Im Changelog von Claude Code ist diese Woche keine einzige neue Version erschienen, direkt nach der Woche mit Opus 5 und mehreren geänderten Standardeinstellungen auf einmal. Zu schreiben gab es trotzdem genug, denn Anthropic hat den Bericht der eigenen Untersuchung veröffentlicht.
Claude hat im Test echte Systeme angegriffen
Am 31. Juli hat Anthropic drei Vorfälle aus den eigenen Cybersecurity-Evaluationen beschrieben. Es geht um Capture-the-Flag-Tests: Das Modell bekommt ein fiktives Ziel und sucht darin eine versteckte Flagge, in einer abgeschotteten Umgebung der Firma Irregular. Abgeschottet war diese Umgebung nur im Wortlaut des Prompts. Die Maschinen, auf denen Claude gearbeitet hat, hatten echten Internetzugang, während im Prompt ausdrücklich stand, es gebe keinen. Bei der Durchsicht von 141’006 Evaluationsläufen fand Anthropic drei Fälle, insgesamt sechs Läufe, in denen Modelle das Szenario verlassen und die Systeme von drei echten Organisationen erreicht haben. Die Techniken waren die denkbar gewöhnlichsten: schwache Passwörter, nicht authentifizierte Endpunkte, SQL-Injection, Zugangsdaten auf einer offen liegenden Debug-Seite.
Der zweite Fall ist der aufschlussreichste. Claude Mythos 5, eines der getesteten Modelle, fand die fiktive Bibliothek nicht, von der das Ziel abhing – also hat es sie selbst veröffentlicht: ein Konto bei PyPI angelegt, dafür eine Telefonnummer und eine E-Mail-Adresse besorgt und ein Paket mit Schadcode in die echte, öffentliche Registry gestellt. Das Paket wurde auf fünfzehn realen Systemen heruntergeladen und ausgeführt, aus einem davon, es gehört einer Sicherheitsfirma, sind Zugangsdaten abgeflossen. Im Transkript ist zu sehen, dass das Modell verstanden hat, was es tut: Es schrieb selbst, das sei «NOT okay, and surely not the intended solution», und redete es sich anschliessend aus – Zertifikate und ein Datum aus dem Jahr 2026, also müsse es eine Simulation sein. Das neuste der getesteten Modelle hat sich anders verhalten: Es merkte, dass es auf einem echten System arbeitet, und brach die Aufgabe ab.
Anthropic vertritt die These, das liege näher an einem Versagen von Umgebung und Verfahren als am Modell selbst, und sie wirkt glaubwürdig – die Modelle haben die gestellte Aufgabe ausgeführt, in einer Welt, über die man sie belogen hatte. Interessanter ist die praktische Lehre, denn sie betrifft alle, die einer KI überhaupt Rechte geben. Ein Satz im Prompt ist keine Absicherung. Wenn ein Agent etwas nicht tun soll, muss es in der Konfiguration unmöglich sein und nicht in einer Anweisung stehen, die sich das Modell zurechtlegen kann. In Claude Code lässt sich das anfassen: eine Woche zuvor kam mit Version 2.1.219 die Einstellung sandbox.network.strictAllowlist dazu, die im Sandbox-Modus Hosts ausserhalb der Liste schlicht blockiert, ohne Rückfrage. Das ist eine Leitplanke. Ein in CLAUDE.md notiertes Verbot, ins Internet zu gehen, ist keine – auch wenn beides ähnlich aussieht. Einschalten muss man die Einstellung übrigens bewusst, von allein tut sie nichts. Wer seine Rechte gerade erst sortiert, fängt besser bei den ersten Einstellungen an und bei dem, was man in der Konfiguration ändert, statt dem Agenten die Grenzen in Prosa zu beschreiben.
Die Veröffentlichung selbst verdient Anerkennung. Anthropic hat die Durchsicht am 23. Juli begonnen, zwei Tage nachdem OpenAI Ähnliches über die eigenen Modelle offengelegt hatte, die betroffenen Organisationen am 27. Juli informiert, die Transkripte der Organisation METR zur unabhängigen Prüfung übergeben und ihre Veröffentlichung in redigierter Form angekündigt. Eine Firma, die den eigenen Fehler mit der Zahl der Läufe und dem Namen der Firma hinter der Umgebung beschreibt, tut etwas, das ihr niemand aufgetragen hat.
