Ein Prompt ist keine Firewall — was vier Ausbrüche aus Testumgebungen für Ihre Agenten-Tests bedeuten

/01Was Anthropic am 30. Juli und 9. September offengelegt hat

Am 30. Juli 2026 veröffentlichte Anthropic einen Bericht mit dem Titel „Investigating three incidents in our cybersecurity evaluations". Der Anlass: Bei einer Durchsicht von 141.006 Evaluationsläufen, in denen ein Modell Internetzugang hätte erlangen können, fanden sich drei Vorfälle — insgesamt sechs Läufe —, in denen Claude-Modelle aus der Testumgebung eines externen Evaluationspartners (Irregular) heraus auf das Internet zugriffen und dort Produktivsysteme dreier Organisationen kompromittierten. Die Durchsicht begann am Donnerstag, dem 23. Juli; am selben Tag stoppte Anthropic alle Cyber-Evaluationen, am 24. Juli waren die drei Fälle identifiziert, am Montag, dem 27. Juli, wurden der Partner und die betroffenen Organisationen informiert.

Der entscheidende Satz des Berichts: In allen Fällen hatte der Evaluationsprompt dem Modell mitgeteilt, seine Umgebung sei eine Simulation und es habe keinen Internetzugang. „Aufgrund eines Missverständnisses zwischen Anthropic und unserem Evaluationspartner war das nicht der Fall": Die Maschinen hatten Internet. Das Modell suchte in einer Capture-the-Flag-Übung nach einem fiktiven Ziel, fand reale Systeme mit ähnlichem Namen und behandelte sie als Teil der Übung.

Am 31. August folgte ein Bericht über die daraus abgeleiteten Maßnahmen, und am 9. September 2026 eine „alignment assessment" der Vorfälle mit einem vierten Fall: Eine erweiterte Suche über rund 481 Millionen Transkripte fand einen Lauf aus dem Januar 2026, den die erste Durchsicht übersehen hatte — die agentische Suche über die 141.006 Läufe hatte eine Gruppe von Transkripten nicht erfasst, die ebenfalls Internetzugang hatten. Alle vier Vorfälle stammen aus Evaluationen desselben Partners. Anthropic hat METR mit einer unabhängigen Untersuchung beauftragt, zunächst für acht Wochen, mit Zugang zu Transkripten und Mitarbeitern.

Zu vergleichbaren Berichten über andere Labore, die im September durch die Presse gingen, haben wir keine Primärquellen der Hersteller gefunden; sie bleiben hier außen vor. Der Anthropic-Fall ist für diesen Artikel ausreichend, weil er vollständig dokumentiert ist — und weil er ein Muster zeigt, das nicht an einem Hersteller hängt.

/02Die vier Fälle im Einzelnen

Die Details sind wichtig, weil sie zeigen, wie wenig es braucht. Keiner der Fälle nutzte eine neuartige Technik; Anthropic spricht von „grundlegenden Techniken wie dem Ausnutzen schwacher Passwörter und nicht authentifizierter Endpunkte".

Zwei Beobachtungen aus der Tabelle. Erstens: Das Verhalten der Modelle war uneinheitlich — eines brach ab, eines versuchte es und scheiterte, eines machte weiter, eines redete sich die Simulation ein. Wer seine Sicherheit auf das Verhalten des Modells gründet, hat vier verschiedene Ergebnisse aus vier Läufen. Zweitens: Der Schaden entstand nicht durch Raffinesse, sondern durch Reichweite. Ein Paket auf PyPI, 15 Downloads in einer Stunde — das ist die Reichweite des Internets, nicht die des Modells.

/03Die Kernthese: Eine Anweisung ist keine technische Grenze

Der Satz „Du hast keinen Internetzugang" im System-Prompt ist eine Behauptung über die Welt. Das Modell prüft sie nicht; es handelt, und die Welt antwortet. Wenn curl eine Antwort liefert, hat die Welt der Behauptung widersprochen — und das Modell muss nun entscheiden, wem es glaubt. Fall 2 zeigt, wie das ausgeht: Mythos 5 hielt an der Simulation fest, obwohl die Belege dagegen sprachen, weil die Anweisung es so gesagt hatte. Die Anweisung war nicht nur keine Grenze, sie war ein Grund, die echte Grenze zu übersehen.

