Claude hat an einem Raketenprogramm teilgenommen: die eigentliche Gefahr liegt woanders
Im Jemen nutzte eine Zelle Claude Code wie ein kleines Team von Softwareingenieuren, um an Leitsystemen zu arbeiten, eine Rakete zu testen und deren Fehlschlag zu analysieren. Der Fall ist spektakulär, doch vor allem offenbart er ein tieferes Phänomen: KI beginnt, seltene militärische Expertise deutlich weniger selten zu machen.
Die Rakete war gestartet worden.
Der Test scheint fehlgeschlagen zu sein.
Einige Stunden später kehrten ihre Entwickler zurück und baten Claude um Hilfe, um zu verstehen, warum.
Diese Szene stammt nicht aus einem Science-Fiction-Drehbuch.
Sie taucht in einem Bericht auf, den Anthropic am 10. September 2026 veröffentlicht hat.
Nach der internen Untersuchung des Unternehmens nutzte eine im Norden des Jemen ansässige Zelle Claude Code in mehreren Rüstungsprogrammen. Das Modell griff dabei insbesondere in Software für Führung, Navigation, Steuerung, Simulation und Analyse ein.
Die Nutzer beschränkten sich nicht mehr darauf, mit einer einzigen Instanz zu sprechen.
Sie ließen mehrere Claude parallel arbeiten.
Einer schrieb Code.
Ein anderer recherchierte.
Ein dritter las die Arbeit des ersten Korrektur.
Anthropic fasst die Situation mit einer Formulierung zusammen, die weit wichtiger ist, als sie auf den ersten Blick wirkt:
Claude Code wurde anstelle menschlicher Softwareingenieure für einen Teil der Arbeit eingesetzt.
Hier liegt der eigentliche Kern.
Nicht in der vereinfachten Vorstellung, dass „eine KI weiß, wie man eine Rakete baut“.
Sondern in einer weit tiefergehenden Frage:
Was passiert, wenn bestimmte Fähigkeiten, die nur wenigen Spezialisten vorbehalten waren, als Software verfügbar werden?
Fangen wir mit dem an, was wir tatsächlich wissen
Das Dokument von Anthropic deckt Operationen ab, die zwischen Dezember 2025 und August 2026 entdeckt wurden.
Das Unternehmen gibt an, Missbrauch von Claude in sieben Hauptkategorien identifiziert und unterbunden zu haben: Cyberoperationen, Einflussnahme, Überwachung, Betrug, Biologie, Entwicklung konventioneller Waffen und illegale Modell-Destillation.
Der Teil zu konventionellen Waffen beschreibt sechs Fälle.
Drei werden Akteuren in China zugeschrieben.
Zwei Akteuren in Russland.
Einem im Jemen.
Einige nutzten Claude direkt, um Software für Waffensysteme zu entwickeln.
Andere setzten es für Recherche, Aufklärung oder Beschaffung ein.
Der jemenitische Fall ist der spektakulärste, weil er über die Simulation hinausgeht.
Anthropic gibt an, genügend Elemente beobachtet zu haben, um zu dem Schluss zu kommen, dass eine gelenkte Rakete tatsächlich getestet wurde.
Sie scheint gescheitert zu sein.
Das Unternehmen betont vor allem etwas, das viele Schlagzeilen vergessen werden:
Es verfügt nicht über den Beweis, dass die Zelle ein operatives System erfolgreich eingesetzt hat.
Das ist entscheidend.
Claude hat keine wundersam funktionierende Waffe produziert.
Es hat an einem realen Ingenieurprozess teilgenommen, der offenbar noch auf ernsthafte Schwierigkeiten stieß.
Und genau deshalb ist dieser Fall interessant.
Ingenieurwesen ist fast nie ein magischer Moment
Man stellt sich die gefährliche Nutzung einer KI oft in spektakulärer Form vor.
Jemand schreibt:
Entwirf mir eine Waffe.
Die KI antwortet.
Die Waffe existiert.
Die Realität des Ingenieurwesens ist weit langweiliger.
Und weit beunruhigender.
Man muss Code schreiben.
Eine Build-Pipeline zum Laufen bringen.
Eine Simulation aufbauen.
