Wie ein Discord-Forum Anthropics gefährlichste KI (Mythos) knackte
TLDR: Ende April 2026 wurde bekannt: Eine kleine Discord-Gruppe hatte mehrere Wochen lang unbefugten Zugriff auf Claude Mythos Preview, jenes Anthropic-Modell, das laut Hersteller zu gefährlich für die Allgemeinheit ist. Der Einstieg gelang nicht über einen ausgeklügelten Hack, sondern über die Zugangsdaten einer Drittanbieter-Mitarbeiter:in, geleakte Daten aus dem Mercor-Vorfall und schlichtes URL-Erraten. Der eigentliche Skandal liegt nicht in der KI selbst, sondern in der naiven Architektur ihrer kontrollierten Freigabe.
Was passiert ist und warum es relevant ist
Anthropic hat mit Claude Mythos ein Modell trainiert, das laut eigenen Angaben Software-Schwachstellen schneller findet als nahezu jedes menschliche Team. Mozilla bestätigte, mit legitimem Zugriff 271 Sicherheitslücken in Firefox geschlossen zu haben. Genau wegen dieser Fähigkeit wurde Mythos bewusst nicht öffentlich freigegeben, sondern im Rahmen von Project Glasswing an rund 40 ausgewählte Organisationen verteilt, darunter Amazon, Apple, Cisco, Google, Microsoft, JPMorgan Chase und Nvidia.
Vor 10 Tagen sagte ich noch (Claude Mythos: Das gefährlichste Modell, das niemand kaufen kann?) und jetzt ist es raus:
https://www.linkedin.com/embeds/publishingEmbed.html?articleId=8566548364895356576&li_theme=light
Bloomberg berichtete am 21. April 2026, dass eine Gruppe in einem privaten Discord-Kanal das Modell seit dem Tag der Ankündigung regelmässig nutzte. Anthropic bestätigte den Vorfall und erklärte, der Zugang sei über die Umgebung eines namentlich nicht genannten Drittanbieters erfolgt. Eigene Systeme seien nicht betroffen.
Die Beobachtung dahinter ist unangenehm: Das gefährlichste Modell der Branche wurde nicht durch einen Zero-Day-Exploit kompromittiert. Es wurde durch eine Kombination aus geleakten Credentials, Insider-Kenntnis und Raten geknackt. Genau in dieser Banalität liegt die eigentliche Geschichte.
Die Methode: URL-Lotto mit Insider-Wissen
Die Rekonstruktion lässt sich aus den Berichten von Bloomberg, ComputerBase und SiliconANGLE ableiten und ist in ihren Grundzügen unstrittig. Ein Mitglied der Discord-Gruppe arbeitete für einen Drittanbieter, der für Anthropic Modell-Evaluierungen durchführt. Über diese Anstellung verfügte die Person über legitime Zugangsdaten zu der eingeschränkten Testumgebung.
Parallel dazu hatte Anfang 2026 das KI-Recruiting-Startup Mercor ein erhebliches Datenleck. Über eine kompromittierte API des Tools LiteLLM, das den Zugriff auf über 100 Modelle standardisiert, sollen Angreifer:innen rund 200 GB Datenbank-Inhalte, fast 1 TB Quellcode und 3 TB Videos und Trainingsdaten erbeutet haben. Aus diesem Material liessen sich Rückschlüsse auf interne Namenskonventionen und Speicherformate von Anthropic-Modellen ziehen.
Mit Insider-Credentials plus Mercor-Wissen folgte der dritte Schritt: URL-Guessing. Die Gruppe erriet die Web-Adressen der versteckten Mythos-Endpunkte. Was wie ein Witz klingt, war erfolgreich. Der private Charakter der Endpunkte beruhte primär auf Verschleierung, nicht auf wirksamer Authentifizierung gegenüber dem internen Vendor-Pool.
Anthropic erfuhr von dem Vorfall offenbar erst nach mehreren Wochen, nachdem ein Mitglied der Gruppe Bloomberg Screenshots und eine Live-Demo zur Verfügung stellte. Die Gruppe selbst gab an, das Modell nicht für sicherheitsrelevante Abfragen genutzt zu haben, um nicht entdeckt zu werden. Diese Aussage lässt sich extern nicht überprüfen.