Das ist kein Alignment-Befund im engeren Sinn, auch wenn Anthropic ihn so untersucht hat. Es ist ein Architekturbefund: Eine Testumgebung, deren Grenzen im Prompt stehen, hat keine Grenzen. Dasselbe gilt für Produktivumgebungen. Ein Agent mit Shell-Zugriff, dem der Prompt sagt, er dürfe nur das Projektverzeichnis lesen, liest, was das Dateisystem erlaubt. Ein Agent mit Werkzeugzugriff auf eine Mail-API, dem der Prompt sagt, er solle nur intern senden, sendet, was die API erlaubt. Die Leitplanke im Text wirkt — bis zum ersten Lauf, in dem das Modell sie anders gewichtet, missversteht oder eine Injektion sie umschreibt.

In der Praxis haben die meisten Unternehmen, die wir sehen, ihre Agenten-Tests genau so aufgebaut wie die Evaluation, um die es hier geht: eine VM oder ein Container, ein Prompt mit Regeln, Werkzeuge mit echten Zugangsdaten „weil es sonst nicht funktioniert", und ein Netz, das alles erreicht, weil die VM ja nur zum Testen ist. Der Unterschied zum Labor ist nicht die Sorgfalt. Der Unterschied ist, dass das Labor 141.006 Läufe durchgesehen hat, um die drei Fälle zu finden, und ein Unternehmen seine Testläufe in der Regel gar nicht protokolliert.

/04Was Anthropic daraus gemacht hat — und was davon übertragbar ist

Der Maßnahmenbericht vom 31. August und die Bewertung vom 9. September nennen konkrete Schritte. Nicht alle sind für ein Unternehmen nachbaubar; einige sind es eins zu eins.

• Isolation als Infrastruktur, nicht als Absprache. Hochriskante interne Cyber-Sandboxes wurden auf robustere Isolation migriert; die Virtualisierungsschicht wurde einem Red-Teaming unterzogen. Rechencluster blockieren ausgehenden Verkehr standardmäßig vollständig. Übertragbar: ja, vollständig — das ist Abschnitt /06.
• Echtzeit-Klassifikator. Ein Klassifikator erkennt, wenn ein Modell eine Testumgebung „aggressiv sondiert oder zu verlassen versucht oder unerwartet Internetzugang erhält", blockiert die Aktion vor der Werkzeugausführung, beendet die Aufgabe und alarmiert Menschen. In den vier Fällen hätten die Klassifikatoren laut Bewertung 66 % der Aktionen von Mythos 5 und 55 % der von Opus 4.7 blockiert, aber nur 7 % beim internen Modell. Übertragbar: teilweise — ein Unternehmen baut keinen Klassifikator, aber eine Regel „Werkzeugaufruf mit externer Adresse → Abbruch und Alarm" ist dasselbe Prinzip mit einfacheren Mitteln.
• Umgebungsqualität prüfen. Während eines Einfrierens im April wurden über 10 % der Umgebungen im Produktionsmix wegen Problemen aussortiert und erst nach Korrektur wieder zugelassen. Übertragbar: ja — eine Testumgebung wird abgenommen wie ein Produktivsystem, mit einem Test, der von innen beweist, dass nichts nach außen geht.
• Anforderungen an Partner. Externe Evaluatoren mit reduzierten Schutzmaßnahmen müssen sich zu Sandboxing, Schwachstellentests vor dem Einsatz, expliziter Scope-Festlegung und Echtzeit-Überwachung verpflichten. Übertragbar: ja — wer Agenten-Tests an einen Dienstleister vergibt, schreibt genau das in den Auftrag.
• Neue Evaluationen. Darunter eine absichtlich fehlkonfigurierte CTF-Aufgabe ohne lösbares Ziel im Scope und Sandbox-Ausbruchsszenarien. Übertragbar: als Idee — testen Sie Ihre Testumgebung, indem Sie dem Agenten eine Aufgabe geben, die nur außerhalb lösbar wäre, und prüfen Sie, ob er außerhalb ankommt.

Was nicht übertragbar ist: die Durchsicht von 481 Millionen Transkripten, die Rückstufung von „rund 150 Produktingenieuren" auf Sicherheitsaufgaben, der Vertrag mit METR. Das sind Maßnahmen eines Herstellers, der Modelle trainiert. Ein Unternehmen, das Modelle betreibt, braucht sie nicht — es braucht die ersten vier Punkte.

/05Sieben Bausteine für eine Testumgebung, die hält

Die folgenden Bausteine gelten für jeden Test, in dem ein Agent Werkzeuge mit Wirkung bekommt — Shell, HTTP, Dateisystem, Mail, Datenbank. Sie gelten unabhängig davon, ob das Modell aus der Cloud kommt oder aus dem eigenen Rack, denn die Werkzeuge laufen in beiden Fällen bei Ihnen.

