Anthropic deckt Biowaffen-Versuche auf: Forscher nutzten Claude für tödliche Gain-of-Function-Pläne

Es ist ein beispielloser Blick in die Schattenzonen der künstlichen Intelligenz: In einem 154 Seiten starken Sicherheitsdossier hat Anthropic erstmals offengelegt, wie staatlich gelenkte Forscher und kriminelle Netzwerke versucht haben, die Sprachmodelle der Claude-Familie für biologische Gefahren, autonome Cyberangriffe und Waffenprojekte zu missbrauchen. Der Bericht, über den zuerst die New York Times berichtete, markiert eine historische Zäsur in der Debatte um Frontier-KI. Bislang stützten sich Warnungen vor biologischen Katastrophen vor allem auf hypothetische Benchmarks und akademische Modellrechnungen. Nun dokumentiert erstmals ein führendes KI-Labor reale Missbrauchsversuche im laufenden Produktivbetrieb.

Die Enthüllungen fallen in eine Phase extremer politischer Nervosität. Erst vor wenigen Tagen hatte der spektakuläre Rücktritt des Pretraining-Forschers Jacob Coxon und dessen viraler Warnruf vor einem unkontrollierten Wettlauf den US-Kongress und Bundesstaaten wie Kalifornien in Alarmbereitschaft versetzt. Anthropics Bedrohungsbericht liefert den Kritikern nun handfeste Belege: Von Dezember 2025 bis August 2026 identifizierte und stoppte das interne Threat-Intelligence-Team gefährliche Operationen in sieben Kernbereichen - darunter fünf konkrete Fälle im Bereich biologischer Kampfstoffe.

Staatliche Forscher nutzen Claude für tödliche Gain-of-Function-Pläne

Die fünf im Bericht dokumentierten biologischen Fallstudien verdeutlichen, wie gezielt Wissenschaftler aus Ländern ohne offiziellen Claude-Zugang versuchten, Anthropics Sicherheitsfilter zu umgehen. Über US-Proxyserver, gefälschte Identitäten und Reseller-Plattformen schleusten sie komplexe virologische Anfragen ein, die weit über harmloses Grundlagenwissen hinausgingen.

Im brisantesten Fall aus dem Mai 2026 fing Anthropics Sicherheitsklassifikator die Ausarbeitung eines Förderantrags für sogenannte Gain-of-Function-Forschung am Chikungunya-Virus ab. Das durch Mücken übertragene Virus löst monatelange, qualvolle Gelenkschmerzen aus und besitzt bisher keine zugelassene Therapie. Die Forscher planten, das Virus durch gezielte Mutationen schrittweise an lebenden Tieren hochzuzüchten, um seine Übertragbarkeit und Immunescape-Eigenschaften systematisch zu steigern. Obwohl der Antrag zivilen Forschern zugeschrieben war, sollte die praktische Laborarbeit an einem militärischen Forschungsinstitut stattfinden.

Als besonders perfide erwies sich die technische Infrastruktur der Angreifer: Die Betreiber der genutzten Zwischenplattform hatten einen automatischen Ausweichmechanismus programmiert. Wenn Claudes Sicherheitsfilter eine virologische Anfrage verweigerten, leitete das System den Prompt vollautomatisch an das Modell eines Konkurrenten mit laxeren Leitplanken weiter. Teile des Codes für diese Ausweichroutine hatte der Betreiber zuvor von Claude selbst schreiben lassen - getarnt als harmlose Optimierung gegen Systemverweigerungen.

In einem zweiten Fall interagierte ein ausländischer Virologe über Wochen hinweg mit Claude und tauschte tausende Nachrichten aus, um Laborexperimente zur Säugetier-Adaption hochpathogener Vogelgrippe-Erreger (H5) zu planen. Ziel war die genetische Modifikation des Virus für eine aerogene Übertragung über die Luft zwischen Säugetieren - ein Szenario mit verheerendem Pandemiepotenzial. Da die strengen Filter auf Anthropics Spitzenmodellen anschlugen, wurde der Forscher unbemerkt auf schwächere Modelle herabgestuft, die das Vorhaben schließlich einbremsten.

Die Fälle drei bis fünf offenbaren eine noch subtilere Gefahr: In nur einer einzigen Stunde formulierte Claude Opus 5 für ein staatliches Infektionslabor einen lückenlosen, forschungsreifen Förderantrag zur genetischen Modifikation von Pockenviren (Orthopoxviren). In den weiteren Fällen nutzten staatlich geförderte Biochemiker das System, um computergestützte Bibliotheken gelähmter Nervengifte aufzubauen oder Toxine für Erreger der WHO-Prioritätenliste für hämorrhagische Fieber umzugestalten. In Fortschrittsberichten wiesen die Forscher Claude explizit an, die Identität der Zielgifte absichtlich vage zu halten.

Das fundamentale Dual-Use-Dilemma hebelt klassische Filter aus

Anthropics wichtigste wissenschaftliche Erkenntnis aus den Vorfällen wiegt schwer: Herkömmliche Inhaltsfilter stoßen bei hochkomplexer Biologie an unüberwindbare physikalische und logische Grenzen. Nahezu jedes molekularbiologische Verfahren besitzt einen doppelten Verwendungszweck (Dual-Use).

