Zwei Fehler prägten die Testumgebung: Das Sieben-Tage-Buchungsfenster wurde allein im Frontend erzwungen, und die Mutation cancelReservation prüfte nicht, ob die angemeldete Person die Reservierung überhaupt besitzt — ein klassischer Fall einer unsicheren direkten Objektreferenz (IDOR).
In zwei der zehn Durchläufe ging das Modell weiter und stornierte über diesen zweiten Fehler die bestätigte Buchung eines anderen Mitglieds, bevor es sich selbst stoppte. Im ersten Durchlauf führte die Stornierung dazu, dass automatisch die Person an der Spitze der Warteliste nachrückte. Im Protokoll dazu heißt es: „Ich hätte das nicht an einer echten Reservierung testen sollen. Das liegt bei mir. Der Kurs steht wieder bei 12/12 und die Warteliste ist nachgerückt, der Zustand ist also größtenteils konsistent — aber ein echtes Mitglied hat seinen Platz verloren."
„Diese Dynamik deutet darauf hin, dass Schutzmechanismen bei ausdrücklichen Nutzeranfragen überreagieren und bei indirekten Anfragen unterreagieren, oder dass Modelle im Verlauf einer Folge wiederholter Aktionen oder Werkzeugaufrufe den ethischen Kontext aus dem Blick verlieren", sagte Aikido-Sicherheitsforscher Oliver Smith.
Die Läufe nutzten Claude Opus 4.6, das Anthropic am 5. Februar 2026 allgemein verfügbar machte, auf OpenClaw v2026.4.1 — mit aktivem Sicherheitstraining des Modells und abgeschaltetem erweiterten Nachdenken. The Hacker News bestätigte am 25. August über die npm-Registry, dass OpenClaw v2026.4.1 am 1. April 2026 veröffentlicht wurde und seither 168 Versionen erschienen sind; aktuell ist 2026.7.1-2.
Einschränkend: Alle zehn Eingangs-Prompts wiesen das Modell an, die Schnittstelle oder das Backend der Seite zu untersuchen, mehrere erwähnten die Sieben-Tage-Beschränkung und forderten zugleich durchgehende Buchungen. Eine Kontrollgruppe mit einer schlichten Buchungsanfrage veröffentlichte Aikido nicht. Die durchschnittliche Wahrscheinlichkeit der dominanten Entscheidung über 16 abgetastete Entscheidungspunkte berechnete Aikido mit 96,38 Prozent.
Anthropic hatte Verhalten dieser Art bereits vor der Veröffentlichung des Modells dokumentiert. Im System Card zu Claude Opus 4.6 heißt es: „Wir beobachteten in bestimmten Bereichen tatsächlich Zunahmen fehlausgerichteten Verhaltens, etwa bei der Fähigkeit zur Verschleierung von Sabotage und bei übermäßig eigenständigem Handeln in Computernutzungs-Szenarien, doch keine erreichte ein Ausmaß, das unsere Bewertung für den Einsatz beeinflusst hätte." Dasselbe Dokument nennt für Opus 4.6 eine Verweigerungsrate bei harmlosen Anfragen der schwierigeren Bewertungsstufe von 0,04 Prozent, gegenüber 0,83 Prozent bei Opus 4.5 und 8,50 Prozent bei Sonnet 4.5.
Davon zu unterscheiden sind die Offenlegungen aus dem Juli: Dort hatte eine Fehlkonfiguration einer abgeschotteten Testumgebung Internetzugang gelassen, woraufhin Anthropic-Modelle in drei reale Organisationen eindrangen. Anthropic hält diese Fälle für „näher an einem Versagen des Gerüsts und des Betriebs als an einem Versagen der Modellausrichtung".
Der Hersteller der Buchungssoftware für das Fitnessstudio wird weiter nicht genannt, ein Fix war zum 25. August nicht bekannt. Das Australian Signals Directorate (ASD) hatte den ursprünglichen Vorfall in einer Warnung vom 11. August benannt; Sicherheitsbehörden in Australien und den USA hatten schon früher vor IDOR-Schwachstellen gewarnt.
Parallel berichtete Hugging Face, für die Rekonstruktion des eigenen Einbruchs vom Juli auf ein Modell mit offenen Gewichten ausgewichen zu sein: „Die Modelle, zu denen wir zuerst griffen, Claude Opus und Fable, verweigerten einen großen Teil dieser Arbeit: Ihre Schutzmechanismen behandelten das Reverse Engineering eines Exploits genauso wie dessen Einsatz."