1. Netzsegment ohne Default-Route. Die Testmaschine hat keine Route ins Internet. Nicht „gefiltert", sondern keine. Was sie erreichen soll, bekommt eine explizite Route; alles andere ist unerreichbar, bevor irgendeine Firewall gefragt wird.
2. Egress-Proxy mit Positivliste. Braucht der Test externe Ziele — eine Paketquelle, eine API —, laufen sie über einen Proxy, der nur diese Ziele kennt und jeden Aufruf protokolliert. Der Proxy steht außerhalb des Segments; die Testmaschine kennt nur seine Adresse.
3. Wegwerf-Zugangsdaten. Jeder Schlüssel, den der Agent sieht, ist für den Test erzeugt, auf Testressourcen beschränkt und wird danach gelöscht. Kein produktiver API-Schlüssel, kein persönlicher SSH-Schlüssel, kein Token mit Schreibrecht außerhalb der Sandbox. Fall 1 und 4 begannen damit, dass Zugangsdaten in Reichweite lagen.
4. Zeit- und Budgetlimits. Ein Lauf endet nach einer festen Zeit und einer festen Zahl von Werkzeugaufrufen oder Tokens. Fall 3 scannte rund 9.000 Ziele — ein Aufruf-Limit von 500 hätte den Lauf beendet, lange bevor ein Ziel real war.
5. Kill-Switch. Ein Schalter, der den Agentenprozess und das Netzsegment gleichzeitig trennt, erreichbar für den, der den Test beaufsichtigt — und automatisch ausgelöst durch die Regel aus Baustein 2: externes Ziel ohne Positivlisten-Eintrag heißt Abbruch.
6. Protokollierung von Werkzeugaufrufen und Netz. Jeder Werkzeugaufruf mit Parametern, jede Verbindung des Segments, jede DNS-Anfrage. Ohne dieses Protokoll gibt es keine Durchsicht — und Anthropic hat den vierten Fall erst mit der zweiten, breiteren Durchsicht gefunden.
7. Meldeweg. Wer wird informiert, wenn ein Test etwas Reales erreicht hat? Anthropic brauchte vom Fund bis zur Benachrichtigung der Betroffenen drei Tage. Ein Unternehmen ohne definierten Weg braucht länger — oder meldet gar nicht, weil niemand zuständig ist.

Keiner dieser Bausteine setzt voraus, dass das Modell kooperiert. Das ist der Punkt. Ein Red-Teaming Ihrer Agenten ist nur dann ein Test und kein Vorfall, wenn die Umgebung das Ergebnis unabhängig vom Modell begrenzt. Wie sich die Isolationsschichten technisch abstufen — Container, gVisor, Firecracker —, steht in Agenten-Sandboxing 2026; den Vorfall beim britischen AISI mit demselben Muster behandelt AISI-Vorfall: Als die Test-Agenten das Labor verließen.

/06Netzsegment ohne Default-Route: die Konfiguration

Ein Beispiel mit Linux-Bordmitteln für einen einzelnen Testhost. Der Agent läuft in einem Netzwerk-Namensraum, der nur den Proxy und den Modellendpunkt erreicht. Dieselbe Logik lässt sich auf eine VM in einem eigenen VLAN oder einen Container mit eigenem Netz übertragen; die Namensraum-Variante ist die, die sich am schnellsten prüfen lässt.

# Namensraum anlegen und mit dem Host verbinden
ip netns add eval01
ip link add veth-eval type veth peer name veth-host
ip link set veth-eval netns eval01
ip addr add 10.99.0.1/30 dev veth-host && ip link set veth-host up
ip netns exec eval01 ip addr add 10.99.0.2/30 dev veth-eval
ip netns exec eval01 ip link set veth-eval up
ip netns exec eval01 ip link set lo up

# KEINE Default-Route. Nur zwei Hostrouten: Proxy und Modellendpunkt (beide über den Host erreichbar)
ip netns exec eval01 ip route add 10.20.0.80/32 via 10.99.0.1    # Egress-Proxy mit Positivliste
ip netns exec eval01 ip route add 10.20.40.11/32 via 10.99.0.1   # vLLM-Endpunkt

# Auf dem Host: Weiterleitung nur zu diesen beiden Zielen, alles andere verwerfen und protokollieren
nft add table inet eval
nft add chain inet eval fwd '{ type filter hook forward priority 0; policy drop; }'
nft add rule inet eval fwd iifname veth-host ip daddr 10.20.0.80 tcp dport 3128 accept
nft add rule inet eval fwd iifname veth-host ip daddr 10.20.40.11 tcp dport 8000 accept
nft add rule inet eval fwd iifname veth-host log prefix \"eval-egress-drop \" counter drop

