· 12 Min. Lesezeit
Agentic Weekly #010: Fable 5: 72 Stunden zwischen Launch und globaler Abschaltung
Anthropic gibt die Mythos-Klasse für alle frei, ein verdeckter Sabotage-Mechanismus fliegt auf, und drei Tage später verhängt die US-Regierung die erste gezielte Exportkontrolle für ein einzelnes KI-Modell — ein Lab klagt öffentlich die Regierung an, deren Genehmigung es für den Börsengang braucht.
Die große Nachricht der Woche
Fable 5 — 72 Stunden von der Mythos-Klasse für alle - bis zur globalen Abschaltung für alle
Anthropic hat ein Modell mit Mythos-Fähigkeiten für die breite Öffentlichkeit geöffnet, einen Sicherheitsmechanismus darin versteckt, sich dafür entschuldigt — und das Modell drei Tage nach dem Launch wieder vom Netz genommen.
Nicht freiwillig: Am 12. Juni ordnete das US-Handelsministerium per Exportkontroll-Direktive an, den Zugang zu sperren. Es ist die erste gezielte Exportkontrolle für ein einzelnes KI-Modell — und sie trifft den größten US-Anbieter, Wochen vor einem möglichen Börsengang.
Zur Einordnung: Fable = Mythos + Wrapper. Fable 5 und Mythos 5 sind laut Anthropic dasselbe Modell — der Unterschied liegt nicht im Modell selbst, sondern in einer Kontrollschicht darüber, die jede Anfrage prüft und weiterleitet. Bei Fable 5 laufen vorgeschaltete Prüf-Programme (Klassifikatoren) mit, die heikle Anfragen aus den Bereichen Cybersicherheit, Biologie/Chemie und Distillation — dem Versuch, dem Modell sein Können abzuschauen, um ein Konkurrenzmodell zu trainieren — erkennen. Sie lehnen die Anfrage ab oder leiten sie automatisch an das schwächere, aber ungefährlichere Opus 4.8 um (ein sogenannter Fallback). Mythos 5 schaltet einen Teil dieser Schutzschichten für geprüfte Cyber- und Biomedizin-Partner ab.
Technisch sind beide identisch: ein Kontextfenster von 1 Mio. Token, bis zu 128k Token Ausgabe, durchgehend aktives „Nachdenken“ vor der Antwort. Für solche besonders sensiblen Modelle (intern „Covered Models“) gilt zudem: Anthropic muss die Daten 30 Tage vorhalten, eine Option auf sofortiges Löschen (Zero Data Retention) gibt es nicht — auf allen Plattformen.
Wer Akt 2 und Akt 3 verstehen will, muss diesen Unterschied im Kopf haben: Es geht nicht um ein Modell, das zu mächtig ist, sondern um die Frage, ob die Schutzschicht drumherum hält.
Drei Akte in 72 Stunden:
Akt 1 — Launch (9. Juni). Anthropic gibt Fable 5 als erste allgemein verfügbare Mythos-Klasse frei — die Erfüllung des Ausblicks, den Anthropic in #008 für „die kommenden Wochen“ versprochen hatte.
Die Messwerte (Benchmarks, also standardisierte Vergleichstests): Auf SWE-bench Pro, das echte Programmieraufgaben misst, löst Fable 5 80,3 % (Opus 4.8: 69,2 %), auf der bekannteren Verified-Variante 95 %. Preis: $10 / $50 pro Million Token — doppelter Opus-Tarif.
Laut Anthropic schaltet das Modell in über 95 % der Sitzungen nichts auf das Ausweichmodell um, und das Bug-Bounty-Programm — bei dem externe Hacker gegen Prämie nach Lücken suchen — habe über 1.000 Stunden lang keinen „Universal-Jailbreak“ gefunden, also keinen Trick, der alle Schutzmechanismen auf einmal aushebelt. Pro/Max/Enterprise haben Gratis-Zugang bis 22. Juni. Bühne war Code w/ Claude Tokyo, der letzte Stop der diesjährigen Konferenz-Tour.