-WERBUNG- KI wirklich verstehen und umsetzen, statt Hype echte Praxis
https://www.linkedin.com/embeds/publishingEmbed.html?articleId=8966440112652618693&li_theme=light
Warum das ein Lieferketten-Problem ist, kein KI-Problem
Ram Varadarajan, CEO der Cyber-Deception-Firma Acalvio, hat den Kern in einem Satz formuliert: Zugangskontrollen seien eine Policy, keine Architektur, und Policies versagen. Damit ist die Diagnose präziser gestellt als in den meisten Schlagzeilen.
Anthropic verteilt ein Dual-Use-Modell an 40 Organisationen, plus deren externe Evaluations-Dienstleister, plus deren Entwicklungs-Pipelines, plus deren Logging-Infrastruktur. Jede dieser Schichten erweitert die Angriffsfläche. Sicherheit, die sich auf Geheimhaltung von URLs und auf brave Vertragspartner stützt, skaliert nicht. Sie war nie skaliert.
Hinzu kommt: Die Drittanbieter, die für Mercor, Anthropic und vergleichbare Frontier-Labs arbeiten, sind in Bezug auf Reife oft nicht auf dem Niveau eines Tier-1-Tech-Konzerns. Wer Mythos-Zugang an einen Vendor delegiert, delegiert Vertrauen an dessen schwächstes Glied. Das ist bei klassischer Software unangenehm. Bei einem Modell, das offensive Cyber-Kapazitäten hat, ist es eine andere Dimension.
Tim Mackey von Black Duck Software hat zudem darauf hingewiesen, dass Anthropics Marketing für Mythos faktisch als Capture-the-Flag-Einladung gelesen werden konnte. Wer eine KI öffentlich als zu gefährlich für die Welt etikettiert und gleichzeitig eine kontrollierte Freigabe organisiert, erhöht die Motivation aller, die nicht auf der Einladungsliste stehen.
Geopolitischer Kontext: Pentagon, Trump-Administration, Glaubwürdigkeit
Der Zeitpunkt ist für Anthropic ungünstig. Im Februar 2026 setzte das Pentagon die Firma laut Berichten auf eine schwarze Liste, weil CEO Dario Amodei sich weigerte, Modelle uneingeschränkt für offensive militärische Operationen freizugeben. Erst in den letzten Wochen wurde an einer Lockerung gearbeitet, mit Gesprächen im Weissen Haus.
In dieser Lage einen Sicherheitsvorfall zu vermelden, bei dem ein Discord-Forum mit Insider-Credentials und URL-Raten an das Vorzeigemodell gelangt, ist mehr als ein PR-Ärgernis. Es liefert sowohl den Falken in der US-Administration als auch europäischen und asiatischen Regulator:innen Argumente. Australien und Südkorea hatten bereits zuvor signalisiert, dass sie unkontrollierte Verbreitung von Modellen mit offensiven Cyberkapazitäten als systemisches Risiko für Finanzinfrastrukturen einstufen.
Für die DACH-Diskussion ist der Vorfall ein realistischeres Lehrstück als jede AI-Act-Debatte über theoretische Hochrisikosysteme. Das eigentliche Risiko entsteht nicht durch ein Modell auf einem isolierten Lab-Server, sondern durch die Verzweigung in eine globale Vendor-Lieferkette.
Was Unternehmen daraus konkret ableiten sollten
Drei Beobachtungen, die über den Anthropic-Fall hinaus tragen.
Erstens: Wer KI-Vendoren oder Cloud-AI-Plattformen einsetzt, übernimmt deren Lieferkette. Die Frage, welche Sub-Dienstleister Zugriff auf welche Daten und Modelle haben, ist Teil der Risikobewertung, nicht ein Detail des Einkaufs. Bei sensitiven Anwendungsfällen lohnt sich die Pflicht zur Offenlegung der Vendor-Tiefe.
Zweitens: Authentifizierung über versteckte URLs ist keine Authentifizierung. Wer interne KI-Endpunkte betreibt, muss dieselben Standards anlegen wie für produktive APIs, inklusive Mutual TLS, kurzlebiger Tokens, Anomalie-Erkennung in Anfragenmustern und konsequentem Audit-Logging.
