120.000 Zeichen vollständig offengelegt! Der System-Prompt von Claude Fable 5 ist geleakt – wie viel von der KI-Sicherheit bleibt da eigentlich noch?

Der Fall Claude Fable 5 wirkt bei genauerem Hinsehen zunehmend wie eine öffentliche Bloßstellung der KI-Sicherheitsbranche.

Nach Berichten mehrerer chinesischer Sicherheitsmedien und Aggregator-Plattformen wurde Claude Fable 5, das von Anthropic öffentlich zugängliche Modell derselben Klasse wie Mythos, offenbar von dem Jailbreaker elder_plinius mittels koordiniertem Multi-Agenten-Angriff geknackt; der vollständige interne System-Prompt wurde zusammengetragen und auf GitHub hochgeladen – ein Umfang von rund 120.000 Zeichen.

Noch brisanter: Bei dem geleakten Material handelt es sich offenbar nicht um gewöhnliche Rollen-Setups, sondern um Kernlogik wie Sicherheitskontrollen, Risikoklassifikation, Ablehnungsgrenzen, Tool-Aufrufe und Richtlinien-Routing. Mit anderen Worten: Trifft die Berichterstattung zu, entspräche das einer Betriebsanleitung der Sicherheitskonsole eines führenden KI-Modells, die an die Straßenecke gepinnt wurde.

Vorab: Dieser Artikel wird den geleakten Prompt weder reproduzieren, noch auszugsweise zitieren oder die Nutzung erklären. Es geht nur darum, warum der Vorfall so schwer wiegt und was er für die KI-Sicherheit bedeutet.

Zunächst die Zeitlinie des Vorfalls

Claude Fable 5 ist das neue Modell, das Anthropic Anfang Juni vorstellte und das von außen als öffentliche Sicherheitsversion von Mythos 5 betrachtet wird. In öffentlichen Berichten wurde Fable 5 als eine neue Claude-Generation für komplexe Schlussfolgerungen, Langzeitaufgaben und professionelle Workflows beschrieben.

Doch nach dem Start gab es immer wieder Kontroversen.

Die erste Kontroverse: die Sicherheitsschwellen waren zu hoch. Berichten zufolge verweigerte Fable 5 aus Sicherheitsbedenken selbst Antworten auf einfache biologische Grundfragen. Es fehlte also nicht an Fähigkeiten – das Modell war von Sicherheitsrichtlinien zu fest geschnürt.

Die zweite Kontroverse: Microsofts Doppelmoral. Einerseits wurde Fable 5 in kundenorientierte Dienste integriert, andererseits wurde die Nutzung durch interne Mitarbeiter eingeschränkt – angeblich wegen Datensicherheit und Risiken der Modellausgaben.

Die dritte Welle, diesmal die spektakulärste: Ein Angreifer behauptet, durch koordinierte Multi-Agenten-Jailbreaks rund 120.000 Zeichen des System-Prompts erhalten und auf GitHub hochgeladen zu haben.

Was auf der offiziellen Anthropic-Newsseite derzeit zu sehen ist: Die US-Regierung hat eine Exportkontrollanweisung erlassen, die sämtlichen Zugriff auf Fable 5 und Mythos 5 aussetzt. Zum Prompt-Leak selbst gibt es bislang keine vollständige offizielle Bestätigung.

Warum dieser Angriff so beängstigend ist: kein Einzelangriff, sondern Rudeltaktik

Klassische Jailbreaks beruhen meist auf einem Wunderprompt: das Modell dazu bringen, Regeln zu ignorieren, Rollen zu spielen, Aufgaben zu zerlegen, Ablehnungen zu umgehen.

Doch in den diesmalen Berichten taucht immer wieder ein Begriff auf: Rudeltaktik.

