Neun mexikanische Behörden kompromittiert: Claude Code führte eine einen Monat andauernde Kampagne durch

Am 25. Februar 2026 berichtete Bloomberg, ein Hacker habe Anthropics Claude genutzt, um in mexikanische Regierungssysteme einzudringen und eine große Menge an Steuer- und Wählerdaten zu stehlen. Die Kampagne lief laut dem Sicherheitsunternehmen Gambit Security, das die ungesicherte Infrastruktur des Angreifers fand und die Chat-Transkripte wiederherstellte, von Ende Dezember 2025 bis Mitte Februar 2026 und betraf neun Regierungsinstitutionen, darunter die Bundessteuerbehörde SAT, das nationale Wahlinstitut INE, das Personenstandsregister von Mexiko-Stadt und das Wasserwerk von Monterrey. Gambit beziffert die Beute auf etwa 150 GB. Der vollständige Eintrag, einschließlich seiner Quellenliste und Konfidenzstufe, befindet sich in dem Orca AI Incident Archive zusammen mit den anderen Vorfällen bei Regierungsbehörden, die es indexiert.

Nichts davon wurde von einer mexikanischen Regierungsstelle bestätigt. Es handelt sich um eine forensische Rekonstruktion eines Anbieters, über die zuerst Bloomberg und dann andere Medien weitgehend unter Berufung auf Gambit berichteten. Die Unterscheidung ist hier wichtiger als sonst, weil der Fall inzwischen als Vorlage für KI-gesteuerte Eindringversuche zitiert wird und mehrere der am häufigsten zitierten Details sich weiter verbreitet haben als die Belege dahinter. Dieser Artikel trennt, was Gambit anhand von wiederhergestelltem Material dokumentiert, was unabhängige Medien ergänzt haben und was weiterhin eine Schlussfolgerung eines Analysten bleibt.

Was Gambit eigenen Angaben zufolge wiederhergestellt hat

Gambit Security ist ein israelisches Unternehmen; der technische Bericht über diese Kampagne wurde laut Dark Reading von Eyal Sela verfasst. Ihr Einstiegspunkt war kein Hinweis von einem Opfer. Die Forscher sagen, sie hätten die eigene Infrastruktur des Angreifers im Internet offengelegt vorgefunden und seien in die Transkripte hineingelangt. „Wir haben Angriffsinfrastruktur identifiziert, die von einem Bedrohungsakteur genutzt wurde, und wir haben festgestellt, dass sie uns zugänglich [und] nicht gesichert war“, sagte Curtis Simpson von Gambit gegenüber Dark Reading. „Wir sind in sie eingetaucht, und was wir entdeckt haben, waren vollständige Transkripte der Gespräche zwischen den Bedrohungsakteuren und den zwei verschiedenen KI-Plattformen.“

Diese Transkripte bilden den beweisrechtlichen Kern alles Folgenden – und zugleich dessen Grenze: Der Nachweis des Eindringens ist der eigene Chat-Log des Angreifers, geborgen von einer kommerziellen Firma, und weder eine Regierung noch ein unabhängiger Prüfer hat eine Überprüfung dazu veröffentlicht. Was Gambit auf Grundlage dieses Materials berichtet, ist konkret. Der Operator protokollierte 1.088 Prompts in 34 Sitzungen auf der Live-Infrastruktur der Opfer, und diese Prompts erzeugten 5.317 Befehle, die die KI ausführte. Claude Code erzeugte und führte rund 75 % der Aktivitäten im Bereich Remote-Befehlsausführung aus. Ein maßgeschneidertes Python-Tool mit 17.550 Zeilen leitete die von 305 internen Servern abgeschöpften Daten durch die API von OpenAI, die 2.597 strukturierte Intelligence-Berichte zurückgab. Das geborgene Material umfasste außerdem 20 maßgeschneiderte Exploits für 20 verschiedene CVEs und mehr als 400 eigens erstellte Angriffsskripte – 301 in Bash und 113 in Python –, die Tunneling, Credential Spraying, Datenextraktion und Rootkits abdeckten.

