Ausgabe vom 2. Juli 2026

Der Sicherheitsforscher Ian Carroll hat mithilfe von Anthropics Claude Opus 4.7 eine kritische Schwachstelle im Ticketing-System Front Gate Tickets aufgedeckt, die es ihm erlaubt hätte, beliebige Tickets für nahezu jedes große US-Musikfestival auszustellen – darunter Lollapalooza, Bonnaroo, Austin City Limits und SXSW. Laut übereinstimmenden Berichten von Wired, Digital Music News und Android Authority fiel Carroll zunächst eine mutmaßliche SQL-Injection-Schwachstelle in der Geräte-API des Anbieters auf; das Problem war, dass eine Web Application Firewall (WAF) den direkten Angriff blockierte. Claude entwickelte daraufhin selbstständig eine Umgehungstechnik: Das Modell erkannte, dass die Firewall nur die äußere Ebene eingehender SQL-Abfragen prüfte, und verschachtelte den schädlichen Code in einer Subquery – wodurch dieser unbemerkt durchrutschte. Über diesen Weg erhielt Carroll zunächst Zugriff auf Beispiel-Kundendatenbanken und konnte schließlich das Passwort eines Administrator-Kontos zurücksetzen, was ihm Super-Admin-Rechte auf der gesamten Front-Gate-Plattform verschaffte.

Front Gate Tickets ist laut mehreren Quellen eine Tochtergesellschaft von Live Nation und verarbeitet das Ticketing für einen Großteil der größten US-Festivals; potenziell betroffen waren damit Millionen Kunden- und Mitarbeiterdatensätze. Carroll erklärte, er habe bewusst darauf verzichtet, tatsächlich Tickets auszustellen, und stattdessen den Fund verantwortungsvoll gemeldet – als Beleg fand er unter anderem ein Bonnaroo-Platin-Ticket im Wert von 4.000 US-Dollar in einem Warenkorb, das sich beliebig oft hätte duplizieren lassen. Front Gate bestätigte gegenüber Wired, die Lücke binnen 24 Stunden nach Eingang der Meldung geschlossen zu haben, und teilte mit, es gebe keine Hinweise auf eine vorherige Ausnutzung durch Dritte. Zu einer konkreten Bug-Bounty-Zahlung liegen keine bestätigten Angaben vor – dieser Punkt bleibt unklar. Möglich war der Test für Carroll überhaupt nur, weil er Teilnehmer von Anthropics „Cyber Verification Program" (CVP) ist, einem Vetting-Programm, das geprüften Sicherheitsforschern Zugang zu sonst gesperrten offensiven Fähigkeiten des Modells gewährt.

Genau hier liegt der Kern der Dual-Use-Problematik, die Anthropic selbst thematisiert: Aktivitäten wie Schwachstellen-Exploitation oder das Entwickeln offensiver Sicherheitswerkzeuge gelten laut Unternehmensangaben als „High-risk dual-use" – standardmäßig blockiert, aber für verifizierte Organisationen über das CVP freischaltbar. Anthropic erklärte demnach, dieselbe Anfrage hätte außerhalb des Programms mit hoher Wahrscheinlichkeit die Sicherheitsmechanismen des Modells ausgelöst und wäre blockiert worden. Das ist eine bemerkenswerte, aber auch fragile Unterscheidung: Ob ein Vorgang als legitime Sicherheitsforschung oder als Missbrauch gilt, hängt aktuell primär davon ab, wer die Anfrage stellt – nicht davon, dass das Modell technisch nicht fähig wäre, denselben Exploit auch für einen unautorisierten Akteur zu entwickeln. Der Fall reiht sich damit in eine wachsende Zahl von Berichten ein, in denen Sicherheitsforscher KI-Assistenten gezielt für Penetrationstests und Schwachstellenanalyse einsetzen.

Für Unternehmen mit eigener Ticketing- oder E-Commerce-Infrastruktur ist die Botschaft unmissverständlich: Web Application Firewalls, die nur die oberste Ebene von Datenbankabfragen prüfen, bieten keinen verlässlichen Schutz mehr, wenn ein Angreifer – ob Mensch oder KI-unterstützt – gezielt nach Umgehungstechniken sucht. Bemerkenswert ist zudem, wie schnell Claude die Schwachstellen-Kette von der WAF-Umgehung bis zur Rechteausweitung auf Administratorebene zusammensetzte, ein Prozess, der traditionell tiefe Spezialkenntnisse erfordert. Genau darin liegt die eigentliche Verschiebung der Bedrohungslandschaft: Wenn KI-Modelle komplexe Exploit-Ketten für Nutzer entwickeln können, die selbst keine Datenbank- oder Firewall-Experten sind, sinkt die fachliche Einstiegshürde für das Auffinden kritischer Lücken – im besten Fall zugunsten weißer Hüte mit verifiziertem Zugang, im schlechtesten Fall zugunsten von Angreifern, die Wege um genau solche Zugangskontrollen finden. Für CISOs bedeutet das: Legacy-Systeme mit älteren WAF-Regelwerken sollten priorisiert auf verschachtelte Query-Umgehungen und ähnliche Klassen von KI-generierten Angriffsmustern getestet werden, bevor es jemand ohne Melde-Absicht tut.