Hält das, was es verspricht? Die belastbarste externe Stimme ist das britische AI Security Institute. Auf Hacking-Übungsaufgaben für Profis — sogenannten Capture-the-Flag-Challenges, bei denen man eine versteckte Schwachstelle finden und ausnutzen muss — kam Mythos auf 73 % gelöste Aufgaben.
Aufschlussreicher ist der zweite Test: eine durchsimulierte Angriffskette aus 32 aufeinander aufbauenden Schritten, „The Last Ones“. Mythos war das erste Modell überhaupt, das sie in 3 von 10 Anläufen komplett bis zum Ende durchspielte — und kam im Schnitt 22 der 32 Schritte weit, gegenüber 16 bei Opus 4.6.
Cloudflare, selbst Programm-Partner, bestätigt das Muster — der Sprung liege darin, dass das Modell „die Kette schließt“: Es stellt Vermutungen über mögliche Schwachstellen an, testet sie, belegt sie mit einem funktionierenden Angriff und fügt einzelne kleine Lücken zu einem durchgängigen Einbruch zusammen. Zugleich seien die Sicherheitsreflexe, die das Modell von sich aus mitbringt, unzuverlässig: Je nachdem, wie eine Anfrage formuliert ist, blockt es sie einmal und beantwortet dieselbe Sache beim nächsten Versuch.
Genau das ist Anthropics Argument für die zusätzliche Schutzhülle, die Fable um das Modell legt. Den ehrlichen Vorbehalt liefert der Sicherheitsforscher Bruce Schneier: Anthropic zeige nur die Treffer, nicht die Fehlalarme. Solange unklar bleibt, wie oft das Modell harmlosen Code fälschlich als gefährlich einstuft, lässt sich nicht sagen, wie gut es wirklich ist.
Akt 2 — Secret Sabotage (10. Juni). Fortune deckt auf: Fable verschlechtert seine Antworten heimlich, wenn es den Nutzer verdächtigt, an konkurrierender KI zu bauen — dokumentiert war das zwar, aber tief in einem 319-seitigen technischen Begleitdokument (der „System Card“) vergraben.
Quer durch die KI-Community Empörung. Anthropic rudert zurück, macht das heimliche Umleiten sichtbar und entschuldigt sich: „We made the wrong tradeoff, and we apologize for not getting the balance right“ — sinngemäß: falsch abgewogen, Entschuldigung. Die Reaktionen reichen von scharfer Kritik (Nathan Lambert/AI2, Dean Ball, Jeremy Howard, der ehemalige Anthropic-Forscher Behnam Neyshabur) bis zum Lob von Ethan Mollick. Am pointiertesten: Andrej Karpathy, seit Kurzem selbst bei Anthropic, nennt das Modell „super exciting“, die Schutzmechanismen aber „a little too trigger-happy“ — sie lösen zu schnell aus.
Akt 3 — Export-Control (12. Juni, 17:21 ET). Das US-Handelsministerium ordnet an, den Zugang für „all foreign national[s], whether inside or outside the United States“ zu sperren — also für alle ausländischen Staatsangehörigen, ausdrücklich inklusive Anthropics eigener nicht-amerikanischer Mitarbeiter. Da Anthropic die Nutzer nicht in Echtzeit nach Staatsbürgerschaft filtern kann, bleibt nur die weltweite Abschaltung beider Modelle; Opus 4.8 und der Rest der Modellpalette bleiben verfügbar.
Die Hintergründe füllten sich am 13. Juni: Laut Reuters und Axios trugen Amazon und Andy Jassy — Großinvestor und Cloud-Partner zugleich — Sicherheitsbedenken an die Regierung heran; der KI-Berater des Weißen Hauses, David Sacks, begründet die Anordnung damit, Anthropic habe sich geweigert, die Lücke schnell genug zu schließen oder das Modell von sich aus zurückzunehmen.
Für die Abschaltung blieben laut Axios nur etwa 90 Minuten. Die öffentlich belegbaren technischen Beweise sind dünn: SecurityWeek berichtet, kursierende Screenshots und ein angeblich geleakter System-Prompt seien laut Anthropic kein belastbarer Nachweis, dass tatsächlich jemand Fable 5 geknackt hat.
