TL;DR: Anthropic's Bedrohungsbericht vom September 2026 besagt, dass chinesische Labore fast 200 Millionen Claude-Austausche gesammelt haben, um rivalisierende Modelle zu trainieren, zwei davon, indem sie die Anfragen ihrer eigenen Benutzer stillschweigend an Claude weiterleiteten. Ein gefälschter "billiger Claude"-Wiederverkäufer leitete Käufer zu einem anderen Modell weiter und stahl deren Zugangsdaten. Jeder gestohlene API-Schlüssel in dem Bericht stammte aus der Umgebung eines Kunden, nicht von Anthropic. Und eine Waffenzelle nutzte Claude Code als ihr gesamtes Ingenieurteam. Die Lehren für API-Teams sind gewöhnliche Sicherheitsdisziplin, geschärft für eine Welt, in der KI-Schlüssel, Prompts und Agenten die neue Angriffsfläche sind.
Die wildesten Zeilen in Anthropic's neuem Bericht handeln von Raketen und Modelldiebstahl. Die nützlichen handeln von Ihren API-Schlüsseln.
Am 10. September veröffentlichte Anthropic „Erkennung und Bekämpfung des Missbrauchs von KI: September 2026“, der Bedrohungsaktivitäten von Dezember 2025 bis August 2026 in sieben Schadensbereichen abdeckt. TechCrunch und CNBC berichteten hauptsächlich über die Destillationszahlen. Abseits der Schlagzeilen ist es ein Leitfaden, wie KI-Zugangsdaten gestohlen, weiterverkauft, als Proxy verwendet und in großem Umfang missbraucht werden.
Wir haben nach dem OpenAI- und Hugging Face-Vorfall im Juli eine ähnliche Aufschlüsselung verfasst. Dieser ist für mehr Teams relevant, da die Opfer gewöhnliche API-Kunden waren. Hier sind sieben Lektionen, jede mit etwas verbunden, das Sie diese Woche tun können. Apidog erscheint dort, wo es hilft, und bleibt dort aus dem Weg, wo es nicht hilft.
Was der Bericht sagt
Vier Erkenntnisse sind für API-Teams wichtig. Alle sind Anthropic's Zuschreibungen; keines der genannten Labore hatte zum Zeitpunkt der Abfassung geantwortet.
Destillation im industriellen Maßstab. Anthropic schreibt die größte Kampagne Alibaba zu: Chain-of-Thought-Extraktion von Claude Opus 4.6 und 4.7, mit einem Höhepunkt von fast 3 Millionen Austauschen pro Tag von mehr als 3.500 betrügerischen Konten, 151 Millionen Austausche zwischen Mai und Juli, verwendet zum Training von Qwen 3.5 bis 3.7. Moonshot AI und DeepSeek sollen noch weiter gegangen sein und die Anfragen ihrer eigenen Kunden an Claude weitergeleitet haben, ohne sie darüber zu informieren, wobei DeepSeek in 14 Tagen 12,1 Millionen Austausche protokollierte.
Ein gefälschter Wiederverkäufer. Eine russisch- und ukrainischsprachige Gruppe, die als GTG-50021 verfolgt wird, verkaufte „günstigen Claude-Zugang“, der, in den Worten von Anthropic, „weder günstig noch tatsächlich Claude war“. Der Traffic ging an ein anderes Modell, während die Tools des Wiederverkäufers einen Credential Harvester installierten und die gestohlenen Anthropic-Anmeldedaten weiterverkauften.
Jedes Mal gestohlene Schlüssel. In allen Cyberfällen erklärt Anthropic: „In jedem Fall wurden die beteiligten API-Schlüssel aus den Umgebungen der Anthropic-Kunden gestohlen.“ Eine Crew hat massenhaft 1,8 Millionen Android-APKs heruntergeladen, um nach fest codierten Geheimnissen zu suchen.
Agenten als Ingenieurteam. Eine Zelle im nördlichen Jemen nutzte Claude Code anstelle menschlicher Ingenieure, um Steuerungs- und Leitungssoftware für eine lenkbare Rakete zu schreiben. Der Testschuss scheint fehlgeschlagen zu sein. Innerhalb weniger Stunden fragten sie Claude, warum.