Das heißt: Der Angreifer stürmt nicht mit einem einzelnen Prompt los, sondern setzt mehrere Agenten zur koordinierten Attacke ein:

• ein Agent sondiert die Grenzen des Modells aus
• ein Agent erzeugt Varianten der Fragen
• ein Agent bewertet, ob die Antworten strukturelle Informationen verraten
• ein Agent setzt die Bruchstücke zu einem vollständigen Dokument zusammen
• ein Agent passt die Angriffsstrategie laufend an

So wird aus dem Prompt-Spiel ein automatisiertes Red-Team-System.

Ein menschlicher Angreifer wird nach 100 Versuchen müde; ein KI-Angriffssystem schafft 100.000 Versuche und optimiert sich nach jedem Feedback automatisch. Je stärker die Spitzmodelle, desto gefährlicher ist es, sie als Angriffskordinatoren einzusetzen.

Genau das ist der eigentliche Warnhinweis dieses Vorfalls: Der Hauptakteur beim Durchbrechen von KI-Sicherheitssystemen wird zunehmend die KI selbst.

Wie schwer wiegt ein geleakter System-Prompt wirklich?

Viele fragen: Ist das nicht nur ein Prompt? Was soll es, wenn der geleakt ist?

Das ist ein Missverständnis über moderne Großmodellsysteme. Heutige System-Prompts sind längst nicht mehr der Satz „Du bist ein hilfreicher Assistent“. Sie sind eher ein Laufzeit-Richtlinienhandbuch, das unter anderem enthalten kann:

• Modellidentität und Interaktionsstil
• Erkennungskriterien für Hochrisikoinhalte
• Sicherheitsklassifikationshierarchien
• Ablehnungsvorlagen für verschiedene Risikoszenarien
• Grenzen der Tool-Aufrufe
• Behandlungsrichtlinien für sensible Bereiche wie Code, Cybersicherheit, Biologie und Chemie
• wann auf sicherere Antworten ausgewichen wird
• wann vollständig abgelehnt wird
• wann allgemeine Erklärungen erlaubt sind

Sobald all das öffentlich ist, müssen Angreifer nicht mehr blind raten.

Früher war ein Modellangriff wie das Öffnen eines Schlosses im Dunkeln: Man kennt den Schließzylinder nicht und kann nur herumprobieren. Nach dem Leak des System-Prompts hat man quasi den Schließzylinder-Schlüsselplan. Angreifer können für jede Regel eine Umgehung konzipieren und gezielt nach Grenzlücken suchen.

Deshalb ist ein Prompt-Leak kein „Prestigeproblem“, sondern ein handfester Sicherheitsvorfall.

Was bedeuten 120.000 Zeichen?

120.000 Zeichen sind ungefähr so viel wie eine mittellange Erzählung oder ein Dutzend Seiten Sicherheitsrichtlinien.

Stimmt dieser Umfang, zeigt das: Die Sicherheitskontrolle von Fable 5 besteht nicht aus ein paar einfachen Regeln, sondern aus einem ganzen komplexen Richtliniensystem. Vermutlich sind verschiedene Risikodomänen in feinkörnige Zweige aufgeteilt: Cybersicherheit, Biologische Sicherheit, Chemie, psychologische Manipulation, Finanzbetrug, Datenschutzverletzungen, Urheberrecht, politische Sensibilität, Jugendschutz, medizinische Ratschläge und mehr.

Daraus ergeben sich zwei Kontraste.

Erstens: Anthropics Sicherheitsengineering ist tatsächlich außerordentlich fein – so fein, dass viele Grenzen präzise definiert sind. Genau das erklärt, warum Fable 5 nach dem Start als „fast zu sicher“ galt.

Zweitens: Je feiner die Regeln, desto deutlicher wird nach einem Leak die Angriffsfläche. Angreifer erkennen, welche Kategorien Ablehnungen auslösen, welche Formulierungen durchgelassen werden und wo Grauzonen liegen.

Je komplexer die Sicherheitsrichtlinien, desto mehr ähneln sie einem großen Softwaresystem – und Softwaresysteme haben Bugs, Prompt-Systeme entsprechend Logiklücken.

