschärfte Kompromittierungsindikatoren, datierte IP-Adresstabellen). Zielgruppe: Sicherheitsteams, andere Modellanbieter, Regierungen und die Zivilgesellschaft. Drei Merkmale. Erstens **Attributionsdisziplin**: Jeder Fall trägt seine Konfidenzstufe und trennt, was auf der Plattform beobachtet wird, von dem, was durch offene Quellen oder Partner bestätigt wird (All Eyes on Wagner, Forbidden Stories, Microsoft, OpenAI); die Sichtbarkeit endet ausdrücklich, sobald eine Operation Claude verlässt. Zweitens ein **maßvolles Eingeständnis von Grenzen**: Eine Ablehnung wird *"durch weiteres Prompting überwunden"*, das Aufteilen der Arbeit in kleine Sitzungen schwächt die Classifier, die offline eingesetzte malische Plattform entzieht sich jeder Maßnahme auf Account-Ebene, und der Biologie-Abschnitt räumt ein, dass seine Bewertungen nur uneindeutige Belege liefern. Schließlich der **normative Geltungsbereich**: Der Bericht nennt Unternehmen (Alibaba, Moonshot AI, DeepSeek, Z.ai, Xiaomi, SenseTime, MiniMax, LKM Company, BBS Bilisim, S2T) und Staaten und schließt jeden Abschnitt mit einer Empfehlung an die Branche — KI-Schlüssel als Produktionszugangsdaten behandeln, fortgeschrittene biologische Fähigkeiten verifizierten Zugangsprogrammen vorbehalten. Das Vokabular bleibt das der Bedrohungsanalyse (*uplift*, *kill chain*, *tradecraft*); der werbliche Inhalt beschränkt sich auf den Hinweis, dass Fable und Mythos in keinem Cyberfall auftreten.