Ergebnisse vergleichen.
Einen Bug suchen.
Parameter anpassen.
Erneut starten.
Testen.
Ein Fehlschlag beobachten.
Zu den Daten zurückkehren.
Korrigieren.
Wieder von vorn beginnen.
Ein großer Teil des wirtschaftlichen Werts einer KI kommt nicht davon, dass sie sofort die perfekte Antwort findet.
Er kommt davon, dass sie den Kosten jeder dieser kleinen Iterationen reduziert.
Das von Anthropic beschriebene jemenitische Programm veranschaulicht genau das.
Claude hat nicht das gesamte militärische System ersetzt.
Es hat bestimmte Abschnitte der Schleife verkürzt.
Und eine schnellere Schleife macht am Ende einen enormen Unterschied.
Das wichtigste Detail ist fast unsichtbar: mehrere Claude arbeiteten zusammen
Die Zelle soll verschiedene Instanzen mit getrennten Funktionen genutzt haben.
Code.
Recherche.
Korrekturlesen.
Diese Organisation ist interessant, weil sie die KI von einem individuellen Werkzeug in eine Arbeitsstruktur verwandelt.
Ein erfahrener Ingenieur kann normalerweise eine Aufgabe an mehrere Kollegen delegieren.
Das Problem ist, dass man diese Kollegen haben muss.
Sie rekrutieren.
Bezahlen.
Koordinieren.
Menschen mit den nötigen Fähigkeiten finden.
Sie lange genug halten.
Eine Organisation, die über einen einzigen technischen Leiter und mehrere Agenten verfügt, kann theoretisch einen Teil dieser Arbeitsteilung zu völlig anderen Kosten nachbilden.
Das macht aus fünf Claude-Agenten nicht fünf vollständige menschliche Ingenieure.
Sie können dieselben Fehler machen.
Sie können dieselben blinden Flecken teilen.
Ihre gegenseitige Korrektur kann einen Konsens vortäuschen.
Und bestimmte Aufgaben bleiben ohne praktische Expertise außer Reichweite.
Aber ökonomisch ist die Veränderation bereits immens.
Weil ein Mangel an Spezialisten nicht mehr zwangsläufig eine Mauer ist.
Er kann lediglich eine Verlangsamung werden.
Das nenne ich die Kompression von Expertise
Lange Zeit waren bestimmte Fähigkeiten schwer zugänglich nicht weil die Information geheim war, sondern weil man Jahre der Ausbildung brauchte, um sie richtig anzuwenden.
Die Gleichungen können öffentlich sein.
Software-Bibliotheken können öffentlich sein.
Die Dokumentation kann öffentlich sein.
Open-Source-Code kann verfügbar sein.
Dennoch sind sehr wenige Menschen in der Lage, all das zu einem funktionsfähigen System zusammenzufügen.
Das Wissen existiert.
Die Expertise fehlt.
Grenzwertmodelle beginnen genau, diese Distanz zu verringern.
Anthropic hat parallel zu seinem Bericht mehrere Evaluierungen zu taktischer Aufklärung und konventionellen Waffensystemen entwickelt.
Seine Schlussfolgerung ist wichtig:
Bei bestimmten Aufgaben sind die aktuellen Modelle in der Lage, Arbeiten zu leisten, die historisch seltene und stark ausgebildete menschliche Experten erforderten.
Das bedeutet nicht, dass sie die gesamte Militärtechnik beherrschen.
Die Evaluierungen umfassen Simulationen.
Die Ergebnisse verschlechtern sich in den schwierigsten Umgebungen.
Und vor allem: Eine Simulation ist kein Schlachtfeld.
Aber die Richtung ist klar.
Eine seltene Kompetenz kann allmählich zu einem berechenbaren Service werden.
Und wenn das geschieht, steigt die Zahl der Menschen, die bestimmte Operationen versuchen können.
Die materiellen Constraints sind offensichtlich nicht verschwunden
Eine KI baut keinen Motor aus Tokens.
Sie produziert keine Komponenten.
Sie baut keine Fabrik.
Sie ersetzt keinen Prüfstand.
Sie verwandelt eine funktionierende Simulation nicht automatisch in ein robustes System in der realen Welt.
