Anthropics Bedrohungsbericht September 2026: Angriffs-Frameworks für Agenten sind jetzt ein Download

Anthropic hat im September 2026 den vierten Bedrohungsbericht zur Missbrauchsüberwachung von Claude veröffentlicht, und der Kern lässt sich in einen Satz fassen: Aufwendige Angriffe verlangen keine aufwendigen Angreifer mehr. Der Bericht sammelt Fälle, die Anthropic zwischen Dezember 2025 und August 2026 unterbrochen hat, aufgeteilt in sieben Schadensbereiche, von Cyberoperationen über Überwachung und Einflussnahme bis zu Betrug und illegaler Destillation. Für mich ist das keine Nachricht unter vielen, sondern ein Spiegel. Ich baue seit drei Jahren Agentensysteme auf, orchestriere sie mit herdr, pi und Hermes, und der Bericht beschreibt genau diese Bausteine auf der Gegenseite: Multi-Agenten-Frameworks, die Erkundung, Ausnutzung und Datentransport selbstständig ausführen, mit Menschen nur noch am Anfang, wenn Ziele gesetzt werden, und am Ende, wenn der Abzug geprüft wird. In diesem Beitrag lese ich die Fallstudien GTG-20006 und GTG-50014 im Detail, prüfe, was der Hinweis auf öffentlich verfügbare Angriffs-Frameworks wie PentAGI für jeden bedeutet, der Agenten betreibt, und lege meine eigenen Betriebszahlen vom Pixel daneben. Alle Berichtszahlen sind Selbstangaben von Anthropic, abgerufen am 22. September 2026, die Betriebszahlen stammen aus meinem Messregister.

Die Trend-Sektion des Berichts liest sich wie eine Beschreibung des Agenten-Markts, nur eben in dunkler Ausführung. Anthropic schreibt, die Mehrzahl der dokumentierten Operationen lief nicht über einfache Fragen an einen Chatbot, sondern über Multi-Agenten-Frameworks, die Erkundung, Ausnutzung und Datenabzug ausführten. Menschen blieben im Loop, indem sie Ziele setzten und prüften, was aus den Netzwerken abfloss. Der Rest drehte sich selbst. Anthropic nennt das Konzept Uplift und misst es über drei Achsen: Geschwindigkeit, Ausmaß und Tiefe. Zahlen dazu veröffentlicht der Bericht nicht, das ist eine der Grenzen, die ich unten benenne. Das zweite Trend-Muster betrifft die Herkunft von Angreifern. Die Cybersecurity-Fähigkeiten der Modelle hätten laut Bericht die Lücke geschlossen, die früher gut ausgestattete Staatenoperationen von einzelnen Operateuren trennte. Ein Hacktivist mit gestohlenen API-Schlüsseln, mehrere finanziell motivierte Einzeltäter und ein staatlicher Spionage-Akteur hielten jeweils Kampagnen mit mehreren Opfern durch, für die vor einem Jahr viele spezialisierte Operateure und Spezialwissen nötig gewesen wären. Daraus folgt ein harter Satz für alle Verteidiger: Das technische Raffinement einer Operation ist als Zuordnungsmerkmal unbrauchbar geworden, man erkennt an ihm nicht mehr, wer dahintersteht.

Die Fallstudie GTG-20006 hat mich am direktesten getroffen, weil sie einen Regelkreis beschreibt, den ich in legitimer Form täglich betreibe. Die Zuordnung laut Bericht ist konsistent mit öffentlichen Berichten, die den Akteur mit Midnight Blizzard verbinden, einer der Operateure nutzte den Handle JackPoterz. Angegriffen wurden laut Bericht Militärnachrichten-Ziele in der Ukraine und in europäischen Regierungen, diplomatische und Verteidigungsorganisationen sowie Personen mit Bezug zur US-Außenpolitik, insgesamt mehr als 20 Organisationen in Planung, Erkundung und Live-Operationen. Das Toolkit bestand aus zwei Familien Windows-basierter Implantate, einem Exploitation-Kit für Mobilgeräte, einem Credential-Dieb gegen Browser-Passwortspeicher, einer Phishing-Plattform und einer Verwaltungskonsole für kompromittierte Konten. Der entscheidende Teil ist die Wartung: KI-Agenten überwachten, ob Sicherheitsprodukte die Malware erkannten, und bauten erkannte Komponenten selbstständig um, bis sie unentdeckt durchliefen. Jeder, der einen Agenten mit Watchdogs und Retry-Logik betreibt, kennt diese Schleife, der einzige Unterschied ist die Absicht. Dazu kommen Einzelheiten mit handfesten Folgen: Der Akteur kompromittierte laut Bericht mindestens drei Anbieter von Hotel-WLAN, lenkte deren DNS-Einträge um und lieferte über ClickFix-Köder Schadsoftware an Gäste, ein Muster, das Microsoft im Juli 2026 unter dem Namen CaptiveCrunch beschrieben hat. Bei einer nordafrikanischen Behörde für Staatstechnologie fielen laut Bericht mehr als 300.000 Ausweise für die Nationalität und Handelsregisterdaten von über einer halben Million Firmen an den Akteur.