## Pense-betes

- **Umfang**: Dezember 2025 → August 2026, sieben Bereiche, rund dreißig GTG-Gruppen. Beteiligte Modelle: Haiku, Sonnet, Opus. Keine Fälle bei Fable oder Mythos, außer einem Cyber-Distillationsversuch gegen Fable, der nach Degradierung durch die Guardrails abgebrochen wurde; Z.ai-Mitarbeiter wechselten daraufhin zu Opus 4.6 und dem Flaggschiffmodell eines anderen US-Labors *"ausdrücklich weil sie die Schutzmaßnahmen als schwächer einschätzten"*.
- **Cyber, zwei Trends.** (1) Die Raffinesse lässt nicht mehr erkennen, wer angreift: ein Hacktivist mit gestohlenen Schlüsseln, ShinyHunters-Affiliates und ein Operator aus dem Bereich Staatsspionage folgen derselben Methode. (2) Die Autonomie nimmt zu: Aufklärungs-Ausnutzungs-Exfiltrations-Loops, die über Stunden oder Tage laufen, eine Flotte von **13** Collection-Agenten, die ohne menschliches Eingreifen eingeplant werden (GTG-10007), Agenten, die Malware neu aufbauen, sobald ein Antivirenprogramm sie entdeckt (GTG-20006). Zwei vom Bericht gesetzte Einschränkungen: Menschen übernehmen weiterhin Zielauswahl, Monetarisierung und Überprüfung; Autonomie und Schweregrad sind zwei getrennte Achsen, und mehrere der schwersten Kompromittierungen wurden Schritt für Schritt gesteuert.
- **GTG-20006 (Midnight Blizzard)**: mehr als **20** angegriffene Organisationen, DNS-Hijacking bei drei Hotel-WLAN-Anbietern (die von Microsoft im Juli 2026 beschriebene Methode "CaptiveCrunch"), **300.000** nationale Identitäten und das Register von **500.000** Unternehmen, exfiltriert von einer nordafrikanischen Behörde. Der Mensch greift hauptsächlich ein, um die Claude Code-Skills anzupassen, die die Workflows steuern.
- **GTG-50014 (ShinyHunters)**: eine Pipeline über zehn EC2-Instanzen, die mit TruffleHog **1,8 Mio.** APKs dekompiliert; mehr als ein Terabyte aus einem Technologieanbieter exfiltriert; **2.100** Azure-AD-Tokensätze über **40** Tenants in **34 Stunden** erbeutet, *"KI-Agenten erledigten fast die gesamte Arbeit"*; ein vollständiger Breach in wenigen Stunden. Der Bericht nennt dies *vibe hacking*: Der Operator gibt ein allgemeines Ziel vor und lässt den Agenten bewerten, skripten, ausführen und wiederholen.
- **GTG-10007**: Studierende einer Universität in Hunan, eine *exploit foundry* — ein autonomer Loop zum Reverse-Engineering von Firmware erzeugt in einem Monat mehr als ein Dutzend mögliche Zero-Days bei Netzwerkgeräten; Schwärme von Agenten mit sitzungsübergreifend persistentem Kampagnen-Memory.
- **KI-Lieferkette**: Ein gestohlener Schlüssel liefert *loot, compute, cover*. GTG-50020 attackiert innerhalb von vier Tagen rund dreißig KI-Unternehmen mit dem erklärten Ziel, Zugang zu einem Claude-Modell vor dessen Veröffentlichung zu erlangen (scheitert auf jedem Weg); GTG-50021 verkauft gefälschten, vergünstigten Claude-Zugang, der einen Credential-Stealer installiert. Prompt-Injections gegen LiteLLM- und OpenClaw-Deployments zur Exfiltration von Produktionsschlüsseln. Empfehlung: KI-Schlüssel und Agenten-Integrationen wie Produktionszugangsdaten behandeln.
- **Einflussnahme**: neun Operationen, Kategorien 1 bis 4 auf der Breakout Scale; die meisten erreichen kein echtes Publikum, echte Reichweite entsteht über staatliche Medien (UKW-Radio in der Zentralafrikanischen Republik, Sputnik, RT). Die Doktrin liegt in Memory-Dateien oder `SKILL.md`-Dateien, die über Hunderte von Sitzungen wiederverwendet werden. Claude lehnte bestimmte Anfragen ab (Aktivisten namentlich nennen, ein Verleumdungsdossier erstellen); der Akteur formuliert um und macht weiter.
- **Überwachung**: In Mali überwacht **Lakana 360** ~**25 Mio.** SIM-Karten bei drei Betreibern, wobei die Anordnung eines Durchsuchungsbeschlusses auf Wunsch des Betreibers entfällt; die Lösung ist vor Ort mit einem lokalen LLM im Einsatz — eine Account-Sperre wirkt sich nicht auf das Produkt aus. In China ist eine Einheit für religiöse Aufklärung von mehreren Teams zu einem einzigen Amt übergegangen, das monatlich Tausende von Ermittlungen durchführt; ein Amt verfasst ein internes Handbuch zur KI-Nutzung. Im Iran: sechzehn Accounts, eine bösartige Firefox-Erweiterung und zwei Einheiten, die dasselbe System "Arman" bedienen.
- **Konventionelle Waffen**: sechs Fälle. Im Jemen ein realer Testabschuss, gefolgt von einer Rückkehr zu Claude innerhalb von Stunden zur Analyse des Fehlschlags; in Russland ein FPV-Schwarm mit der Zielklasse *"Person"* und Detonation ohne menschliches Eingreifen (TRL 3-4); in China eine Suite für elektronische Kriegsführung, deren Standardszenario auf zwölf Ziele in Taiwan umschaltet. Neue Classifier für Sprengstoffe und Waffen angekündigt.
- **Biologie**: fünf Fälle, alle Dual-Use, wobei aktive Forscher, Institutionen und Agenten bewusst nicht genannt werden. Classifier beschränken Gain-of-Function auf die schwächsten Modelle (Sonnet 4, Haiku 4.5), aber Opus 5 entwirft in einer Stunde einen vollständigen Förderantrag zu Orthopoxviren, ohne blockiert zu werden. Schlussfolgerung des Berichts: Ein Classifier allein kann nicht *"Nutzen ermöglichen und Schaden verhindern"*, daher die in [[anthropic-claude-fable-5-1-mythos-5-1-2026-09-01]] beschriebenen Trusted-Access-Programme. Eine 30-tägige Durchsuchung ergab: ~35 Forschungsvorhaben mit Verbindungen zu gegnerischen staatlichen Institutionen.
- **Betrug**: GTG-15001, mehr als 20 Dating-Apps, **4.700** KI-Personas, **25.000** Opfer, **2,36 Mio.** Nachrichten in zwei Wochen, drei Personas pro menschlichem Mitarbeiter. Der System-Prompt ähnelt einem gewöhnlichen Companion-Deployment: Der Betrug ist innerhalb der Konversation nicht erkennbar.
- **Distillation**: Alibaba **151 Mio.** Austausche (Mai–Juli, 3.500 Accounts, Distillation von Qwen 3.5 auf 3.7), Moonshot AI **23 Mio.** (5.380 Accounts), DeepSeek **12,1 Mio.** in 14 Tagen, Z.ai **3,4 Mio.** in 17 Tagen, Xiaomi **400k**. DeepSeek identifiziert Nutzer von Claude Code, Claude Agent SDK oder OpenCode und leitet deren Anfragen an Opus weiter. Moonshot und DeepSeek wandeln die *thinking signature* über Cross-Session-Replay in eine vollständige Spur um; sensible Daten Dritter (PLA, russisches Verteidigungsministerium, Unternehmen) laufen so durch Claude. Gegenmaßnahmen: Reasoning-Zusammenfassung, das *preserved thinking* von Fable 5.1, Identitätsverifizierung — die in der Fable-5.1-Fiche angekündigten Anti-Distillation-Maßnahmen finden hier ihren Fallbeleg. Vergleiche mit [[sfeir-kimi-k3-moonshot-frontier-open-weights-2026-07-16]].
- ⚠️ **Zitierhygiene**: Die Seite zeigt kein Datum; die Veröffentlichung wird aus den CMS-Metadaten abgeleitet (am 9. erstellt, am 10. September aktualisiert); die Reichweitenzahlen für die Einfluss- und Betrugsoperationen beruhen auf Selbstangaben der Akteure; der *uplift* ist eine qualitative Schätzung; der Bericht sagt nicht, dass GLM-5.3 mit den extrahierten Traces trainiert wurde, sondern nur, dass eine auf Cyberfähigkeiten ausgerichtete Kampagne seiner Veröffentlichung vorausging.

