Südkorea prüft Anthropic-Datenleck im Zusammenhang mit Pentagon-nahem Startup Cathedral

Südkoreas Datenschutzbehörde prüft einen Datenpannen-Vorfall bei Anthropic, bei dem etwa 100 koreanische Geschäftskonten offengelegt wurden.

Die Personal Information Protection Commission (PIPC) erklärte am Montag, dass sie den Bericht von Anthropic über die Panne erhalten habe, den das Unternehmen am 31. Oktober eingereicht hatte. 

Was hat Anthropic der PIPC gemeldet?

Südkoreas Datenschutzbehörde, die Personal Information Protection Commission (PIPC), bestätigte heute, dass Anthropic einen Bericht bei ihr eingereicht hat. Der Bericht wurde am 31. Oktober eingereicht und besagt, dass etwa 100 Geschäftskonten offengelegt wurden. Diese Konten gehören alle zu koreanischen Unternehmen. 

Die Prüfung ist noch frühzeitig, und die PIPC hat noch keine formelle Untersuchung eingeleitet. Sie wies jedoch darauf hin, dass die Prüfung ausländischer Unternehmen länger dauern kann, da Aufsichtsbehörden vor Beginn einer Untersuchung Dokumente anfordern können. Zudem wurde angegeben, dass die Behörde nach Beginn einer formellen Untersuchung prüfen wird, wie groß der entstandene Schaden ist.

Anthropic teilte einigen Kunden mit, dass zu den offengelegten Daten Kontonummern und Organisations-ID-Nummern sowie geschäftliche Kontaktdaten wie Namen und E-Mail-Adressen gehörten. 

Eine technische Forscherin des Unternehmens namens Lydia Harley gab auf X bekannt, dass der Angreifer auch Geschäfts-Abo-Pläne einsehen konnte, Benutzeranfragen, KI-Ausgaben und Zahlungsdaten jedoch nicht erreicht wurden. 

Auch die Modellgewichte, der Quellcode und die Claude-Gespräche von Anthropic waren nicht betroffen. Das Unternehmen erklärte, die betroffenen Systeme am selben Tag heruntergefahren zu haben, als das Problem bestätigt wurde, und mit dem Drittanbieter-Softwarehersteller zusammengearbeitet, um die ausgenutzte Schwachstelle zu beheben. 

Anthropic räumt zudem ein, dass noch weitere Arbeiten im Hinblick auf die Überwachung von Drittanbieter-Software erforderlich sind.

Wer ist Cathedral, und wie ist es zum Sicherheitsvorfall gekommen?

Cathedral ist ein junges Cybersicherheits-Startup, das von vier ehemaligen Mitarbeitern der aufgelösten Abteilung für Regierungseffizienz (DOGE) gegründet wurde: Gavin Kliger, Luke Farritor, Marko Elez und Jack Stein. Das Unternehmen wird nach einer Finanzierungsrunde über 160 Millionen US-Dollar von Andreessen Horowitz und Sequoia Capital auf 1,4 Milliarden US-Dollar bewertet. Marc Andreessen und Shaun Maguire sitzen beide im Aufsichtsrat. 

Berichten zufolge zielt das Unternehmen darauf ab, die cybertechnische Macht der US-Streitkräfte gegen Rivalen wie China auszubauen, und verfügt über Verträge mit drei Bundesbehörden.

Kliger, der CEO, hat die engste Verbindung zu Anthropic. Er war Chief Data Officer beim Pentagon und beteiligte sich nach mehreren Berichten an der Auseinandersetzung der Behörde mit Anthropic darüber, wie das Militär dessen KI-Modelle nutzen könnte. 

Cathedral erklärt den Vorfall damit, dass seine KI-Agenten innerhalb von weniger als 12 Stunden Zugriff auf Protokolle von Besprechungen, Gehalts- und Einstellungsdaten sowie interne Slack-Nachrichten fanden. 

Logan Graham, Cybersicherheitsleiter bei Anthropic, widerlegte diese Aussage jedoch und postete auf X, dass der Vorgang tatsächlich mehrere Tage gedauert habe. Er schrieb, Cathedrals Methode sei „ungewöhnlich und außerhalb des vereinbarten Umfangs“, da sie Schwachstellen mehrerer Drittanbieter-Software kombinierte. 

Cathedrals Test von Anthropics Verteidigungsmaßnahmen sollte mit dem Bug-Bounty-Programm des Unternehmens übereinstimmen, doch Anthropic sagt, Cathedral habe gegen die Regeln des Programms verstoßen, indem sie nicht vollständig erklärte, wie weit der Test ging, und ihre Ergebnisse so darstellte, als hätten sie eine größere Bedeutung für die nationale Sicherheit, als sie tatsächlich hatten. 

Hinzu kommt, dass die eigenen Überwachungssysteme von Anthropic einen Teil der Aktivitäten reportedly erfasst haben, bevor Cathedral seinen Bericht einreichte.

Bisher hat Anthropic keine rechtliche Beschwerde eingereicht, und Cathedral hat mit OpenAI eine Vereinbarung getroffen, um dessen eigene Abwehrmaßnahmen zu testen.