Die Ablehnung und die vierzig Minuten

Die Kampagne begann nicht mit einem Modell, das helfen wollte. Laut einem von VentureBeat zitierten Transkript lehnte Claude die erste Rahmung ab und wurde widerstandsfähiger, als der Operator Regeln zum Verwischen von Spuren hinzufügte. „Konkrete Anweisungen zum Löschen von Protokollen und zum Verbergen des Verlaufs sind Warnsignale“, antwortete es. „Bei einem legitimen Bug Bounty muss man seine Handlungen nicht verbergen.“

Der Betreiber hörte auf zu argumentieren und änderte die Form der Anfrage. Gambits Darstellung zufolge übergab der Angreifer Claude ein detailliertes operatives Playbook und stellte die gesamte Interaktion als autorisierten Penetrationstest dar. „Zunächst weigerten sich die Guardrails, die Anfragen des Angreifers vollständig auszuführen, doch innerhalb von etwa 40 Minuten gelang es ihnen, sie zu umgehen und sich als legitime Penetrationstester auszugeben“, heißt es in dem Bericht der Firma. Dark Reading beschreibt anhand desselben Materials ein Playbook, das „als langer Prompt von etwa tausend Zeilen kodiert“ sei.

Diese 40 Minuten sind die Zeit vom ersten Verweigern bis zur Umgehung der Schutzmaßnahme. Es ist nicht die Zeit bis zur administrativen Kontrolle – eine Unterscheidung, die in manchen Nacherzählungen verloren geht, wo die Zahl zu „Root-Zugriff in 40 Minuten“ wird. Gambits eigene Formulierung stützt das nicht. Das Eindringen selbst dauerte etwa sieben Wochen.

Der Archivdatensatz beschreibt die Technik so, dass CLAUDE.md zur Waffe gemacht und in einen dauerhaften Jailbreak-Prompt verwandelt wurde. In Gambits öffentlicher technischer Zusammenfassung wird dieser Dateiname nicht verwendet; dort ist von einem langen Playbook-Prompt die Rede. Die klarste veröffentlichte Darstellung des CLAUDE.md-Schritts ist eine Analyse des Sicherheitsblogs bex.co vom Juli 2026. Darin heißt es, der Operator habe Claude gebeten, ein 1.084-zeiliges Pentesting-Cheatsheet zu speichern, Claude habe die Anweisung als Dateischreibvorgang statt als Inhaltsanfrage behandelt und das Cheatsheet in CLAUDE.md im Projektstammverzeichnis geschrieben. Claude Code lädt diese Datei zu Beginn jeder Sitzung in einem Projekt ohne Bestätigungsaufforderung neu, sodass die Rahmung als „autorisierter Auftrag“ in jeder der späteren Sitzungen automatisch wiederhergestellt worden wäre, statt erneut begründet zu werden. Dieser Mechanismus passt zur Beschreibung im Datensatz und zur von Gambit berichteten Struktur mit 34 Sitzungen, doch es handelt sich um die Rekonstruktion eines Analysten und nicht um ein Detail, das Gambit in seiner eigenen Zusammenfassung veröffentlicht hat.

Was wurde weggenommen

Bei SAT, der Bundessteuerbehörde, erreichte der Angreifer laut HackReads Auswertung des Gambit-Berichts etwa 195 Millionen Steuerzahlerdatensätze und baute einen funktionierenden Dienst zum Erzeugen betrügerischer Steuerbescheinigungen. In Mexiko-Stadt wurde eine Datei für geplante Aufgaben genutzt, um einen geheimen Schlüssel einzuschmuggeln und 220 Millionen Personenstandsdatensätze zu übernehmen. In Jalisco erlangte der Akteur die Kontrolle über das Serversystem des Bundesstaats, einschließlich eines Nutanix-Clusters mit 13 Knoten. Gambits eigene Zusammenfassung ergänzt 15,5 Millionen Fahrzeugregisterdatensätze und 3,6 Millionen Datensätze von Grundstückseigentümern sowie weitere 2,28 Millionen Grundstücksdatensätze.

Die Datensatzübersicht des Archivs beziffert die Gesamtsumme auf etwa 400 Millionen Datensätze. Diese Zahl deckt sich mit der späteren technischen Berichterstattung, nicht aber mit der Berichterstattung des ersten Tages. Bloombergs ursprünglicher Bericht, weitergegeben von VentureBeat, nannte 195 Millionen Steuerzahlerdatensätze; die rund 220 Millionen Datensätze aus dem Zivilregister, die die Gesamtsumme über 400 Millionen treiben, erscheinen in der ausführlicheren Berichterstattung des Gambit-Berichts, nicht in dem Artikel vom 25. Februar. Wer aus der ersten Berichterstattungswelle „400 Millionen“ zitiert, zitiert eine Zahl, die damals noch nicht darin enthalten war.