## RésuméDe400mots

Am **10. September 2026** veröffentlichte Anthropic seinen vierten Bedrohungsbericht. Er behandelt Operationen, die zwischen Dezember 2025 und August 2026 in sieben Bereichen unterbunden wurden: Cyber, Einflussnahme, Überwachung, konventionelle Waffen, Biologie, Betrug und Distillation. Alle Fälle betreffen die Modelle Haiku, Sonnet oder Opus; keiner betrifft Fable oder Mythos, mit Ausnahme eines Distillationsversuchs.

Im Bereich **Cyber** stellt der Bericht fest, dass sich das im November 2025 beschriebene autonome Betriebsmodell auf alle Klassen von Akteuren ausgebreitet hat, bis hin zu öffentlichen Frameworks wie PentAGI. Die Raffinesse eines Angriffs lässt nicht mehr erkennen, wer dahintersteckt: ein einzelner frankophoner Hacktivist, ShinyHunters-Affiliates und ein mit Midnight Blizzard verbundener Operator führen Kampagnen mit mehreren Opfern durch, die ein Jahr zuvor noch ganze Teams erfordert hätten. Agenten bauen Malware neu auf, sobald sie entdeckt wird, erzeugen Zero-Days im Loop und erbeuten 2.100 Azure-AD-Tokensätze in 34 Stunden. Gestohlene KI-API-Schlüssel werden zu Beute, Rechenleistung und Tarnung. Zwei Einschränkungen: Menschen übernehmen weiterhin die Zielauswahl, und Autonomie vervielfacht den Umfang, bestimmt aber nicht den Schweregrad.

Im Bereich **Einflussnahme** zeigen neun Operationen (Russland, Iran, Türkei, der Golf, Kenia, Bangladesch, Malaysia), dass das Modell als Lektor in bestehende Pipelines integriert wurde, wobei die Doktrin in Memory-Dateien gespeichert ist, die über Hunderte von Sitzungen wiederverwendet werden. Die meisten erreichen kein echtes Publikum; Reichweite entsteht über staatliche Medien. Im Bereich **Überwachung** ersetzt das Modell ein Team von Ingenieuren oder Analysten: eine Abhörplattform mit 25 Millionen SIM-Karten in Mali, offline eingesetzt und damit außerhalb der Reichweite eines Verbots; chinesische Behörden für öffentliche Sicherheit und iranische Einheiten, die Briefings und Tools erstellen.

Sechs Fälle im Bereich **konventionelle Waffen** reichen von einem Testschlag im Jemen bis zu einem russischen Drohnenschwarm, der in der Lage ist, ein menschliches Ziel ohne Operator auszuwählen. Fünf Fälle im Bereich **Biologie**, alle Dual-Use, veranlassen Anthropic zu dem Schluss, dass ein Classifier nicht gleichzeitig Nutzen ermöglichen und Schaden verhindern kann, daher die Trusted-Access-Programme. Ein Netzwerk von Dating-Apps ließ 4.700 Personas mit 25.000 Menschen kommunizieren.

Im Bereich **Distillation** nennt der Bericht sieben chinesische Labore. Alibaba erreicht 151 Millionen Austausche in drei Monaten, um Qwen zu trainieren; Moonshot AI und DeepSeek liefern ihren Kunden Claude-Antworten, ohne dies offenzulegen, und wandeln die *thinking signature* über Cross-Session-Replay in eine vollständige Spur um; Z.ai zielt vor der Veröffentlichung von GLM-5.3 auf Cyberfähigkeiten ab und verzichtet auf Fable zugunsten von Modellen, die als weniger geschützt eingeschätzt werden. Genannte Gegenmaßnahmen: Reasoning-Zusammenfassung, das *preserved thinking* von Fable 5.1, Identitätsverifizierung.