Nicht das erste Mal: Die KI-Sicherheit tritt in das Zeitalter der Leaks ein

In den vergangenen zwei Jahren haben ähnliche Vorfälle in der KI-Szene zugenommen.

Jemand leakte den Quellcode von Claude Code, jemand hob den System-Prompt kommerzieller Agenten aus, jemand erhielt versteckte Prompts über Browser-Plugins, jemand fragte Modelle gegenseitig ab, um die Systemregeln herauszulocken.

Der Grund ist einfach: Die Kernressourcen von Großmodellprodukten verschieben sich zunehmend vom klassischen Code zu Prompts, Tool-Orchestrierung, Richtlinien-Routing, Memory-Systemen und Sicherheitsregeln.

Früher fürchteten Unternehmen den Quellcode-Leak.

Heute müssen KI-Unternehmen zusätzlich fürchten:

• geleakte System-Prompts
• geleakte Tool-Schemata
• geleakte Sicherheitsrichtlinien (safety policy)
• geleakte interne Evaluationsdatensätze
• geleakte Agenten-Workflows
• geleaktes Memory und geleakte Nutzerpräferenzen

Das sind nicht unbedingt Code im klassischen Sinn, aber sie bestimmen das Produktverhalten. Sie sind der Quellcode des neuen Zeitalters.

Folgen für Unternehmensnutzer

Als gewöhnlicher Nutzer ist das für dich allenfalls eine große Story.

Als Sicherheitsverantwortlicher eines Unternehmens sieht die Lage jedoch anders aus.

Unternehmen binden Großmodelle zunehmend in Kundenservice, Code-Audits, Datenanalyse, Büroautomatisierung, interne Wissensbasen, Finanzprozesse, sogar in Security-Operations-Center ein. Modelle sind nicht mehr nur Chatbots, sondern handelnde Instanzen mit Tool-Berechtigungen.

Sind System-Prompt und Tool-Grenzen einmal offengelegt, können Angreifer Eingaben präziser konstruieren, so dass das Modell Werkzeuge missbraucht, Informationen preisgibt, Freigaben umgeht oder falsche Aktionen ausführt.

Besonders gefährlich sind Agenten-Szenarien. Denn Agenten antworten nicht nur – sie bearbeiten Dateien, rufen APIs auf, versenden Nachrichten, fragen Datenbanken ab, führen Befehle aus. Nach dem Prompt-Leak kennt der Angreifer die Aufgabenzerlegungs- und Ablehnungslogik und kann eine Angriffskette schmieden, die exakt an den Schwächen ansetzt.

Unternehmen dürfen System-Prompts daher nicht länger als „interne Texte“ behandeln. Sie gehören in das Management der Sicherheitsressourcen.

Wie sich Unternehmen schützen sollten

Erstens: Die Sicherheit nicht allein auf den System-Prompt legen.

Prompts können Modelle lenken, aber sie taugen nicht als einzige Verteidigungslinie. Echte Sicherheit muss tiefer liegen: bei Tool-Berechtigungen, API-Gateways, der Datenzugriffsschicht, Audit-Logs und menschlichen Freigaben.

Zweitens: Tool-Berechtigungen minimieren.

Was ein Agent lesen, schreiben, löschen und an wen er etwas senden darf, muss klar autorisiert sein. Nur weil ein Modell „klug aussieht“, bekommt es keine globalen Admin-Rechte.

Drittens: System-Prompts in Schichten aufbauen.

Nicht alle Richtlinien in einen einzigen riesigen Prompt schreiben. Besser in Identitäts-, Aufgaben-, Tool-, Sicherheits- und Audit-Ebenen aufteilen und je nach Szenario dynamisch laden. So erhält ein Angreifer selbst bei einem Leak einer Ebene nicht die komplette Kontrollebene.

Viertens: Ausgangsseitige Detektion einführen.