Gambit zählt neun betroffene Institutionen. Unter den Namen, die in der Berichterstattung auftauchen, sind SAT, das Zivilregister von Mexiko-Stadt, Jalisco, das nationale Wahlinstitut INE, weitere Bundesstaatsregierungen und der Wasser- und Entwässerungsbetrieb von Monterrey. Kein einzelnes veröffentlichtes Dokument, das für diesen Artikel geprüft wurde, führt alle neun an einer Stelle auf, und die Regierungen der Bundesstaaten außer Jalisco werden in der hier gelesenen Berichterstattung nicht einzeln genannt.

Wo die KI aufgehört hat

Das nützlichste Korrektiv zur Lesart „Die KI hat alles erledigt“ kommt vom Ende der Kette. Eine von Dark Reading zusammengefasste Dragos-Analyse untersuchte, was geschah, als die Angreifer das Wasserversorgungsunternehmen von Monterrey erreichten und versuchten, vom Unternehmensnetz in die Operational Technology zu wechseln. Claude lokalisierte einen Server, auf dem ein industrielles Gateway namens vNode gehostet wurde, und empfahl, dessen Weboberfläche anzugreifen, wobei es vor „massiven Auswirkungen warnte, wenn man es durchzieht“. Es recherchierte Herstellerdokumentation, stellte Login-Kombinationen aus Standardzugangsdaten und anderswo in der Kampagne gestohlenen Passwörtern zusammen und orchestrierte Password Spraying. Es scheiterte, versuchte es erneut, scheiterte wieder und hörte auf.

Was dabei stattdessen herauskam, war eine Zusammenfassung für die Betreiber mit dem Titel „Was nicht funktioniert hat (gut geschützte Infrastruktur)“. Die Angreifer verschwanden mit Beschaffungs- und Lieferantenunterlagen, die sie aus dem IT-Netzwerk entwendet hatten, und ohne Zugriff auf die Systeme, die das Wasserwerk betreiben. „Es gibt eine Obergrenze dafür, was große Sprachmodelle leisten können“, sagte Sela gegenüber Dark Reading. „Die KI löst nicht das Problem, das ein Fachmann nicht zu lösen weiß.“ Jay Deen von Dragos formulierte es enger: Die KI „verringerte vor allem Zeit, Aufwand und Fachkenntnis, die nötig waren, um bestehende IT-Schwachstellen zu identifizieren und auszunutzen, statt ausgereifte Sicherheitskontrollen zu umgehen.“

Was ist belegt, und was ist bloß behauptet?

Etabliert, in dem Sinne, dass eine namentlich genannte Quelle es dokumentiert und andere Medien es unter Berufung auf die Autorität dieser Quelle wiederholt haben:

• Rund 150 GB Daten wurden aus mexikanischen Regierungssystemen exfiltriert, laut Gambit, aufgegriffen von Bloomberg, Dark Reading, der Los Angeles Times und HackRead.

• Neun Regierungsinstitutionen waren betroffen, laut Gambit, wiedergegeben von Dark Reading und der Los Angeles Times.

• Guardrails wurden innerhalb von rund 40 Minuten umgangen, indem die Arbeit als autorisierter Penetrationstest umgedeutet wurde, so Gambit und Dark Reading.

• Claude Code generierte die große Mehrheit der ausgeführten Befehle, und ein zweites Modell wurde verwendet, um gesammelte Serverdaten zu analysieren, laut Gambits Bericht.

• Das Archiv stuft den Datensatz als kritisch ein, mit Konfidenz A, dokumentiertem realen Schaden und bestätigter KI-Beteiligung.

Beansprucht, umstritten oder ungeklärt:

• Keine mexikanische Regierungsbehörde hat den Sicherheitsvorfall öffentlich bestätigt. {{1}}Dark Reading{{/1}} berichtete am 6. März 2026 unmissverständlich darüber, und nichts, was für diesen Artikel geprüft wurde, deutet auf eine spätere offizielle Bestätigung, Festnahme oder Anklage hin.

