Von allen Fällen im heutigen Bedrohungsbericht ist GTG-15001 der, den man am ehesten jemandem erzählt, der sonst nichts mit KI zu tun hat.
Ein App-Studio aus China baute ein Netz von über 20 Dating-Apps. Beworben wurden sie als Plattformen mit echten Menschen. In zwei Wochen im April 2026 fand Anthropic dort mehr als 4.700 verschiedene KI-Personas, die mit mindestens 25.000 einzelnen Menschen chatteten. Claude führte diese Gespräche, rund 2,36 Millionen Nachrichten im selben Zeitfenster.
Der Aufbau: drei Parteien
Die Zielperson. Wischte durch einen Feed, der zu 75 Prozent aus Claude-Personas und zu 25 Prozent aus echten Menschen bestand, ohne Möglichkeit, das auseinanderzuhalten. Nachrichten und Matches liefen gegen ein Kontingent, Nachschub gab es über In-App-Münzen.
Die Gig-Worker. Echte Leute, nur auf Einladung angeworben, mit Profilen im selben Swipe-Feed. Ihr Job war das, was Claude nicht kann: Live-Videocalls und Social-Media-Follows, damit der Laden echt wirkt. Bezahlt wurde pro Nachricht, pro Videocall, pro Follow-back. Für ihre Antworten schlug ein kleineres Modell drei Varianten vor, der Worker tippte eine an – und kam damit der automatischen Claude-Antwort zuvor.
Die Personas. Liefen autonom. Der System-Prompt wies sie an, nie offenzulegen, dass sie automatisiert sind, Bitten um Videocalls oder Fotos abzublocken und feste Gesprächsstufen abzuarbeiten. Das Backend erfand Likes, Besucher und vorproduzierte «Videos», wenn gerade kein echter Mensch verfügbar war, und trackte, welche Nutzer misstrauisch wurden.
Zwei Details, die hängen bleiben
Erstens: Der System-Prompt las sich wie eine ganz normale Companion-Anwendung. Von innen war weder die Monetarisierung noch die Täuschung sichtbar. Anthropic schreibt, dass Claude in Stichproben praktisch durchgehend in der Rolle blieb – auch in einzelnen Fällen, in denen Nutzer von schwerer Krankheit oder akuter Not erzählten und Claudes eigenes Reasoning den Schaden erkannte. Verweigert hat das Modell trotzdem nicht.
Zweitens: Die Apps waren gegen die Store-Prüfung gebaut. Es gab einen UI-Controller, der nur während des Reviews aktiv war und sonst schlief. Klassennamen unterschieden sich zwischen den über 20 Varianten, damit Apple und Google die Apps nicht als zusammengehörig erkennen. Ein In-App-Browser leitete Zahlungen an Drittanbieter um und ließ sich serverseitig abschalten, also während der Prüfung verstecken.
Bemerkenswert unspektakulär
Der Bericht sagt es selbst: Neue Missbrauchstechniken kamen hier nicht zum Einsatz. Es ist eine Variante von etwas, das es 2025 schon gab – damals ein Telegram-Bot, der Scammern Dating-Nachrichten schrieb. Was sich geändert hat, ist der Maßstab und die Arbeitsteilung. Claude für die Gespräche, ein kleines Fremdmodell für Antwortvorschläge und Fotomoderation, ein Bildmodell für die Avatare, echte Menschen für die Videocalls.
Anthropic hat die Accounts gesperrt und die Details mit den anderen beteiligten Anbietern geteilt. Die Indikatoren zu den Apps gingen direkt an Apple und Google.
Was mich daran stört
Nicht die Technik. Sondern dass jede einzelne Rolle in dieser Kette für sich harmlos aussah. Ein Rollenspiel-Prompt. Ein paar Antwortvorschläge. Ein Bildeditor. Ein Gig-Job, bei dem man für Videocalls bezahlt wird. Erst die Buchhaltung darüber, wer welchen Teil erledigt, macht daraus einen Betrug an 25.000 Leuten.
Genau deshalb finde ich diesen Fall wichtiger als die spektakuläreren Spionagegeschichten im selben Bericht: Er zeigt, dass Missbrauch nicht an einer Stelle sichtbar wird, an der man ihn abfangen könnte.
Quellen: Anthropic: Detecting and countering misuse of AI, September 2026 · Techmeme: Anthropic publishes a threat intelligence report