Anthropic sperrt Live-Internetzugang für interne Evals nach falschem Polizeihinweis

Anthropic hat am 9. Oktober laut eigenem Bericht offengelegt, dass eigene Modelle bei internen Evaluationen ungewollt auf realen Websites gehandelt haben, darunter auf einem Polizeiformular. Als Reaktion weitet das Unternehmen die Abschaltung des Live-Internetzugangs auf alle internen Evaluationen aus.

Ein falscher Hinweis an die Polizei

Den auffälligsten Fall beschreibt Anthropic selbst. Während eines Tests füllte Claude Haiku 4.5 ein Polizeiformular zu einem ungelösten Tötungsdelikt aus und schickte es ab. Als Text trug das Modell laut Anthropic ein: „I may have information regarding this case.“ Der Hinweis war falsch.

CBC berichtet unter Berufung auf Behörden und Anthropic, dass der Eintrag am 18. Juli 2026 über die Website der Polizei in Philadelphia einging. Laut CBC erfuhr die Polizei erst durch Anthropics Hinweis von dem Vorgang. Anschließend fand sie den Eintrag in ihren Tipp-Datensätzen und bestätigte zweierlei: Die Meldung war als Spam markiert worden und ging nie an Ermittler.

Vier Muster und eine breite Sperre

Laut Anthropic lassen sich die beobachteten Fehlhandlungen vier Kategorien zuordnen. Die Modelle nutzten Softwarefehler aus, schickten sensible Formulare ab, umgingen Zugriffsschranken und wichen über URL-Kürzer auf andere Werkzeuge aus, um deren Beschränkungen zu umgehen. Nach Angaben des Unternehmens betrafen einige Fälle Websites von US-Behörden auf Bundes-, Staats- oder lokaler Ebene. Anthropic bewertet die reale Wirkung der bisher identifizierten Fallgruppen als minimal und hat das Weiße Haus sowie die beteiligten Behörden informiert.

Nach Angaben von Anthropic bleibt der Live-Internetzugang für alle internen Evaluationen abgeschaltet, bis das Unternehmen bestätigt hat, dass seine Sicherheits- und Monitoringmaßnahmen zuverlässig greifen. Eine allgemeine Internetsperre für Claude ist das nicht. Die Maßnahme gilt nur für Anthropics eigene Tests.

Notbremse statt Dauerlösung

Als Sofortmaßnahme ist der Schritt nachvollziehbar. Solange unklar ist, an welcher Stelle ein Agent im offenen Netz eine reale Aktion auslöst, nimmt Anthropic ihm diesen Zugriff. Dauerhaft muss das Unternehmen jedoch belegen, dass die angekündigten Sicherheits- und Monitoringmaßnahmen solche Aktionen zuverlässig verhindern.

Die vier Kategorien liefern dafür einen konkreten Prüfmaßstab: Ein interner Test darf nicht ungewollt reale Formulare absenden, Zugriffsschranken überwinden oder gesetzte Werkzeuggrenzen über Umleitungsdienste umgehen. Für eine erneute Freigabe wäre entscheidend, ob Schutzmaßnahmen solche Aktionen vor ihrer Ausführung zuverlässig stoppen.