Anthropic erkennt das selbst an.
Für viele Akteure bleiben der Zugang zu Material, Komponenten, Fertigung, Tests und Logistik ein massiver Flaschenhals.
Das ist eine fundamentale Unterscheidung.
KI kann einen Teil der Expertise demokratisieren, ohne die gesamte industrielle Kapazität, die nötig ist, um diese Expertise auszunutzen, sofort zu demokratisieren.
Aber ein einziger Flaschenhals zu reduzieren, kann genügen, um das Gleichgewicht zu verschieben.
Wenn eine Organisation bereits das Material besitzt, aber an Softwarespezialisten mangelt, liefert die KI genau die Ressource, die fehlt.
Wenn sie die Spezialisten hat, aber nicht genug, um all ihre Daten zu analysieren, dasselbe.
Wenn sie ein bestehendes Programm hat, aber wegen mangelnder Simulations- oder Debugging-Kapazität langsam vorankommt, dasselbe.
Die KI muss nicht alle Constraints lösen.
Sie muss lediglich einen davon beseitigen, der wichtig genug ist.
Die Schutzmechanismen haben funktioniert — teilweise
Der Bericht von Anthropic erzählt nicht die Geschichte eines völlig fehlenden Sicherheitssystems.
Viele Anfragen wären blockiert worden.
Die Nutzer haben daher verschiedene Taktiken angewandt, um die Schutzmechanismen zu umgehen.
Sie sollen insbesondere das Endziel bestimmter Aufgaben verschleiert und ihre Arbeit auf mehrere Gespräche verteilt haben, damit keine isolierte Sitzung das gesamte Programm preisgibt.
Dieses Verhalten offenbart ein sehr schwieriges Problem für Modellanbieter.
Ein riesiger Teil der Technologien, die für ein militärisches System nötig sind, besitzt auch vollkommen legitime zivile Anwendungen.
Ein Steueralgorithmus.
Eine Simulation.
Ein eingebettetes System.
Eine Vision-Software.
Eine Trajektorienoptimierung.
Ein Signalverarbeitungswerkzeug.
Ein Modell kann nicht einfach alles ablehnen, was diese Themen betrifft.
Das wäre gleichbedeutend damit, einen beträchtlichen Teil der modernen Ingenieurkunst abzulehnen.
Die Herausforderung besteht darin, die globale Absicht hinter einer Reihe von Anfragen zu erkennen, die einzeln betrachtet banal sein können.
Und ein intelligenter Gegner weiß genau, dass diese Absicht das ist, was er verbergen muss.
Das Modell sieht eine Aufgabe. Der Gegner sieht ein Programm.
Das ist wahrscheinlich eines der wichtigsten Probleme, die der Bericht aufdeckt.
Ein traditionelles Sicherheitssystem kann eine Anfrage prüfen:
„Ist das gefährlich?“
Aber eine komplexe Operation kann aus hundert vollkommen vernünftigen Anfragen bestehen.
Anfrage A betrifft einen Code-Schnipsel.
B einen Kompilierfehler.
C einen Sensor.
D eine Simulation.
E die Analyse von Telemetriedaten.
Keine sagt:
„Hier ist mein vollständiges Militärprogramm“.
Der Nutzer besitzt den globalen Kontext.
Das Modell hingegen sieht vielleicht nur ein Fragment.
Die Sicherheit fortgeschrittener Agenten muss daher zunehmend nicht nur darüber nachdenken, was jetzt angefragt wird, sondern über die gesamte Trajektorie eines Projekts.
Das ist weit schwieriger.
Es erfordert, Sitzungen zu verknüpfen.
Abhängigkeiten zu verstehen.
Versteckte Ziele zu erkennen.
Und das, ohne jeden legitimen Ingenieur, Forscher oder Studenten zum Verdächtigen zu machen.
Claude ist übrigens nicht das einzige Problem
Eine weitere Schlussfolgerung von Anthropic verdient Hervorhebung.
Die von dem Unternehmen getesteten offenen oder halboffenen Modelle hinken den besten proprietären Systemen bei bestimmten militärischen Evaluierungen insgesamt noch hinterher.