Am 30. Juni deckte der Reddit-Nutzer „LegitMichel777" beim Reverse Engineering des Claude-Code-Binaries (Version 2.1.196) eine versteckte Funktion auf: Das CLI-Tool prüfte seit Version 2.1.91 (veröffentlicht am 2. April 2026) bei jeder Anfrage unbemerkt, ob Nutzer über einen Proxy mit chinesischem Bezug liefen. Abgeglichen wurden dabei die Systemzeitzone (Treffer bei „Asia/Shanghai" oder „Asia/Urumqi") sowie die über die Umgebungsvariable ANTHROPIC_BASE_URL gesetzte Proxy-Adresse gegen eine hartkodierte, XOR-verschlüsselte Liste von rund 147 chinesischen Domains und Schlüsselwörtern bekannter KI-Labs wie DeepSeek, Moonshot AI und MiniMax. Der Fund verbreitete sich rasant über Hacker News und mehrere internationale Tech-Medien, die die technischen Details unabhängig nachvollzogen und bestätigten.

Technisch handelt es sich um eine klassische Steganografie-Methode: Traf einer der Indikatoren zu, veränderte Claude Code minimal sichtbare Details in der Zeile „Today's date is …", die bei jeder Session in den System-Prompt eingefügt wird — etwa den Datums-Trenner (Bindestrich zu Schrägstrich) oder das Apostroph in „Today's", das durch optisch nahezu identische Unicode-Varianten ersetzt wurde. Für menschliche Nutzer war der Unterschied praktisch unsichtbar, für Anthropics Systeme jedoch maschinenlesbar auswertbar. Wichtig zur Einordnung: Es handelt sich nicht um ein Wasserzeichen im Sinne von Googles SynthID oder ähnlichen Ansätzen, die KI-generierten Output nachträglich markieren — sondern um einen eingehenden Fingerprinting-Kanal, der Rückschlüsse auf Herkunft und Infrastruktur der Nutzer zog, bevor überhaupt eine Antwort generiert wurde.

Anthropic reagierte rasch und bestätigte den Fund offiziell — anders als bei reinen Content-Wasserzeichen war hier also kein Rateraten über Absicht nötig. Thariq Shihipar, Ingenieur im Claude-Code-Team, erklärte laut mehreren Medien: „This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation." Der Pull Request zur Entfernung des Codes sei bereits gemerged, ein Update (Version 2.1.197) erschien in der Nacht zum 1. Juli — allerdings ohne den Vorgang im offiziellen Changelog zu erwähnen. Der Kontext: Anthropic hatte im Februar 2026 zusammen mit OpenAI und Google öffentlich Vorwürfe gegen DeepSeek, Moonshot AI und MiniMax erhoben, über tausende Fake-Accounts massenhaft Modell-Outputs für „Distillation" (das Nachtrainieren eigener Modelle an fremden Ausgaben) abgegriffen zu haben. Die Marker dienten also mutmaßlich der Erkennung genau solcher Missbrauchsmuster — waren jedoch nie öffentlich dokumentiert.

Für Unternehmen, die Claude Code für vertrauliche Projekte einsetzen, wirft der Fall handfeste Fragen auf. Wer aus Compliance- oder Kostengründen einen eigenen API-Gateway oder Proxy betreibt (in Unternehmensumgebungen keine Seltenheit), konnte unwissentlich in die Erkennungslogik geraten — inklusive impliziter Standort- und Infrastrukturprofilierung über die Systemzeitzone, ohne jede Einwilligung oder Offenlegung. Aus DSGVO-Perspektive ist bereits die verdeckte Ableitung von Standortmerkmalen aus Systemdaten kritisch zu bewerten, unabhängig vom Verwendungszweck. In der Entwickler-Community überwog dabei weniger Empörung über das Ziel selbst — Schutz vor Modell-Diebstahl gilt vielen als legitim — als über die fehlende Transparenz und die Tatsache, dass ein Closed-Source-Tool mit vollem Datei- und Shell-Zugriff auf Entwicklerrechnern unbemerkt Anfragen manipulieren konnte. Mehrere Kommentatoren wiesen zudem darauf hin, dass sich der Mechanismus trivial umgehen ließ und damit primär unbedarfte statt gezielte Akteure traf. Einzelne technische Detailangaben (etwa die genaue Zahl von 147 Domains oder der XOR-Schlüssel) stammen bislang ausschließlich aus der Reverse-Engineering-Analyse des Entdeckers und wurden von Anthropic nicht im Detail bestätigt.