Lektion 1: Ihre KI-Schlüssel sind jetzt Produktions-Zugangsdaten
Anthropic's Leitfaden ist deutlich: „Organisationen sollten KI-Schlüssel und Agentenintegrationen mit dem gleichen Ernst behandeln wie Produktions-Zugangsdaten, denn Angreifer behandeln sie mit dem gleichen Ernst.“
Die meisten Teams tun das nicht. KI-Schlüssel werden in Notizbücher eingefügt, in Demo-Repos committet, in mobile Builds integriert und in Slack geteilt. Die APK-scannende Crew existiert, weil diese Gewohnheit so verbreitet ist, dass sie sich industrialisieren lässt.
Beginnen Sie mit der Bestandsaufnahme. Scannen Sie jeden Ort, an dem ein Schlüssel versteckt sein könnte: Anforderungs-Header, Umgebungsdateien, Beispielantworten, Skripte, Dokumente. Wenn Sie den Enterprise-Plan von Apidog nutzen, durchsucht Secret Scanner Anfragen, Umgebungs- und Teamvariablen, Skripte, Markdown-Dokumente und Antwortbeispiele nach Schlüsseln, Token und Webhook-URLs und verweist Sie auf die Variable oder den Tresorverweis, der sie ersetzen sollte. Grenzen Sie dann das Verbleibende ein, mithilfe unseres Leitfadens zum Prinzip der geringsten Rechte für Agentenschlüssel.
Lektion 2: Ein Discount-Reseller ist ein Credential Harvester mit einer Preisliste
Die Empfehlung des Berichts, wo Zugang gekauft werden sollte, lautet in einem Satz: „KI-Zugang sollte nur über autorisierte Kanäle erworben werden. Ein angeblicher Rabatt, der das Routing von Traffic und Zugangsdaten über einen unbekannten Vermittler erfordert, birgt ein enormes Risiko für Benutzerdaten und -systeme.“
Jeder Prompt, den Sie über einen Vermittler senden, ist für diesen Vermittler lesbar. Jeder Schlüssel, den Sie ihm übergeben, gehört ihm. Die Opfer von GTG-50021 dachten, sie würden Geld sparen. Sie spendeten ihre Prompts einem Fremden und ihre Zugangsdaten einem Wiederverkaufsmarkt.
Es gibt eine legitime Version dieses Marktes. Router wie OpenRouter veröffentlichen, wer die Modelle betreibt, was protokolliert wird und wie die Abrechnung funktioniert; unser OpenRouter-Alternativen-Roundup behandelt diejenigen mit einem echten Unternehmen dahinter. Wenn Sie die juristische Person, die Ihren Traffic hält, nicht benennen können, senden Sie ihn nicht.
Lektion 3: Verifizieren Sie, welches Modell Ihnen antwortet
Benutzer auf zwei chinesischen Plattformen sprachen mit Claude, ohne es zu wissen, während die Kunden von GTG-50021 dachten, sie hätten Claude, aber dies nicht der Fall war. Keine der Gruppen hatte eine Möglichkeit, dies zu überprüfen. Sie haben eine.
Behandeln Sie die Modellidentität wie jeden anderen API-Vertrag und testen Sie sie:
- Bestätigen Sie das
model-Feld der Antwort. Speichern Sie eine Anfrage an den offiziellen Endpunkt des Anbieters und dieselbe Anfrage an einen beliebigen Vermittler. In Apidog fügen Sie eine Bestätigung für$.modelhinzu und führen beide in einem Testszenario aus. Ein Proxy kann dieses Feld fälschen, daher ist es eine Untergrenze, kein Beweis. - Vergleichen Sie die Token-Abrechnung. Senden Sie einen identischen Prompt an beide und vergleichen Sie
usage.input_tokens. Tokenizer unterscheiden sich zwischen Modellfamilien, daher bedeutet eine Diskrepanz, dass ein anderes Modell zählt. - Prüfen Sie anbieterspezifische Strukturen. Claude gibt signierte Denkblöcke und einen
request-id-Header zurück. Ein Backend, das nicht Claude ist, kann keine Signatur produzieren, die bei einer Folgeanfrage validiert wird. - Basislinie Latenz und Ablehnungsstil. Führen Sie das Szenario nach einem Zeitplan aus und alarmieren Sie bei Abweichungen.
Es ist dieselbe Vertragsprüfung, die Sie bereits für Statuscodes durchführen, nur eine Ebene höher.
Lektion 4: Ein Prompt ist eine Protokollzeile, die Ihr Gebäude verlässt
Als DeepSeek Benutzeranfragen an Claude weiterleitete, enthielt der weitergeleitete Traffic laut dem Bericht „Live-Zugangsdaten für eine russische Regierungsdatenbank und ein Fallverwaltungssystem der VR China“. Jemand hat Produktionsgeheimnisse in ein Chatfenster eingefügt, und sie durchquerten die Infrastruktur von mindestens zwei Unternehmen.
