Die KI-Agenten von Cathedral fanden den Weg in Anthropic-Systeme über externe Admin- und Vertriebsprogramme, wie The Decoder berichtet. Zuvor hatte das Start-up nach Angaben des Anthropic-Red-Teamers Logan Graham tagelang die eigenen Systeme von Anthropic sondiert. Erst als dieser direkte Anlauf nicht trug, wechselten die Forscher die Richtung und nahmen die Drittanbieter-Software ins Visier. Der Umweg über fremde Business-Software war damit die bewusste Konsequenz aus dem gescheiterten ersten Anlauf.
Begrenzter Zugriff, offene Fragen
Was der Zugriff tatsächlich erreichte, lässt sich aus Anthropics eigener Darstellung nur in Grenzen sagen. Gegenüber TechRadar bestätigte das Unternehmen den Vorfall und erklärte, Cathedral habe auf eine „begrenzte Gruppe“ von Vertriebs-, Personal- und IT-Systemen zugegriffen. Dabei seien Kontaktinformationen sowie grundlegende Benutzerkontodaten bestimmter Kunden und Partner kompromittiert worden. Nach dem Zugriff auf das Unternehmensnetzwerk gelangten die Agenten an Meeting-Transkripte, Informationen zu Gehältern und Stellenangeboten sowie an Slack-Nachrichten.
Anthropic zieht die Grenze anders als Cathedral: Quellcode und die Gewichte der KI-Modelle seien nicht angegriffen worden, teilte das Unternehmen mit. Auch Gespräche zwischen Kunden und dem Claude-Chatbot sowie die vom Modell erzeugten Antworten seien nicht zugänglich gewesen. Cathedral beschreibt den Zugriff offener: Laut dem Bericht des Start-ups fanden die Agenten in weniger als zwölf Stunden Wege zu Meeting-Transkripten, Gehaltsdaten, Stellenausschreibungen und Slack-Nachrichten. Die beiden Darstellungen schließen sich nicht aus, sie messen nur Verschiedenes – hier die erreichten Daten, dort die Systeme, die unberührt blieben.
Wie schnell Anthropic reagierte, beschreibt The Decoder: Das Unternehmen schloss die betroffenen Zugangspunkte am selben Tag, an dem der Vorfall entdeckt wurde. Die Drittanbieterprogramme wurden bis zur Klärung deaktiviert, die US-Bundesbehörden informiert. Damit steht eine belegte Abfolge von der Entdeckung bis zur Abschaltung – offen bleibt weiterhin, wie tief die Agenten in der Zeit davor vorgedrungen sind.
Der Streit um Dauer und Ausmaß
Der Streit um Dauer und Ausmaß hat inzwischen einen Namen: Will Depue, ein ehemaliger Mitarbeiter von OpenAI, behauptete laut The Decoder, Anthropic spiele den Vorfall herunter. Mehrere von ihm als höchst zuverlässig eingestufte Quellen hätten ihm gesagt, Cathedral habe vollen Admin-Zugang zum Slack-Workspace erlangt, jede Nachricht lesen und sich in jedes Benutzerkonto einloggen können.
Cathedral-Mitgründer Graham widersprach Depue und erklärte, dessen Quellen seien falsch. Einzelheiten wollte er mit Verweis auf die Sensibilität der Angelegenheit nicht nennen. Ein Kernanliegen Depues bestätigte er jedoch: Die Branche müsse ihre Sicherheit nun jedes Jahr neu erfinden.
Drittanbieter-Apps als Branchenproblem
Für Alex Stamos, Chief Security Officer beim KI-Startup Cognition, sind die Ergebnisse bedeutend: Integrierte Drittanbieter-Apps seien ein großes Problem in der gesamten Branche, sagte er der Washington Post, und Anthropic hätte seine externen Dienste besser absichern können.