# Beweis von innen: Default-Route fehlt, Internet unerreichbar, Proxy erreichbar
ip netns exec eval01 ip route show default        # leer
ip netns exec eval01 curl -m 5 https://pypi.org   # scheitert: no route to host
ip netns exec eval01 curl -m 5 -x http://10.20.0.80:3128 https://pypi.org/simple/requests/   # erlaubt, wenn gelistet

# Agent im Namensraum starten, mit Zeitlimit und ohne Zugangsdaten des Hosts
ip netns exec eval01 env -i HOME=/srv/eval01 PATH=/usr/bin:/bin \
    OPENAI_BASE_URL=http://10.20.40.11:8000/v1 OPENAI_API_KEY=eval01-wegwerf-$(date +%s) \
    timeout --signal=KILL 30m /srv/eval01/agent run --max-tool-calls 500

# Kill-Switch: Prozess und Netz gleichzeitig trennen
pkill -KILL -f '/srv/eval01/agent' ; ip netns exec eval01 ip link set veth-eval down

Drei Dinge an dieser Konfiguration sind nicht verhandelbar. Erstens die leere Default-Route — sie ist der Unterschied zwischen „sollte nicht" und „kann nicht". Zweitens env -i: Der Agent erbt keine Umgebungsvariablen des Hosts, also keine Schlüssel, die dort zufällig gesetzt sind. Drittens der Beweis von innen: curl aus dem Namensraum muss scheitern, bevor der erste Lauf startet. Anthropics Fälle entstanden, weil niemand diesen Beweis geführt hatte — die Isolation war vereinbart, nicht gemessen.

DNS verdient einen eigenen Satz. Der Namensraum oben hat keinen Resolver; Namensauflösung läuft über den Proxy (CONNECT mit Hostnamen), der die Positivliste nach Namen prüft. Wer dem Segment einen eigenen Resolver gibt, hat einen Kanal nach außen geöffnet — Fall SalesBleed vom Oktober hat gezeigt, wie Daten in DNS-Anfragen wandern.

/07Frontier-Labor gegen 27B im Rack: was wirklich übertragbar ist

Ehrlich: Die vier Fälle sind Laborbefunde mit Frontier-Modellen in Angriffsübungen, die ein Mittelständler nie fährt. Ein Haus, das ein Qwen-Modell mit 27 Milliarden Parametern auf einer 24-GB-Karte für Dokumentenfragen betreibt, hat kein Modell, das PyPI-Pakete schreibt und 9.000 Ziele scannt. Daraus den Schluss zu ziehen, das Thema betreffe nur Labore, wäre trotzdem falsch — aus drei Gründen.

Das Risiko ist der Werkzeugzugriff, nicht die Modellgröße. Ein 27B-Modell mit Shell-Werkzeug führt curl genauso aus wie ein Frontier-Modell. Es braucht keine Raffinesse, um ein offenes System zu finden; die Anthropic-Fälle liefen über schwache Passwörter und nicht authentifizierte Endpunkte. Was ein kleines Modell nicht hat, ist Ausdauer und Planungstiefe — es scheitert früher. Aber „scheitert früher" ist keine Sicherheitsarchitektur.

Die Fehlkonfiguration ist dieselbe. „Die VM hat Internet, weil sie es zum Einrichten brauchte" ist der Satz, der in jedem Unternehmen fällt. Der Unterschied zwischen Labor und Mittelstand ist nicht, ob die Route existiert, sondern ob jemand nachsieht. Ein On-Premise-Betrieb hat hier den Vorteil, dass das Netz in der eigenen Hand liegt — Sie können die Default-Route entfernen, ohne einen Cloud-Anbieter zu fragen. Der Vorteil ist nur dann einer, wenn Sie es tun.

Kleine Modelle folgen Injektionen eher, nicht seltener. Ein Agent, der Webseiten oder Dokumente liest, wird irgendwann eine Anweisung in den Daten finden. Ein kleineres Modell unterscheidet Anweisung und Daten schlechter als ein großes. Die Grenze, die dann hält, ist wieder das Netz — nicht der Prompt, der dem Modell sagt, es solle Anweisungen in Dokumenten ignorieren.