Wie wir gestern berichteten (Artikel), hat die Trump-Administration die Exportkontrollen für Fable 5 und Mythos 5 aufgehoben, nachdem Anthropic allgemein zugesagt hatte, Sicherheitsrisiken „proaktiv zu identifizieren und zu beheben". Wired legt nun nach und benennt die konkrete Gegenleistung, die den Deal erst ermöglichte: Anthropic musste einen bestehenden Schutzmechanismus gezielt erweitern, um genau die Angriffstechnik zu blockieren, die den Konflikt im Juni ausgelöst hatte — jenen Drei-Wort-Jailbreak („Fix this code"), mit dem Amazon-Forscher Fable 5 zur Preisgabe gesperrter Schwachstellen-Informationen bringen konnten.

Technisch handelt es sich laut Anthropics eigener Ankündigung um einen neuen, automatisierten Sicherheitsklassifikator, der Anfragen während der Interaktion auf potenziell schädliche Muster prüft. Er blockiert die von Amazon dokumentierte Technik „in über 99 Prozent der Fälle" — geblockte Anfragen werden Nutzern angezeigt und automatisch an das ältere Modell Opus 4.8 umgeleitet. Der Haken für Entwickler: Anthropic räumt selbst ein, dass der Klassifikator häufiger harmlose Anfragen bei alltäglichen Coding- und Debugging-Aufgaben fälschlich blockiert — ein spürbarer Kompromiss zwischen Sicherheit und Nutzbarkeit, an dem das Unternehmen laut eigener Aussage weiter „zur Reduktion von False Positives" arbeitet.

Parallel dazu hat Anthropic mit Amazon, Microsoft, Google und weiteren Partnern der Glasswing-Initiative ein branchenweites Bewertungsraster für die Schwere von AI-Jailbreaks entwickelt. Es misst Vorfälle anhand von vier Kriterien: dem tatsächlichen Fähigkeitsgewinn gegenüber bereits frei verfügbaren Tools, der Bandbreite der dadurch ermöglichten Angriffsaufgaben, dem nötigen Aufwand zur Weaponisierung sowie der allgemeinen Auffindbarkeit der Technik. Ziel ist ein gemeinsamer Standard, der zwischen echten Sicherheitslücken und Bagatell-Umgehungen unterscheidet — und damit künftige Hauruck-Abschaltungen wie im Juni verhindern soll.

Flankiert wird das Ganze durch neue Meldestrukturen: ein 24/7-Team überwacht zentrale Jailbreak-Meldekanäle, ein neues HackerOne-Programm lässt Sicherheitsforscher Cyber-Jailbreaks in Fable 5 gezielt einreichen, und ausgewählte Regierungsstellen erhalten bei künftigen, fähigkeitssteigernden Modell-Releases frühzeitigen Zugang zu Modell und Schutzmechanismen samt technischer Unterstützung — noch vor dem breiten Rollout. Zusammengenommen ist das die technische Substanz hinter dem, was Lutnick als Bedingung für die Freigabe bezeichnet hatte.

Frag ChatGPT und Claude nach einer Zufallszahl zwischen 1 und 10, und beide antworten mit hoher Wahrscheinlichkeit „7". Nach einem Automodell gefragt, kommt „Toyota" oder „Honda", nach einer Band-Namen-Idee „Glass", „Neon" oder „Velvet". Dieses Muster beschreibt die MIT Technology Review als „Groupthink"-Effekt großer Sprachmodelle: Bei offenen, kreativen Fragen konvergieren verschiedene LLMs erstaunlich oft auf dieselben oder sehr ähnliche Antworten – nicht nur ein einzelnes Modell wiederholt sich, sondern ChatGPT, Claude und Gemini landen häufig beim gleichen Ergebnis. Akademisch untermauert wird der Befund durch die Studie „Artificial Hivemind: The Open-Ended Homogeneity of Language Models (and Beyond)" von Liwei Jiang (University of Washington, inzwischen NVIDIA/UC Irvine) und Kollegen, die bei NeurIPS 2025 mit dem Best-Paper-Award ausgezeichnet wurde. Anhand des eigens erstellten Datensatzes „Infinity-Chat" mit 26.000 offenen Alltagsfragen testeten die Forschenden über 70 Modelle und stellten sowohl „intra-model repetition" (ein Modell wiederholt sich selbst) als auch „inter-model homogeneity" (verschiedene Modelle gleichen sich an) fest. Bei 1.250 Antworten auf die Bitte um eine Metapher für „Zeit" etwa variierten die allermeisten nur um „Die Zeit ist ein Fluss" oder „Die Zeit ist eine Weberin".