Nicht nur die Nutzereingaben prüfen; auch die Modellausgaben müssen auf sensible Informationen, überzogene Aktionen und gefährliche Befehle untersucht werden.

Fünftens: Red-Team-Automatisierung etablieren.

Wenn Angreifer Multi-Agenten-Rudeltaktiken einsetzen, muss die Verteidigung ebenfalls Multi-Agenten-Red-Teams nutzen. Regelmäßig eine Modellgruppe die andere angreifen lassen, Testfälle automatisch erzeugen und die Verteidigungslinien laufend aktualisieren.

Warum ich nicht empfehle, den Originaltext zu verbreiten

Im Netz heißt es sicher irgendwo: Gib mir den GitHub-Link, ich will das sofort sehen.

Davon rate ich ab.

Erstens könnte der Originaltext Details enthalten, die sich direkt zum Umgehen der Sicherheitsrichtlinien eignen; seine Verbreitung hilft mehr Menschen, den Angriff nachzustellen.

Zweitens ist die Echtheit nicht offiziell bestätigt; bei Weiterverbreitung werden leicht unvollständige oder verfälschte Inhalte als Tatsachen behandelt.

Drittens lohnt sich für Forscher der Blick auf die Versagenspunkte der Sicherheitsarchitektur, nicht das Kopieren fremder geleakter Prompts.

Die Sicherheitscommunity sollte darüber diskutieren, warum es leaken konnte, wie man den Schaden begrenzt und wie man neue Schutzschichten aufbaut – statt den Prompt als digitale Zerstreuung zu begaffen.

Die wichtigste Lehre dieses Vorfalls

Das Claude-Fable-5-Prompt-Leak sieht auf den ersten Blick wie ein Einzelversagen von Anthropic aus, ist aber ein Problem, dem die gesamte KI-Industrie nicht ausweichen kann.

Wir übertragen zunehmend Entscheidungen, Operationen und Sicherheitsgrenzen an Großmodelle. Und doch hängen viele zentrale Kontrollen dieser Systeme weiterhin am fragilen Medium der natürlich-sprachigen Prompts.

Der Vorteil natürlicher Sprache ist ihre Flexibilität – und genau das ist zugleich ihr Nachteil. Sie ist nicht so streng typisiert wie Code, nicht so explizit wie Access-Control-Listen, nicht so hart isoliert wie Sandboxes.

Die KI-Sicherheit von morgen darf daher nicht allein auf „noch längere System-Prompts“ bauen.

Die eigentlich verlässlichen Richtungen sind:

• interne Sicherheitstrainings der Modelle
• externe Richtlinien-Engines
• Sandboxen für Tool-Berechtigungen
• verpflichtende Audit-Logs
• Isolation vertraulicher Informationen
• gegenseitige Verifizierung durch mehrere Modelle
• automatisierte Red-Team-Tests

Der System-Prompt darf ein Lenkrad sein, aber nicht die Bremse.

Zum Schluss

Der bitterste Teil der Claude-Fable-5-Story: Anthropic galt stets als Aushängeschild der KI-Sicherheit – und kaum war das stärkste Sicherheitsmodell gestartet, wurde ein mutmaßliches Leak des System-Prompts bekannt.

Das heißt nicht, dass Anthropic versagt hat. Im Gegenteil: Es zeigt, dass die KI-Sicherheit selbst in eine schwierigere Phase eingetreten ist.

Früher griff der Mensch die KI an.

Heute organisiert die KI mit KI Angriffe gegen KI.

Wenn Angriffe, Richtlinienumgehung und Nachbereitung gleichzeitig automatisiert werden, reicht eine 120.000-Zeichen-Sicherheitsrichtlinie als Stadtmauer mit Sicherheit nicht mehr aus.

Das Zeitalter der kleineren Grenzgeplänkel in der KI-Sicherheit ist vorbei – der eigentliche Krieg fängt gerade erst an.