Ein interner Quellcode-Leak bei Anthropic wirft Fragen zur Prozesssicherheit des KI-Sicherheitsunternehmens auf – und gibt deutschen Unternehmen Anlass, ihre Vendor-Risk-Prozesse zu überdenken.
Anthropic veröffentlicht versehentlich Quellcode seines KI-Entwicklertools
Anthropic hat den Quellcode eines internen KI-gestützten Software-Engineering-Tools unbeabsichtigt öffentlich zugänglich gemacht. Der Vorfall betrifft ein Entwicklerwerkzeug, das auf dem hauseigenen Large Language Model Claude basiert. Das Unternehmen bestätigte den Leak gegenüber The Guardian.
Was geleakt wurde
Bei dem betroffenen Tool handelt es sich um ein KI-gestütztes Software-Engineering-Werkzeug, das Entwickler bei der Code-Erstellung und -Analyse unterstützt. Der Quellcode war vorübergehend öffentlich einsehbar, bevor Anthropic den Fehler bemerkte und den Zugang schloss.
Über den genauen Zeitraum der Exposition sowie darüber, ob und in welchem Umfang Dritte den Code tatsächlich eingesehen oder kopiert haben, machte das Unternehmen zunächst keine detaillierten Angaben.
Interner Fehler bei einem KI-Sicherheitsunternehmen
Der Vorfall ist insofern bemerkenswert, als Anthropic sich explizit als auf Sicherheit ausgerichtetes KI-Unternehmen positioniert. Das 2021 von ehemaligen OpenAI-Mitarbeitern gegründete Unternehmen legt in seiner öffentlichen Kommunikation besonderen Wert auf verantwortungsvollen Umgang mit KI-Systemen.
Ein unbeabsichtigter Quellcode-Leak – auch wenn er internes Werkzeug-Code und nicht das Kernmodell betrifft – wirft Fragen zur internen Prozesssicherheit auf.
Sourcecode-Leaks dieser Art sind in der Softwarebranche keine Seltenheit: Fehlkonfigurierte Repositories auf Plattformen wie GitHub gehören zu den häufigsten Ursachen ungewollter Offenlegungen. Für ein Unternehmen, das proprietäre KI-Architekturen entwickelt und mit sensiblen Unternehmenskunden arbeitet, ist die öffentliche Wahrnehmung solcher Vorfälle jedoch besonders heikel.
Mögliche Konsequenzen
Quellcode-Leaks können Wettbewerbern Einblicke in proprietäre Entwicklungsansätze verschaffen – selbst wenn es sich nicht um die Kernarchitektur eines Modells handelt. Zudem können offengelegte Codebasen auf Sicherheitslücken oder architektonische Schwachstellen untersucht werden, was das Risikoprofil eines Produkts verändert.
Anthropic hat bislang nicht kommuniziert, ob eine forensische Analyse des Vorfalls eingeleitet wurde oder welche Maßnahmen zur Verhinderung ähnlicher Vorfälle getroffen werden.
Der Zeitpunkt des Leaks – Anfang April 2026, in einer Phase intensiven Wettbewerbs zwischen den führenden KI-Unternehmen – dürfte intern für Unbehagen sorgen. Anthropic konkurriert derzeit mit OpenAI, Google DeepMind und einer wachsenden Zahl spezialisierter Anbieter um Unternehmenskunden, für die Verlässlichkeit und Datensicherheit zentrale Auswahlkriterien sind.
Einordnung für deutsche Unternehmen
Für deutsche Unternehmen, die Claude-basierte Dienste oder Anthropic-Produkte im Einsatz haben oder evaluieren, ist dieser Vorfall ein Anlass zur Überprüfung der eigenen Vendor-Risk-Management-Prozesse.
Die Frage, wie ein KI-Anbieter mit internen Sicherheitsvorfällen umgeht – in Bezug auf Transparenz, Reaktionsgeschwindigkeit und Ursachenanalyse –, sollte Teil jeder Due-Diligence-Prüfung sein.
Angesichts der Anforderungen aus NIS2 und dem EU AI Act gewinnt die Beurteilung der Sicherheitsreife von KI-Lieferanten für europäische Unternehmen zunehmend regulatorische Relevanz.
Quelle: The Guardian AI