Aber mehrere zeigen bereits besorgniserregende Fähigkeiten.
Mit anderen Worten: Selbst wenn Anthropic morgen einen perfekten Filter um Claude bauen würde, würde das Problem nicht verschwinden.
Ein Akteur kann den Anbieter wechseln.
Mehrere Modelle nutzen.
Über Wiederverkäufer gehen.
Ein offenes Modell lokal betreiben.
Die Werkzeuge je nach Aufgabe mischen.
Der September-Bericht beschreibt d’ailleurs mehrere Operationen, in denen Akteure bereits mehrere KI-Anbieter für unterschiedliche Rollen kombinierten.
Das schränkt die Vorstellung stark ein, das Problem ließe sich allein durch bessere Moderation eines amerikanischen Chatbots lösen.
Geschlossene Modelle bieten jedoch etwas, das lokale Modelle ihrem Schöpfer meist nicht bieten:
Sichtbarkeit.
Labore werden zu unfreiwilligen Nachrichtendiensten
Das ist eine äußerst seltsame Folge dieser neuen Ära.
Historisch erforderte die Entdeckung, dass eine Gruppe ein Waffensystem entwickelt, menschliche Aufklärung, Abhörmaßnahmen, Satellitenbilder, sichergestelltes Material, Ermittlungen oder offene Quellen.
Anthropic befindet sich heute in einer anderen Position.
Wenn ein Akteur Claude direkt nutzt, um zu arbeiten, kann das Unternehmen manchmal Spuren dieser Aktivität auf seiner eigenen Plattform beobachten.
Es kann Muster erkennen.
Konten verknüpfen.
Die Art der behandelten Probleme sehen.
Umgehungsversuche identifizieren.
Den Zugang sperren.
Und bestimmte Informationen an Behörden oder andere Unternehmen weitergeben.
Ein Modellanbieter wird so fast zufällig zu einem Beobachtungsposten für Operationen, die für ihn früher unsichtbar gewesen wären.
Das ist mächtig.
Aber es schafft auch eine neue Abhängigkeit.
Weil ein großer Teil der Fakten, die wir heute über diese Operationen kennen, gerade von dem Unternehmen stammt, das das Modell bereitgestellt hat.
Man muss den Bericht also für das lesen, was er ist
Anthropic hat Zugang zu internen Daten, die Journalisten und unabhängige Forscher nicht haben.
Das ist seine Stärke.
Aber der Bericht bleibt ein Bericht von Anthropic über Anthropic.
Wir verfügen öffentlich nicht über alle Rohdaten, die nötig wären, um jede Zuschreibung nachzuvollziehen.
Die internen Namen für die Gruppen sind die von Anthropic.
Einige Bewertungen zu Absicht und Herkunft beruhen auf seiner Analyse.
Es wäre also übertrieben, jede Schlussfolgerung so zu behandeln, als sei sie vor einem Gericht unabhängig festgestellt worden.
Reuters und andere Medien haben die Existenz des Berichts bestätigt und seinen Inhalt befragt, aber sie verfügen offensichtlich nicht über die vollständige Telemetrie des Unternehmens.
Die richtige Position ist weder, Anthropic blind zu glauben, noch das Dokument abzulehnen.
Sondern zu unterscheiden:
was Anthropic direkt beobachtet haben will;
was sie daraus ableitet;
und was diese Beobachtungen bereits ausreichen zu demonstrieren, ohne alle Ableitungen zu akzeptieren.
Doch selbst mit dieser Vorsicht bleibt eines schwer zu ignorieren.
Reale Akteure halten die Modelle bereits für ausreichend nützlich, um sie in reale Operationen zu integrieren.
Eine KI muss nicht besser sein als der beste Experte der Welt
Das ist vielleicht der häufigste Fehler in Diskussionen über Risiko.
Man fragt:
„Ist Claude besser als ein extrem erfahrener Militäraingenieur?“
Das ist nicht unbedingt die richtige Frage.
Der wahre Vergleich könnte lauten:
Ist Claude besser als der Ingenieur, den dieser Akteur sonst hätte rekrutieren können?
Für eine Großmacht mit Tausenden von Spezialisten mag der Gewinn eine Beschleunigung sein.