Das australische Startup Springboards, gegründet von CEO Pip Bingemann und CTO Kieran Browne, will dieses Problem gezielt angehen. Ihr Modell Flint basiert auf Alibabas Open-Source-Modell Qwen 3 und wurde, so Browne gegenüber der MIT Technology Review, so trainiert, dass es „bewusst einen Ausreißer einstreut" – „eher eine Einladung, weiter zu denken" als reiner Zufall. Technisch unterscheidet sich der Ansatz von der naheliegenden Lösung, einfach den Temperature-Parameter hochzudrehen: Das würde laut Browne schnell zu inkohärenten, unbrauchbaren Antworten führen. Stattdessen identifiziert Flint gezielt einzelne Positionen in der Ausgabe, an denen Variation sinnvoll ist, und erhöht dort selektiv die Diversität, statt die Zufälligkeit über die gesamte Antwort hinweg zu streuen. Im unternehmenseigenen Vergleich auf dem „NoveltyBench" erzielte Flint einen Wert von rund 7 von 10 Punkten, gegenüber einem Durchschnitt von 2,88 bei GPT, Claude und Gemini – ein Ergebnis, das bislang nur von Springboards selbst veröffentlicht wurde und noch unabhängiger Prüfung bedarf. Das im März 2026 gestartete Unternehmen sammelte eine Seed-Finanzierung von umgerechnet rund 5 Millionen australischen Dollar von Blackbird Ventures ein, Australiens größter Venture-Capital-Firma, und zählt nach eigenen Angaben über 120 Werbeagenturen als Kunden.

Warum ist mangelnde Antwortvielfalt überhaupt ein Business-Problem? Für Einzelanfragen mag es niemanden stören, aber sobald Unternehmen LLMs für Brainstorming, Kreativkonzepte, synthetische Trainingsdaten oder Simulationen mit vielen KI-Agenten einsetzen, wird Konvergenz zum Risiko: Wenn zehn parallel angefragte „Ideen" alle auf dieselbe naheliegende Antwort hinauslaufen, bringt die Skalierung keinen zusätzlichen Wert. Das betrifft insbesondere die Werbe- und Marketingbranche, aber ebenso A/B-Testing von Werbetexten, Multi-Agenten-Simulationen von Kundenverhalten oder die Generierung synthetischer Daten für das Training weiterer Modelle, wo Homogenität sich sonst fortpflanzt. Das Jiang-Paper warnt zusätzlich vor einem gesellschaftlichen Langzeiteffekt: Wenn Millionen Menschen wiederholt ähnliche KI-Antworten konsumieren, könnte dies menschliches Denken selbst homogenisieren. Als technische Ursache gilt in der Forschung vor allem das Post-Training: Die Studie „Understanding the Effects of RLHF on LLM Generalisation and Diversity" (Kirk et al., ICLR 2024) zeigt, dass RLHF im Vergleich zu reinem Supervised Fine-Tuning die Antwortvielfalt eines Modells deutlich reduziert – ein Effekt, der auf die in RLHF-Verfahren übliche „mode-seeking" KL-Divergenz-Bestrafung zurückgeführt wird, die das Modell zu einer einzigen, hochwahrscheinlichen Lösung drängt statt die Bandbreite plausibler Antworten zu erhalten.

Von den großen Anbietern äußerte sich im Artikel nur OpenAI: Zuverlässige, kohärente Antworten seien ein bewusstes Designziel, da höhere „Novelty" tendenziell zu schwächeren Ergebnissen führen könne; zudem seien die in der Untersuchung zitierten Modellversionen veraltet und inzwischen aktualisiert worden. Anthropic und Google nahmen laut MIT Technology Review nicht direkt Stellung – ein Punkt, der als offene Frage im Raum stehen bleibt. Bestehende Gegenmaßnahmen wie der Temperature-Parameter adressieren laut Springboards nur Zufälligkeit auf Wortebene, nicht aber die tieferliegende, durch ähnliche Trainingsdaten und ähnliche Alignment-Verfahren verursachte semantische Konvergenz zwischen verschiedenen Modellen. Erste akademische Gegenstrategien wie „Verbalized Sampling" befinden sich noch im Forschungsstadium; ob Spezialmodelle wie Flint sich gegen die breite Modellpalette der großen Anbieter durchsetzen, bleibt – bei bislang nur firmeneigenen Benchmarks – abzuwarten.