Die zweite Fallstudie bündelt mehrere Cluster, die Anthropic Verdächtigen aus dem Umfeld des ShinyHunters-Kollektivs zuordnet, also finanziell motivierten Akteuren mit Beutezugs-Mentalität. Ein französischsprachiger Operateur betrieb laut Bericht eine Pipeline aus zehn AWS-EC2-Arbeitern, die 1,8 Millionen verschiedene Android-APKs aus mehreren App-Stores herunterlud, dekompilierte und mit dem Open-Source-Werkzeug TruffleHog nach fest einkodierten Geheimnissen durchsuchte. Verifizierte Treffer liefen in Echtzeit in eine Telegram-Gruppe, sortiert in über 100 Quelltypen, dazu kam ein zweiter Strom mit gestohlenen GitHub-Personal-Access-Tokens. Von dort liest sich der Bericht wie ein Preisverzeichnis dafür, was automatisierte Beutezüge heute kosten: Ein Datensatzpaket von rund 400.000 Einträgen eines Telekomanbieters mit IBANs und BICs floss in eine durchsuchbare Kartei, der Einbruch bei einem SaaS-Anbieter legte die Daten von rund 200 nachgelagerten Kundenorganisationen offen, und ein Session-Store-Abzug enthielt mehr als 2.100 Azure-AD-Token-Sets aus über 40 Unternehmens-Mietern, gezogen in etwa 34 Stunden, wobei laut Bericht KI-Agenten fast die gesamte Arbeit machten. Das Tempo ist der zweite Befund: Ein Einbruch bei einem Enterprise-Software-Unternehmen dauerte laut Bericht vom Erstzugriff bis zum Massendatendiebstahl nur Stunden, ein einzelner gestohlener Entwickler-Token reichte für die volle administrative Kontrolle über eine Cloud-Umgebung in rund drei Stunden. Gestohlene API-Schlüssel von KI-Anbietern nutzten die Akteure laut Bericht rund drei Wochen lang als eigene Rechenressource für Folgeangriffe. Anthropic schreibt dazu klar, dass die eigenen Systeme nicht kompromittiert wurden, die Schlüssel stammten aus Kundenumgebungen.

Der Satz mit den weitesten Folgen steht in der Trend-Sektion und ist nüchtern formuliert: Öffentlich verfügbare Offensive-Agent-Frameworks, als Beispiel nennt der Bericht PentAGI, reproduzieren für jeden, der sie herunterlädt, einen Großteil desselben Gerüsts, das im November 2025 noch als Betriebsmodell einer vermutlich staatlich gesponserten Kampagne dokumentiert wurde. Dieses Gerüst automatisiert laut Bericht jeden Schritt der Cyber-Kill-Chain, von der Erkundung bis zum Datenabzug. Ich habe mir die PentAGI-Veröffentlichung auf GitHub angesehen, das Projekt versteht sich als verteiltes Plattform-Framework für Penetrationstests mit Multi-Agenten-Architektur, und genau diese Doppeldeutigkeit ist der Punkt. Solch ein Repository ist weder Beweis noch Schuldspruch, es ist Infrastruktur, und Anthropic führt es als Beleg für Verfügbarkeit an, nicht als Anklage. Für jeden, der Agenten baut, verschiebt der Satz die Perspektive: Die Komponenten, mit denen ich täglich arbeite, Planung, Orchestrierung, Retry-Logik, Selbstkontrolle, Werkzeugzugriff, sind identisch mit denen, die der Bericht auf der Angriffsseite beschreibt. Der Unterschied liegt nicht in der Architektur, sondern in Ziel und Absicht, und genau deshalb hilft es wenig, nur die Werkzeuge verbieten zu wollen, denn dieselben Fähigkeiten treiben auch die legitime Arbeit an. Was bleibt, ist die Härtung der eigenen Umgebung: Schlüssel rotieren, Zugriffe eng begrenzen, eigene Systeme überwachen und nicht darauf hoffen, dass Kleinheit schützt.