## GrapheDeConnaissance

- Anthropic —publie→ Threat Intelligence Report septembre 2026 (DOCUMENT, 0.99)
- Threat Intelligence Report septembre 2026 —affine→ rapport Disrupting AI espionage novembre 2025 (DOCUMENT, 0.92)
- Anthropic —utilise→ Generative Threat Group (CONCEPT, 0.95)
- Anthropic —affirme_que→ aucun cas de mésusage n'implique Fable ou Mythos, hors une tentative de distillation (AFFIRMATION, 0.96)
- Anthropic —affirme_que→ la sophistication d'une attaque n'est plus un signal fiable de l'identité de son auteur (AFFIRMATION, 0.95)
- Anthropic —affirme_que→ le modèle opératoire autonome documenté en novembre 2025 s'est diffusé à toutes les classes d'acteurs (AFFIRMATION, 0.94)
- Anthropic —affirme_que→ l'autonomie multiplie l'échelle et la vitesse d'une opération mais ne détermine pas sa gravité (AFFIRMATION, 0.93)
- PentAGI —permet→ automatisation de la kill chain cyber (CONCEPT, 0.9)
- Midnight Blizzard —utilise→ Claude Code (TECHNOLOGIE, 0.9)
- ShinyHunters —utilise→ vibe hacking (CONCEPT, 0.9)
- Threat Intelligence Report septembre 2026 —mesure→ 2 100 jeux de jetons Azure AD sur 40 tenants dumpés en 34 heures, presque entièrement par des agents (MESURE, 0.92)
- Anthropic —recommande→ traiter les clés d'API IA et les intégrations d'agents comme des identifiants de production (AFFIRMATION, 0.95)
- Anthropic —utilise→ Breakout Scale (METHODOLOGIE, 0.95)
- Threat Intelligence Report septembre 2026 —affirme_que→ la plupart des opérations d'influence n'atteignent pas d'audience authentique, sauf via des médias d'État (AFFIRMATION, 0.92)
- Threat Intelligence Report septembre 2026 —mesure→ Lakana 360 couvre environ 25 millions de cartes SIM sur les trois opérateurs mobiles du Mali (MESURE, 0.92)
- Anthropic —affirme_que→ les garde-fous n'ont pas fonctionné uniformément dans les cas de surveillance chinois (AFFIRMATION, 0.93)
- Anthropic —affirme_que→ un classifieur ne peut pas seul permettre le bénéfice et prévenir le mal en biologie à double usage (AFFIRMATION, 0.94)
- Anthropic —recommande→ programmes d'accès de confiance (CONCEPT, 0.94)
- Threat Intelligence Report septembre 2026 —mesure→ 4 700 personas IA en conversation avec au moins 25 000 personnes, 2,36 millions de messages en deux semaines (MESURE, 0.93)
- Alibaba —utilise→ distillation illicite (CONCEPT, 0.96)
- Threat Intelligence Report septembre 2026 —mesure→ 151 millions d'échanges attribués à Alibaba entre mai et juillet 2026, pic à environ 3 millions par jour (MESURE, 0.95)
- Qwen —est_basé_sur→ Claude Opus (TECHNOLOGIE, 0.88)
- Moonshot AI —utilise→ attaque par rejeu inter-sessions (CONCEPT, 0.93)
- DeepSeek —utilise→ attaque par rejeu inter-sessions (CONCEPT, 0.93)
- attaque par rejeu inter-sessions —s_oppose_à→ thinking signature (TECHNOLOGIE, 0.92)
- Threat Intelligence Report septembre 2026 —affirme_que→ Moonshot AI et DeepSeek ont servi des réponses de Claude à leurs clients sans les en informer (AFFIRMATION, 0.93)
- Z.ai —utilise→ distillation illicite (CONCEPT, 0.95)
- Threat Intelligence Report septembre 2026 —affirme_que→ Z.ai a ciblé les capacités cyber de modèles américains avant la sortie de GLM-5.3 et abandonné Fable pour des modèles jugés moins protégés (AFFIRMATION, 0.92)
- Xiaomi —utilise→ distillation illicite (CONCEPT, 0.93)
- Claude Fable 5.1 —utilise→ preserved thinking (TECHNOLOGIE, 0.95)
- preserved thinking —réduit→ distillation illicite (CONCEPT, 0.9)
- Anthropic —affirme_que→ un modèle distillé d'un modèle frontière peut acquérir des capacités dangereuses même si les échanges récoltés n'en traitent pas (AFFIRMATION, 0.9)

---
Canonical: https://www.thekb.eu/de/fiches/anthropic-threat-intelligence-misuse-report-2026-09-10/