Am 10. September 2026 veröffentlichte Anthropic seinen vierten Bedrohungsbericht. Er behandelt Operationen, die zwischen Dezember 2025 und August 2026 in sieben Bereichen unterbunden wurden: Cyber, Einflussnahme, Überwachung, konventionelle Waffen, Biologie, Betrug und Distillation. Alle Fälle betreffen die Modelle Haiku, Sonnet oder Opus; keiner betrifft Fable oder Mythos, mit Ausnahme eines Distillationsversuchs.
Im Bereich Cyber stellt der Bericht fest, dass sich das im November 2025 beschriebene autonome Betriebsmodell auf alle Klassen von Akteuren ausgebreitet hat, bis hin zu öffentlichen Frameworks wie PentAGI. Die Raffinesse eines Angriffs lässt nicht mehr erkennen, wer dahintersteckt: ein einzelner frankophoner Hacktivist, ShinyHunters-Affiliates und ein mit Midnight Blizzard verbundener Operator führen Kampagnen mit mehreren Opfern durch, die ein Jahr zuvor noch ganze Teams erfordert hätten. Agenten bauen Malware neu auf, sobald sie entdeckt wird, erzeugen Zero-Days im Loop und erbeuten 2.100 Azure-AD-Tokensätze in 34 Stunden. Gestohlene KI-API-Schlüssel werden zu Beute, Rechenleistung und Tarnung. Zwei Einschränkungen: Menschen übernehmen weiterhin die Zielauswahl, und Autonomie vervielfacht den Umfang, bestimmt aber nicht den Schweregrad.
Im Bereich Einflussnahme zeigen neun Operationen (Russland, Iran, Türkei, der Golf, Kenia, Bangladesch, Malaysia), dass das Modell als Lektor in bestehende Pipelines integriert wurde, wobei die Doktrin in Memory-Dateien gespeichert ist, die über Hunderte von Sitzungen wiederverwendet werden. Die meisten erreichen kein echtes Publikum; Reichweite entsteht über staatliche Medien. Im Bereich Überwachung ersetzt das Modell ein Team von Ingenieuren oder Analysten: eine Abhörplattform mit 25 Millionen SIM-Karten in Mali, offline eingesetzt und damit außerhalb der Reichweite eines Verbots; chinesische Behörden für öffentliche Sicherheit und iranische Einheiten, die Briefings und Tools erstellen.
Sechs Fälle im Bereich konventionelle Waffen reichen von einem Testschlag im Jemen bis zu einem russischen Drohnenschwarm, der in der Lage ist, ein menschliches Ziel ohne Operator auszuwählen. Fünf Fälle im Bereich Biologie, alle Dual-Use, veranlassen Anthropic zu dem Schluss, dass ein Classifier nicht gleichzeitig Nutzen ermöglichen und Schaden verhindern kann, daher die Trusted-Access-Programme. Ein Netzwerk von Dating-Apps ließ 4.700 Personas mit 25.000 Menschen kommunizieren.
Im Bereich Distillation nennt der Bericht sieben chinesische Labore. Alibaba erreicht 151 Millionen Austausche in drei Monaten, um Qwen zu trainieren; Moonshot AI und DeepSeek liefern ihren Kunden Claude-Antworten, ohne dies offenzulegen, und wandeln die thinking signature über Cross-Session-Replay in eine vollständige Spur um; Z.ai zielt vor der Veröffentlichung von GLM-5.3 auf Cyberfähigkeiten ab und verzichtet auf Fable zugunsten von Modellen, die als weniger geschützt eingeschätzt werden. Genannte Gegenmaßnahmen: Reasoning-Zusammenfassung, das preserved thinking von Fable 5.1, Identitätsverifizierung.