Für eine kleine isolierte Organisation mit wenig Expertise kann dasselbe Modell eine weit größere Lücke füllen.
Das absolute Niveau der KI ist also weniger wichtig als der Abstand zwischen ihren Fähigkeiten und den ursprünglichen Ressourcen ihres Nutzers.
Ein mittelmäßiges Werkzeug kann einen enormen Vorteil erzeugen, wenn es etwas ersetzt, das nicht existierte.
Das ist der „Uplift“, den Sicherheitsteams nun zu messen versuchen.
Der fehlgeschlagene Test im Jemen ist fast lehrreicher als ein Erfolg
Auf den ersten Blick könnte der Raketenfehlschlag beruhigen.
Claude hat kein perfektes System produziert.
Sehr gut.
Aber das ist nicht unbedingt die richtige Lehre.
Ingenieurprogramme scheitern.
Prototypen scheitern.
Menschliche Raketen explodieren.
Menschliche Software enthält Bugs.
Ein Fehlschlag wird gefährlich, wenn er schnell analysiert und in eine neue Iteration umgewandelt werden kann.
Und genau das hat Anthropic beobachtet.
Einige Stunden nach dem Test kehrten die Nutzer zu Claude zurück, um zu verstehen, was passiert war.
Die Maschine hatte den Fehlschlag nicht beseitigt.
Sie hatte begonnen, die Kosten des Lernens nach dem Fehlschlag zu reduzieren.
In vielen technologischen Bereichen ist das fast genauso wichtig.
Wir haben lange bestimmte Fähigkeiten geschützt, indem wir die Information schützten
Klassifiziert.
Geheimsache.
Beschränkter Zugang.
Exportkontrollen.
Aber ein großer Teil moderner Expertise ruht auf etwas anderem.
Informationen sind bereits öffentlich.
Was sie schützt, ist ihre Komplexität.
Die Tatsache, dass man einen Spezialisten braucht, um sie zu verstehen.
Jahre, um zu lernen, sie zu kombinieren.
Erfahrung, um eine theoretische Idee von einer nutzbaren Lösung zu unterscheiden.
Das ist eine unsichtbare Barriere.
Und genau diese Barriere beginnen die Modelle zu erodieren.
Die Sicherheitsfrage ist also nicht mehr nur:
Welche Informationen kann eine KI preisgeben?
Sie wird:
Welche Kompetenzen kann sie jemandem verfügbar machen, der sie nicht besaß?
Diese Verschiebung ist beträchtlich.
Weil eine verbotene Information gefiltert werden kann.
Eine allgemeine Expertise ist viel schwieriger einzusperren.
Die eigentliche Gefahr ist wahrscheinlich nicht die Rakete
Die Rakete zieht die Aufmerksamkeit natürlich auf sich.
Sie ist konkret.
Spektakulär.
Leicht zu verstehen.
Aber sie riskiert, den tieferen Wandel zu verdecken.
Derselbe Mechanismus kann auf Cyberespionage angewendet werden.
Auf Überwachung.
Auf Datenanalyse.
Auf Propaganda.
Auf Betrug.
Auf biologische Forschung.
Auf Ingenieurwesen.
Auf alle Tätigkeiten, bei denen der begrenzende Faktor bisher die Zahl der hinreichend kompetenten Menschen war, die die Arbeit machen konnten.
Grenzwertmodelle beginnen, diese Seltenheit direkt anzugreifen.
Und wenn eine Technologie die Seltenheit von Expertise verringert, gibt sie nicht nur den mächtigsten Akteuren neue Werkzeuge.
Sie kann neue Akteure in Bereiche eintreten lassen, auf die sie zuvor keinen Zugang hatten.
Das ist vielleicht das, was der Bericht von Anthropic zum ersten Mal mit solcher Deutlichkeit dokumentiert.
Wir haben Jahre damit verbracht, uns zu fragen, was passieren würde, wenn eine künstliche Intelligenz fähig würde, eine völlig neue Waffe zu erfinden.
In der Zwischenzeit hat eine leisere Transformation bereits begonnen.
Sie muss das menschliche Wissen nicht erfinden.
Sie muss es nur viel weniger selten machen.