Drittens: Bei Dual-Use-Modellen gehört die Detektion auf den gleichen Reifegrad wie die Prävention. Anthropic bemerkte den Zugriff erst, nachdem Bloomberg fragte. Das ist symptomatisch. Wer mit offensiven KI-Fähigkeiten arbeitet, braucht Telemetrie, die ungewöhnliche Nutzungsmuster nicht erst nach Wochen sichtbar macht.
Und darum bin ich nach wie vor überzeugt: Die Zukunft gehört nicht mehr dem Tippen und Klicken, sondern dem gemAInsamen arbeiten mit intelligenten Systemen. Aber gemeinsam zu arbeiten setzt voraus, dass wir die Systeme und ihre Lieferketten verstehen, bevor wir ihnen unsere wichtigsten Prozesse anvertrauen. Also wenn Du reden willst, und wenn Du mit mir zusammenarbeiten willst: melde Dich gerne www.rogerbasler.ch
Fragen zu KI und Digitalen Geschäftsmodellen? #fragRoger Willst du mehr wissen? Sehr gerne komme ich auch bei Dir, bei deiner Firma, deiner ERFA Gruppe oder deinem Verband vorbei und helfe mit einem Workshop oder Input Referat.
Lass uns gerne mal unverbindlich sprechen. Also wenn ich helfen kann, wende dich gerne an mich #fragRoger und abonnier meinen offiziellen Newsletter:
https://www.linkedin.com/embeds/publishingEmbed.html?articleId=7338756501547249141&li_theme=light
Disclaimer
Dieser Artikel wurde nach meinem eigenen Wissen und dann mit Recherchen mit KI (Perplexity.Ai und Claude.Ai) manuell zusammengestellt und mit Deepl.com/write vereinfacht. Der Text wird dann nochmals von zwei Personen meiner Wahl gelesen und kritisch hinterfragt. Das Bild stammt von KI-generierter Bildgebung (Ideogram/Adobe Firefly). Dieser Artikel ist rein edukativ und erhebt keinen Anspruch auf Vollständigkeit. Bitte melde dich, wenn Du Ungenauigkeiten feststellst, danke.
Hinweis zur Quellenlage: Die zentralen Fakten (Discord-Gruppe, Drittanbieter-Credentials, Mercor-Leck als Hilfsmittel, URL-Guessing, Project Glasswing mit ca. 40 Organisationen, 271 Firefox-Lücken durch Mozilla) sind durch Bloomberg als Primärquelle und mehrere unabhängige Folgeberichte gedeckt. Die genaue Dauer des Zugriffs sowie die Aussage, dass die Gruppe das Modell nicht für sicherheitsrelevante Abfragen genutzt hat, beruht auf einer einzigen anonymen Quelle gegenüber Bloomberg und ist [nicht unabhängig verifiziert].
Quellen (APA-Stil)
Frischholz, A. (2026, 23. April). Unautorisierter Zugriff: Discord-Gruppe verschaffte sich Zugang zu Claude Mythos. ComputerBase. https://www.computerbase.de/news/apps/unautorisierter-zugriff-discord-gruppe-verschaffte-sich-zugang-zu-claude-mythos.93215/
Löw, L. (2026, 23. April). Claude Mythos: Discord-Gruppe knackt Anthropics KI-Festung. it-daily.net. https://www.it-daily.net/
Riley, D. (2026, 22. April). Anthropic investigates unauthorized access to restricted Claude Mythos AI model. SiliconANGLE. https://siliconangle.com/2026/04/22/anthropic-investigates-unauthorized-access-restricted-claude-mythos-ai-model/
Ropek, L. (2026, 21. April). Unauthorized group has gained access to Anthropic's exclusive cyber tool Mythos, report claims. TechCrunch. https://techcrunch.com/2026/04/21/unauthorized-group-has-gained-access-to-anthropics-exclusive-cyber-tool-mythos-report-claims/
Seefeld, T., & cka. (2026, 23. April). Unbefugte verschaffen sich Zugriff auf Claude Mythos. SwissCybersecurity.net. https://www.swisscybersecurity.net/news/2026-04-23/unbefugte-verschaffen-sich-zugriff-auf-claude-mythos
Sirico, G. (2026, 22. April). Report: Discord Group Uses Claude's Supposedly Secret Mythos. GovInfoSecurity. https://www.govinfosecurity.com/report-discord-group-uses-claudes-supposedly-secret-mythos-a-31484