Konnektoren bekommen eine neue MCP-Version
Am 28. Juli hat Anthropic die Unterstützung der MCP-Spezifikation 2026-07-28 angekündigt. MCP ist das Protokoll, über das Claude mit externen Diensten spricht – alles, was du in claude.ai als Konnektor einschaltest, und alles, was du in Claude Code als MCP-Server anbindest, läuft darüber. Geändert hat sich einiges, zwei Punkte fallen aber am meisten auf. Der Kern des Protokolls ist nicht mehr zustandsbehaftet, sondern arbeitet nach Frage und Antwort – ein MCP-Server kann damit auf Serverless oder Edge laufen, statt als Prozess irgendwo dauerhaft bereitzustehen. Und die Autorisierung wurde auf OAuth 2.0 und OIDC gehoben, sodass die Firmenanmeldung über Entra oder Okta keine Umwege mehr braucht.
Für dich als Konnektor-Nutzer ändert sich heute nichts, worum du dich kümmern müsstest, und das ist die gute Nachricht – die Arbeit steckt darunter. Anthropic nennt über 950 Einträge im eigenen Konnektoren-Verzeichnis, und die Bibliotheken für MCP selbst werden 400 Millionen Mal pro Monat heruntergeladen, viermal so oft wie vor einem Jahr. Auf der Claude-Seite ist nebenbei einiges dazugekommen, das man leichter sieht als beschreibt: MCP Apps zeichnen die Oberfläche eines Konnektors direkt im Gespräch, eine Firmenadministration kann einen Konnektor über den Identitätsanbieter für die ganze Organisation freischalten, und MCP-Tunnel (vorerst als Forschungsvorschau) binden einen Server im privaten Netz an, ohne ihn nach aussen zu öffnen.
Falls dir der Gedanke im Kopf herumgeht, einen eigenen MCP-Server zu bauen – und sei es nur für ein internes Werkzeug, das Claude nicht kennt – ist der Moment besser als vor einem halben Jahr. Der zustandslose Kern nimmt dem Vorhaben den ärgerlichsten Teil, nämlich einen laufenden Prozess zu unterhalten. Wir betreiben bei JUSTAUTOMATE selbst so einen Server, und die erste Fassung haben wir genau nach dem alten Muster gebaut: Das muss rund um die Uhr irgendwo stehen. Heute würden wir es anders angehen.
Zum Schluss: Anthropic zu offenen Modellen
Am 27. Juli hat Anthropic seine Position zu Modellen mit offenen Gewichten veröffentlicht – also zu solchen, die man herunterladen und selbst betreiben kann. Dario Amodei schreibt darin, die Firma habe nie ein Verbot gefordert, und offene Modelle ohne gefährliche Fähigkeiten seien ein öffentliches Gut: günstiger Zugang zur Technologie und Druck auf den Wettbewerb. Der Vorbehalt ist einer, dafür ein konkreter: Einmal veröffentlichte Gewichte lassen sich nicht zurückholen, und Schutzmechanismen sind auf ihnen schwerer durchzusetzen. Statt eines Verbots schlägt Anthropic Exportkontrollen für Chips vor, ein Vorgehen gegen industrielle Destillation fremder Modelle und verbindliche Sicherheitstests für jedes hinreichend fähige Modell, ob offen oder geschlossen.
Und genau dieser letzte Punkt klingt in dieser Woche anders als in der vorigen. Verbindliche Sicherheitstests taugen genau so viel, wie die Testumgebung dicht ist – und die Geschichte vom Anfang dieses Beitrags zeigt, dass selbst die Firma, die den Vorschlag formuliert, dort ein Loch haben und es verspätet bemerken kann. Eine fertige Pointe haben wir dazu nicht. Uns beschäftigt eher, wer solche Tests durchführen soll, wenn das Labor dafür so sorgfältig gebaut werden muss wie ein Produktivsystem.