Mein Agentenstapel läuft auf einem gebrauchten Google Pixel 6a, einem 45-Euro-Handy, mit Gateway, Cron-Jobs und einem Postkasten aus agent_events. Ich lese den Bericht deshalb nicht als Ferndiagnose, sondern als Warnung für Systeme wie meines. Am 28. August 2026 habe ich den OOM-Sturm erlebt, 46 OOM-Kills in sieben Tagen laut Snapshot vom 31. August, danach kam die Härtung, die am 7. September 306 von 306 stündlichen Checks bei null OOM-Kills erreichte. Die Woche zum 21. September zeigt sechs OOM-Kills bei weiter 100 Prozent Lebendrate, die Zeilen stehen im stability-snapshots-Log meines Messregisters. Wichtig ist die Methode hinter diesen Zahlen, denn sie hat dieselbe Struktur wie der Regelkreis aus der Fallstudie: Hermes plant, pi führt aus, Hermes verifiziert, und ein semantischer Watchdog entscheidet über Neustarts. 36 von 36 bestandene Tests in zwei Projekten sind das Ergebnis dieses Regelkreises, dokumentiert in meinem Messregister. Genau deshalb kann ich die Fallstudien nicht als Kuriositäten abtun. Der Bericht sagt über obskure Konfigurationen einen klaren Satz: In einer KI-assistierten Welt werden sie leicht verständlich und ausnutzbar, und ein 45-Euro-Handy, das einen öffentlichen Blog betreibt, ist genau so eine Konfiguration. Meine Gegenmaßnahmen bleiben unspektakulär: Tokens liegen außerhalb von Repositories, Zugriffe laufen über klar begrenzte Rollen, Systemänderungen werden protokolliert, und die Betriebszahlen landen wöchentlich im Messregister. Sicherheit durch Nichtstun ist keine Strategie, das gilt für Rechenzentren und für ein Handy gleichermaßen.

Jede Zahl in diesem Bericht ist eine Selbstauskunft des betroffenen Unternehmens über dessen eigene Plattform, und das prägt alles. Die Generative Threat Groups sind laut Bericht interne Bezeichnungen von Anthropic, das Uplift-Konzept wird über Geschwindigkeit, Ausmaß und Tiefe definiert, aber nicht als Zahl veröffentlicht, und unabhängige Messungen zu den Fallstudien gab es zum Abrufdatum 22.09.2026 nicht. Drei weitere Grenzen halte ich fest. Erstens beschreibt der Bericht unterbrochene Operationen, also den Ausschnitt, den Anthropic sehen und stoppen konnte, über die Dunkelziffer sagt er nichts. Zweitens ist PentAGI ein Beispiel für Verfügbarkeit, kein Beleg für Verbreitung, wie viele Akteure solch ein Framework wirklich nutzen, bleibt unbekannt. Drittens habe ich nichts nachgebaut und nichts getestet, dieser Beitrag liest und ordnet ein, er misst nur bei den eigenen Betriebszahlen, und die stammen aus den Snapshots vom 31. August bis 21. September 2026 in meinem Messregister. Wer die Originalfälle prüfen will, beginnt beim Bericht selbst, der als PDF und als Liste mit Indikatoren der Kompromittierung beim Originalanbieter liegt.

Über den Autor: Ich bin Marcel, ich betreibe das HUNTER-Cyberdeck auf einem gebrauchten Google Pixel 6a und den Agentenbetrieb dahinter im Alltag. Dieser Beitrag stützt sich auf die Lektüre des Anthropic-Bedrohungsberichts vom September 2026 (abgerufen am 22. September 2026) und auf die stability-snapshots meines Messregisters vom 31. August bis 21. September 2026. Ich habe nichts aus dem Bericht nachgebaut oder getestet, das ist in der Grenzsektion vermerkt. Zuletzt fachlich geprüft am 22. September 2026.