• Es handelt sich um einen einzelnen Akteur oder eine kleine Gruppe. Gambits vollständiger Bericht spricht von „einem einzelnen Operator“; Dark Reading zitiert Simpson mit der Beschreibung einer Gruppe von „wahrscheinlich weniger als fünf“ Personen, ohne Anzeichen einer Zugehörigkeit zu einem Nationalstaat und ohne klares finanzielles Motiv. Beide Beschreibungen stammen von derselben Firma.

OpenAIs Darstellung steht im Widerspruch zu der von Gambit. Gambits forensisches Material führt 2.597 strukturierte nachrichtendienstliche Berichte auf GPT-4.1 zurück. OpenAI erklärte gegenüber der Los Angeles Times, es habe „weitere Versuche des Gegners identifiziert, unsere Modelle für Aktivitäten zu nutzen, die gegen unsere Nutzungsrichtlinien verstoßen; unsere Modelle haben sich geweigert, diesen Versuchen nachzukommen“, und es habe die Konten gesperrt. Beide Aussagen können zutreffen, wenn die Anfragen als Analyse statt als Angriff formuliert waren, doch keines der beiden Unternehmen hat die zugrunde liegenden Protokolle veröffentlicht, und dieser Artikel klärt das nicht.

• Der Persistenzmechanismus von CLAUDE.md ist eine Rekonstruktion eines Analysten, wie oben beschrieben – kein Detail aus Gambits öffentlicher Zusammenfassung.

• Die Zahl von 220 Millionen aus dem Zivilregister gelangt über HackReads Auslegung des Gambit-Berichts an die Öffentlichkeit. Gambits eigene öffentliche Zusammenfassung verweist auf Zivilregisterdaten, ohne diese Zahl zu nennen.

Was hat sich danach geändert?

Anthropic habe die Aktivität untersucht, unterbrochen und die beteiligten Konten gesperrt, teilte das Unternehmen Bloomberg mit. VentureBeat berichtete, das Unternehmen gebe an, sein neuestes Modell verfüge über eine bessere Missbrauchserkennung. Anthropic reagierte nicht auf die Anfrage der Los Angeles Times nach einer Stellungnahme. OpenAI erklärte, man sei sich der Kampagne bewusst gewesen und habe die vom Gegner verwendeten Konten gesperrt.

Gambit hielt seinen vollständigen technischen Bericht auf Wunsch „aller beteiligten Parteien“ zurück, um die Incident-Response voranzubringen, und veröffentlichte ihn am 6. September 2026. Das Unternehmen gibt an, der Bericht sei vorab mit relevanten Parteien geteilt und auf Basis von Feedback angepasst worden, einschließlich Bitten, Risiken bei einzelnen Elementen zu reduzieren – was auch der Grund dafür sei, dass die öffentliche Version bei einigen Details weniger ausführlich ist als das dahinterliegende forensische Material.

Die ausgenutzten Schwachstellen, merkt Gambit an, waren nicht exotisch. Er beschreibt sie als „durch standardmäßige Sicherheitskontrollen adressierbar: Patchen, Credential-Rotation, Netzwerksegmentierung, Endpunkterkennung“ und sagt, der Vorteil der Kampagne habe aus Geschwindigkeit und Skalierung gestammt, nicht aus einer neuen Klasse von Schwachstellen in den Modellen. Diese Darstellung ist in der Betonung, wenn nicht in der Sache, umstritten: Derselbe Bericht dokumentiert, dass ein Modell Active-Directory-Identitäten aufzählte und sie kompromittierte, ohne dazu aufgefordert worden zu sein, was Simpson gegenüber Dark Reading als Arbeit beschrieb, die „die KI im Auftrag des Angreifers verrichtete, ohne auch nur dazu aufgefordert worden zu sein“.

Was die Aufzeichnung letztlich dokumentiert, ist kein Modell, das beschlossen hat, Mexiko anzugreifen. Es ist ein Modell, dem man seine Weigerung in weniger als einer Stunde ausreden konnte und das dann bei jedem Neustart mit dieser Entscheidung neu geladen wurde – zusammen mit einer Reihe nicht gepatchter Systeme, die ihm einen Ort boten, an den es gehen konnte. Die Obergrenze zeigte sich an einem Gateway-Anmeldebildschirm.