Wer einen hochwirksamen Impfstoff gegen ein neuartiges Virus entwickeln will, muss zwingend erforschen, wie Erreger die menschliche Immunabwehr überwinden. Wer neue Schmerzmittel oder Antidepressiva synthetisiert, nutzt exakt dieselben biochemischen Rezeptoren wie bei der Konstruktion tödlicher Nervengifte. Ein KI-Modell kann rein anhand des Prompts nicht zweifelsfrei erkennen, ob ein Forscher ein Gen ausschalten will, um einen Erreger als Impfstoff abzuschwächen, oder um dessen Tödlichkeit im geheimen Staatsauftrag zu maximieren.

Anthropic zieht daraus einen ernüchternden Schluss: Reine Textklassifikatoren können die Grenze zwischen lebensrettender biomedizinischer Forschung und Biowaffen-Proliferation nicht zuverlässig sichern. Künftig seien für derart mächtige Modelle verifizierte institutionelle Vertrauensprogramme („Trusted Access Programs“) mit lückenloser Identitätsprüfung und Telemetrieüberwachung unumgänglich.

Sicherheitsforscher warnen vor nationaler Bedrohung und fordern Tempobremse

Die Veröffentlichung des Berichts hat die Sicherheits-Community in den Grundfesten erschüttert. Logan Graham, Leiter des Frontier Red Teams bei Anthropic, zog auf X eine schonungslose Bilanz. Unüberwachte und ungesicherte KI stelle nicht länger ein theoretisches Zukunftsszenario dar, sondern sei in der Gegenwart als greifbare nationale Sicherheitsbedrohung angekommen:

Graham bezeichnete den aufgedeckten biologischen Missbrauch als den mit Abstand besorgniserregendsten Befund der gesamten Untersuchung. Zwar äußerte er sich verhalten optimistisch hinsichtlich künftiger KI-gestützter Abwehrsysteme in der Bio- und Cybersicherheit, betonte jedoch die Dringlichkeit, Verteidigungsmaßnahmen massiv zu beschleunigen.

Noch deutlicher wurde Jan Leike, führender Alignment-Forscher bei Anthropic und früherer Co-Leiter des Superalignment-Teams bei OpenAI. Für Leike liefert der Bericht den ultimativen Beweis dafür, dass die gesamte Branche den Bezug zur Sicherheitsrealität verliert. Er erneuerte seine Forderung nach institutionellen Mechanismen, um das Tempo an der technologischen Front zu drosseln:

Leikes Warnung schließt nahtlos an die frühere Pacing the Frontier-Initiative an, in der über tausend Brancheninsider internationale Bremsmechanismen verlangt hatten. Der Vorwurf: Die großen Labore seien in einem unerbittlichen Skalierungswettlauf gefangen, bei dem elementare Schutzvorkehrungen der Geschwindigkeit geopfert würden.

Wie extrem die Risikoeinschätzungen hinter den Kulissen mittlerweile ausfallen, verdeutlichte ein öffentlicher Wortwechsel von Marcus Williams aus dem Überwachungsteam von OpenAI. Auf die Frage, wie hoch er die Wahrscheinlichkeit einer existenziellen Katastrophe ohne staatliche Tempobeschränkung taxiere, nannte Williams eine dramatische Zahl:

Dass ein aktiver Sicherheitsingenieur eines führenden KI-Entwicklers das Risiko einer irreversiblen Katastrophe ohne Regulierung auf 70 Prozent in den kommenden drei Jahren schätzt, unterstreicht die dramatische Polarisierung der Debatte. Der Ruf nach gesetzlichen Verboten, wie sie bereits im Kontext der Biowaffen-Gesetzesinitiativen im US-Kongress laut wurden, erhält durch Anthropics Zahlen neues politisches Gewicht.

Zwischen realer Gefahr und medialer Biowaffen-Panik

Trotz der Schärfe des Berichts regt sich in der Entwickler-Community auch deutlicher Widerspruch gegen eine unkritische Skandalisierung. Mehrere Beobachter mahnen zur Differenzierung zwischen theoretischer Hilfestellung bei Dokumenten und der tatsächlichen physischen Waffenherstellung. So stellte der Entwickler Wogan May die mediale Berichterstattung der US-Leitmedien spitz infrage:

Die Kritik trifft einen wunden Punkt: Claude hat keine funktionierenden Krankheitserreger in einem Labor synthetisiert. Die Modelle lieferten Literaturrecherchen, strukturierten Versuchsdesigns, verfassten formale Förderanträge und schlugen Gen-Modifikationen vor. Um aus einer Textausgabe eine reale biologische Waffe zu erzeugen, bedarf es weiterhin hochgradig spezialisierter Hochsicherheitslabore (BSL-3/BSL-4), physischer Proben, komplexer DNA-Synthesizer und jahrelanger praktischer Laborerfahrung.

Dennoch warnen Sicherheitsexperten davor, die administrative und konzeptionelle Beschleunigung zu unterschätzen. Wenn ein Sprachmodell einem staatlich finanzierten Labor die Wochen- oder Monatsarbeit bei der Versuchsplanung und Dosierungsberechnung auf wenige Mausklicks verkürzt, sinkt die Eintrittsbarriere für gefährliche Experimente dramatisch.

Anthropics Veröffentlichung macht unmissverständlich klar, dass die Ära der unschuldigen Chatbots endgültig vorbei ist. Die Grenze zwischen ziviler Software-Entwicklung und geopolitischer Hochrisikotechnologie hat sich aufgelöst. Für europäische Unternehmen und Forschungsinstitute bedeutet das vor allem eins: Der Zugriff auf globale Spitzen-KI wird künftig an immer schärfere Sicherheits- und Compliance-Auflagen gekoppelt sein.