Ihre Entwickler tun dies auch. Stack-Traces mit Verbindungszeichenfolgen. Curl-Befehle mit intaktem Bearer-Token. Konfigurationsdateien, die in den Kontext eines Agenten fallen gelassen werden, um „ihm zu helfen, es zu verstehen“.
Die Lösung ist mechanisch. Bewahren Sie Geheimnisse in Umgebungs- oder Tresor-gestützten Variablen auf, damit sie niemals im Prompt-Text oder in der gespeicherten Anforderung erscheinen. Apidog's Umgebungs- und Geheimnisvariablen maskieren Werte im Ruhezustand und in geteilten Exporten, und die HashiCorp Vault-Integration ruft Geheimnisse zur Anforderungszeit ab, anstatt sie zu speichern. Welches Tool Sie auch immer verwenden, der Standard ist derselbe: Ein Prompt sollte sicher zur Veröffentlichung sein.
Lektion 5: Begründungs-Output ist ein Asset und eine Angriffsfläche
Moonshots Kampagne nutzte das, was Anthropic einen Cross-Session-Replay-Angriff auf Claudes Denk-Signaturen nennt, um Begründungsspuren zu extrahieren. Alibabas Kampagne nutzte einen festen Extraktions-Prompt in großem Umfang. Anthropic's Gegenmaßnahmen umfassen laut Bericht Extraktionsklassifikatoren, zusammengefasste statt rohe Begründungen, erhaltenes Denken, das Manipulationen widersteht, und Identitätsprüfung mit Sperren.
Wenn Sie auf Frontier-APIs aufbauen, erwarten Sie, dass sich die Oberfläche ständig ändert. Rohe "Chain-of-Thought"-Outputs werden kürzer und stärker zusammengefasst. Signaturprüfungen werden strenger, weshalb einige Teams auf den Fehler "block is bound to a different conversation" gestoßen sind, den wir in unserem Leitfaden zum erhaltenen Denken behandelt haben. Entwerfen Sie Ihre Integration so, dass sie von endgültigen Antworten und strukturierten Ausgaben abhängt, nicht von der genauen Form der Begründungsblöcke.
Lektion 6: Ein Agenten-Team braucht eine menschliche Überprüfungssperre
Die Raketenzelle ist der dunkelste Fall des Berichts, aber wenn man das Ziel weglässt, beschreibt sie einen Workflow, den Tausende legitimer Teams jetzt ausführen: mehrere Claude Code-Sitzungen, die als Ingenieurteam fungieren, Code liefern, den niemand überprüft, bis ein Test fehlschlägt und die Agenten aufgefordert werden, ihre eigene Arbeit zu debuggen.
Für ein Waffenprogramm ist der fehlende Gutachter der springende Punkt. Für Ihr Team ist es das Risiko. Sobald mehrere Agenten Code schreiben und Zugangsdaten halten, werden die Fragen operativ: welcher Agent arbeitet an was, in welchem Repo, was ist fertig, was ist fehlgeschlagen und was wartet darauf, dass ein Mensch es überprüft, bevor es ausgeliefert wird.
Das ist ein Managementproblem, kein Modellproblem, und dafür ist Sharkly gebaut. Es sitzt über den Agenten, die Sie bereits verwenden, Claude Code, Codex, Gemini CLI und andere, weist ihnen Aufgaben wie Teamkollegen zu, führt jede Aufgabe in einem isolierten Git-Worktree auf Ihren eigenen Maschinen aus und macht Fortschritt, Blocker und menschliche Überprüfung von der Anfrage bis zur Veröffentlichung sichtbar. Nichts wird zusammengeführt, nur weil ein Agent sagte, es sei fertig. Wenn Ihre Agenten ein Team sind, geben Sie ihnen einen Manager.
Lektion 7: Erstellen Sie eine Basislinie für die normale Nutzung
Anthropic hat nicht 3.500 betrügerische Konten entdeckt, indem es Prompts gelesen hat. Es hat sie durch „Verhaltenssignaturen“, metadatenbasierte Zuordnung von Proxy-Netzwerken und Konto-Clustering identifiziert.
Sie können dieselbe Idee auf Ihre eigenen Schlüssel anwenden. Jeder Schlüssel sollte einen erwarteten Aufrufer, ein Volumen und eine Tageszeit haben. Ein Schlüssel, der normalerweise eine nächtliche CI-Aufgabe ausführt und plötzlich um 3 Uhr morgens 40.000 Anrufe aus einer neuen Region tätigt, ist entweder kompromittiert oder wird destilliert. Legen Sie Ratenbegrenzungen pro Schlüssel fest, alarmieren Sie bei Abweichungen und rotieren Sie bei Verdacht statt bei Beweis. Audit-Logs in Ihren API-Tools schließen den Kreis, indem sie zeigen, wer wann was exportiert hat.