Was tatsächlich nicht übertragbar ist: der Anspruch, das Modellverhalten selbst zu bewerten. Anthropics Bewertung vom 9. September misst, in wie viel Prozent der Denkblöcke ein Modell die Realität erkannte und wie Klassifikatoren reagierten. Das ist Herstellerarbeit. Ein Unternehmen misst stattdessen etwas Einfacheres: Hat irgendein Paket das Segment verlassen? Die Antwort steht im Protokoll des Proxys und in den Zählern der Drop-Regel, und sie ist eine Zahl, die Sie heute abend prüfen können. Welche Evaluation ein Betreiber für seine Agenten sinnvoll fährt, behandelt LLM-Observability 2026.

/08Entscheidung: Wer eine isolierte Testumgebung braucht

Zwingend ist sie für jeden, der Agenten mit Shell-, HTTP- oder Dateisystemwerkzeugen entwickelt oder testet — intern oder durch einen Dienstleister. Das betrifft Coding-Agenten in der Softwareentwicklung, Automatisierungsagenten in n8n oder vergleichbaren Werkzeugen, Rechercheagenten mit Browser, und jeden Proof of Concept, in dem „der Agent mal eben" eine API aufruft. Der Aufbau aus Abschnitt /06 kostet einen Administrator einen halben Tag; er wird für jeden weiteren Test wiederverwendet.

Sinnvoll, aber verhandelbar ist sie für Agenten ohne Wirkung nach außen — ein Chat über interne Dokumente mit reinem Leserecht auf eine Vektordatenbank. Hier reicht in der Regel ein Container ohne Netz außer dem Modellendpunkt. Sobald ein Werkzeug hinzukommt, das schreibt oder sendet, rückt der Fall in die erste Kategorie.

Nicht nötig ist sie für reine Modelltests ohne Werkzeuge — Prompt gegen Antwort, Qualität, Latenz, Durchsatz. Dort kann das Modell nichts erreichen, weil es nichts aufrufen kann.

Für die Frage „wer baut das" gilt: Wer die Umgebung selbst aufsetzt, braucht jemanden, der Netzwerk-Namensräume, nftables und Proxy-Konfiguration beherrscht — in den meisten Häusern ist das der Administrator, der auch die Firewall betreut, nicht das KI-Projektteam. Wer die Umgebung einkauft, schreibt die sieben Bausteine als Abnahmekriterien in den Auftrag und lässt sich den Beweis von innen zeigen. Für ein Haus, das Agenten vollständig ohne Außenverbindung betreiben will — etwa in regulierten Bereichen —, ist die Testumgebung zugleich der Vorgriff auf den Produktivbetrieb: Das Segment ohne Default-Route wird dann nicht wieder aufgehoben.

/09Grenzen: Was auch eine gute Testumgebung nicht löst

Sie schützt nicht vor dem, was im Segment liegt. Testdaten, die aus Produktionsdaten kopiert wurden, sind im Segment genauso lesbar. Ein Agent, der im Test „nur" eine Kopie der Kundendatenbank ausliest und in seine Antwort schreibt, hat ein Datenschutzproblem erzeugt, obwohl kein Paket das Segment verlassen hat. Testdaten gehören anonymisiert oder synthetisch — das ist eine eigene Aufgabe.

Sie schützt nicht vor dem Weg in die Produktion. Der Agent, der im isolierten Segment gut funktioniert hat, bekommt in der Produktion echte Schlüssel und echte Routen. Wenn die Produktionsumgebung die sieben Bausteine nicht übernimmt, war der Test eine Übung ohne Folgen. Anthropics Rechencluster blockieren ausgehenden Verkehr standardmäßig — in der Produktion, nicht nur im Test.

Der Proxy ist ein Vertrauensanker und ein Engpass. Wer ihn falsch konfiguriert — etwa mit einem Positivlisten-Eintrag für eine ganze Domain wie *.amazonaws.com —, hat ein Loch, das größer ist als jede einzelne Adresse. Positivlisten brauchen Pflege und Reviews; sie veralten in beide Richtungen.

Und: Kein Segment ersetzt die Durchsicht. Anthropic fand den vierten Fall, weil es die Suche ausweitete, nicht weil die Isolation besser wurde. Die Protokolle aus Baustein 6 sind nur dann etwas wert, wenn jemand sie liest — regelmäßig, mit einer Frage im Kopf: Hat ein Agent in diesem Monat etwas versucht, das er nicht sollte? Die Drop-Zähler der nftables-Regel beantworten diese Frage in einer Zeile. Dass sie null sind, ist das Ziel; dass jemand nachsieht, ist die Methode. Was passiert, wenn niemand nachsieht, zeigt Wenn der KI-Agent die Produktion löscht.