OpenAI-Ingenieure sollen intern berichtet haben, dass sie einen Weg gefunden haben, die Kosten für den Betrieb bestehender KI-Modelle um mehr als die Hälfte zu senken. Das berichtet zuerst der US-Branchendienst „The Information" unter Berufung auf interne Quellen; hierzulande griff heise online die Meldung auf. Konkret wird von einem Test bei nicht eingeloggten ChatGPT-Nutzern berichtet: Die Zahl der dafür benötigten Nvidia-GPUs sei zeitweise auf „nur ein paar hundert" gesunken. Über die genauen technischen Kniffe hüllt sich OpenAI in Schweigen — im Gespräch sind laut Bericht Quantisierung (reduzierte Zahlenpräzision der Modellgewichte), Key-Value-Caching (Wiederverwendung früherer Berechnungen), Batching (parallele Verarbeitung mehrerer Anfragen) sowie Modell-Routing, bei dem einfache Anfragen an kleinere, günstigere Modelle weitergereicht werden. Welche dieser Methoden tatsächlich zum Einsatz kommen und welche neuen Modelle oder Zeiträume konkret betroffen sind, bleibt offen — die Angaben stammen aus einer einzigen, nicht offiziell bestätigten Quelle.

Zu unterscheiden ist der Bericht von OpenAIs separat angekündigtem Hardware-Projekt: Erst im Juni 2026 hatten OpenAI und Broadcom gemeinsam den eigens entwickelten Inferenz-Chip „Jalapeño" vorgestellt, der im Vergleich zu aktuellen Nvidia-GPUs ebenfalls rund 50 Prozent geringere Kosten pro verarbeitetem Token verspricht — allerdings erst ab Ende 2026 zum Einsatz kommen soll. Die jetzt kolportierte Kostensenkung ist davon unabhängig und rein softwarebasiert; beide Maßnahmen ergänzen sich aber strategisch. Unterfüttert wird der Bericht durch Zahlen aus OpenAIs jüngstem Quartalsbericht: Die Bruttomarge im API-Geschäft kletterte von 33 Prozent im Vorjahresquartal auf 39 Prozent im ersten Quartal 2026 — trotz eines Nettoverlusts von 21,3 Milliarden Dollar im selben Zeitraum. OpenAIs gesamte Inferenzkosten werden für 2026 auf rund 14 Milliarden Dollar geschätzt, nach schätzungsweise 8,4 Milliarden Dollar im Vorjahr.

Der Zeitpunkt ist strategisch heikel: OpenAI hat vertraulich einen Börsengang mit einer angestrebten Bewertung von bis zu einer Billion Dollar eingereicht, während das Wachstum der wöchentlich aktiven ChatGPT-Nutzer bei rund 900 Millionen zu stagnieren scheint. Gleichzeitig tobt ein Preiskampf: Google senkte kürzlich den Einstiegspreis für sein „AI Plus"-Abo, und OpenAI soll laut Marktbeobachtern über drastische Preissenkungen bei der Token-Abrechnung nachdenken, um Anthropic im Enterprise-Geschäft zu kontern — Anthropic hatte OpenAI dort im April 2026 erstmals beim Anteil der Unternehmensausgaben überholt. Wer die eigenen Betriebskosten senkt, gewinnt Spielraum für genau solche Preissenkungen, ohne die Marge komplett zu opfern.

Für Unternehmenskunden bedeutet das zunächst wenig Automatisches: Ob die Einsparungen an API-Preise weitergegeben werden oder primär die Marge vor dem Börsengang stützen sollen, ist offen — beide Lesarten sind plausibel, und OpenAI hat sich dazu nicht öffentlich geäußert. Wahrscheinlicher ist ein Mittelweg: OpenAI dürfte punktuell Preise senken, um im Wettbewerb mit Anthropic und Google nicht ins Hintertreffen zu geraten, während der Großteil der Einsparung die eigene Bilanz vor dem IPO verbessert. Für CTOs und Einkaufsabteilungen lohnt sich in jedem Fall ein Blick auf die Preisentwicklung der kommenden Wochen — die Wahrscheinlichkeit weiterer Anpassungen bei allen drei großen Anbietern ist angesichts des aktuellen Preisdrucks hoch.