Das Muster hinter allen sieben
Jeder Fall im Bericht hat einen gewöhnlichen Mechanismus zugrunde: ein geleakter Schlüssel, ein nicht vertrauenswürdiger Vermittler, Geheimnisse im Klartext, unüberprüfte Ausgabe, unüberwachte Nutzung. Die KI-Schicht hat diese Lücken nicht erfunden. Sie hat den Preis dafür erhöht, sie offen zu lassen, weil Angreifer jetzt die Suche automatisieren und Käufer jetzt für den gestohlenen Zugang bezahlen.
Vier Kontrollen beantworten das meiste davon. Halten Sie Schlüssel aus Quellcode und Prompts fern. Kaufen Sie von Anbietern, die Sie benennen können. Testen Sie den Vertrag, einschließlich der Frage, welches Modell antwortet. Stellen Sie einen Menschen zwischen Agenten-Output und Produktion. Wir haben dasselbe Argument nach dem Vercel-Einbruch vorgebracht, und dieser Bericht beweist es in einem Ausmaß, das niemand wegwischen kann.
Laden Sie Apidog herunter und fangen Sie klein an: Verschieben Sie jeden fest codierten Schlüssel in Ihren Sammlungen in eine maskierte Umgebungsvariable und fügen Sie dann jedem Request, der über einen Drittanbieter läuft, eine Assertion für $.model hinzu. Zwei Stunden Arbeit, und zwei der Angriffswege des Berichts betreffen Sie nicht mehr.
FAQ
Was ist Modelldestillation, und warum bezeichnet Anthropic sie als unerlaubt? Destillation trainiert ein kleineres oder günstigeres Modell mit den Ausgaben eines größeren Modells. Bei Ihren eigenen Modellen ist das Standardpraxis. Anthropic's Beschwerde ist, dass rivalisierende Labore Tausende von betrügerischen Konten nutzten, um Claudes Denkprozesse entgegen seinen Nutzungsbedingungen zu extrahieren, in zwei Fällen, indem sie den Traffic ihrer eigenen Kunden ohne Offenlegung über Claude leiteten.
Wurde Anthropic gehackt? Laut dem Bericht nicht. Es heißt, dass in jedem Cyberfall die API-Schlüssel aus den Umgebungen der Kunden gestohlen wurden und „Anthropic's eigene Systeme nicht kompromittiert wurden.“
Woher weiß ich, ob eine Drittanbieter-KI-API meine Anfragen an das Modell sendet, das sie behauptet? Testen Sie es. Vergleichen Sie das model-Feld, die Token-Nutzung bei identischen Prompts, anbieterspezifische Header und signierte Blöcke sowie die Latenz mit dem offiziellen Endpunkt des Anbieters. Ein geplantes Testszenario hält es über die Zeit hinweg ehrlich.
Ist es nach diesem Vorfall sicher, Kimi-, DeepSeek- oder Qwen-APIs zu verwenden? Der Bericht enthält Behauptungen über die Trainingspraktiken der Labore und, für zwei von ihnen, über die nicht offengelegte Weiterleitung von Anfragen. Dies ändert nichts daran, wie Sie jede Drittanbieter-API behandeln sollten: Halten Sie Geheimnisse von Prompts fern, wissen Sie, wer Ihren Traffic hält, und verifizieren Sie den Vertrag. Dieser Standard gilt für jeden Anbieter, einschließlich der US-amerikanischen.
Kann Apidog verhindern, dass meine Schlüssel gestohlen werden? Kein Tool kann das versprechen. Apidog reduziert die Orte, an denen ein Schlüssel durchsickern kann: maskierte Umgebungs- und Tresor-gestützte Variablen, Secret Scanner im Enterprise-Plan und Audit-Logs. Der Rest ist Prozess.
Wo passt Sharkly hin, wenn ich bereits Claude Code verwende? Daneben. Claude Code führt aus. Sharkly verwaltet die Arbeit drumherum: Aufgaben, isolierte Worktrees, Fortschritt und den menschlichen Überprüfungsschritt, bevor etwas ausgeliefert wird. Es ist anbieterneutral, so dass der Workflow erhalten bleibt, wenn sich der beste Agent ändert.