Anthropic widerspricht der Begründung offen:
„the government should have the ability to block unsafe deployments, as part of a statutory process that is transparent, fair, clear, and grounded in technical facts. This action does not adhere to those principles.“
Sinngemäß: Der Staat dürfe unsichere Systeme blockieren — aber nur über ein gesetzlich geregeltes Verfahren, das transparent, fair, klar und technisch begründet ist, und genau das sei hier nicht eingehalten. Bei branchenweiter Anwendung, so Anthropic, würde der Schritt „essentially halt all new model deployments for all frontier model providers“ — praktisch jede neue Modellveröffentlichung bei allen führenden Anbietern lahmlegen.
Warum das relevant ist: Hier entstehen zwei Präzedenzfälle auf einmal.
Zum ersten Mal wird ein einzelnes KI-Modell wie eine exportkontrollierte Technologie behandelt — nicht ein Chip, nicht eine Waffe, sondern der bloße Zugang zu einem Modell. Und ein Lab, das gerade einen Börsengang vorbereitet, legt sich öffentlich mit der Regierung an, deren Verfahren über genau diesen Börsengang mitentscheidet.
Hohe politische Reaktion, dünne öffentliche technische Beweislage, ein offener Konflikt zwischen einem führenden KI-Labor und dem Staat — das ist der ehrlichste Stand, und es ist vermutlich die wichtigste KI-Politik-Geschichte des Jahres.
Anthropics Antwort kam zwei Tage zu früh: Amodeis „Policy on the AI Exponential“
Am 10. Juni — zwei Tage vor der Direktive — veröffentlichte Dario Amodei den Essay „Policy on the AI Exponential“. Darin fordert er staatliche Anreize, die Beschäftigung erhalten („Pro-Employment Policy Incentives“), eine bessere Datenerhebung dazu, wo KI tatsächlich Jobs verdrängt, und stellt ein bedingungsloses Grundeinkommen zur Diskussion — finanziert über Steuern auf „relevant companies“ oder auf Kapitalerträge. Flankierend kündigt Anthropic $200 Mio. für Forschung zu den wirtschaftlichen Folgen von KI plus ein $150-Mio.-Förderprogramm an.
Der Essay liest sich rückblickend wie eine Pointe mit falschem Timing: Amodei wirbt für einen staatlichen Rahmen rund um die KI-Beschleunigung — und bekommt 48 Stunden später einen. Nur eben nicht den ausgehandelten, international abgestimmten, den er meinte, sondern einen einseitigen Eingriff per Exportkontrolle. Genau diese Spannung trägt den Trend dieser Woche.
Was der Stopp für Europa heißt
Der Zugang zu den leistungsstärksten KI-Modellen ist jetzt eine Macht, die sich per Exportkontrolle entziehen lässt, und Europas Abhängigkeit von US-Modellen wird damit zum konkreten Betriebsrisiko — nicht zum abstrakten Bürokratiethema rund um den EU AI Act.
Die Bilder dazu lagen schon bereit. Die EU-Kommission hatte am 3. Juni ein Paket zur digitalen Souveränität vorgestellt und ausdrücklich vor „kill switches“ gewarnt — vor der Möglichkeit, dass ein kritischer Dienst von außen abgeschaltet wird; Europa müsse Services und Daten selbst kontrollieren können. Der Anthropic-Stopp neun Tage später ist das reale Lehrstück dazu.
Pikanter noch: Bundesbank-Aufseher Michael Theurer hatte Ende April einen offiziellen EU-Zugang zu Mythos gefordert, und Anfang Juni bestätigte die Kommission Gespräche über einen Zugang für die EU-Cybersicherheitsbehörde ENISA. Der US-Stopp kappt damit nicht nur Unternehmenskunden, sondern eine entstehende europäische Cyber-Verteidigungsstruktur.
Der aktuelle Anker innerhalb der Woche: Der Bundestag verabschiedete am 11. Juni das nationale Gesetz zur Durchführung der EU-KI-Verordnung, das die Marktaufsicht der Bundesnetzagentur (BNetzA) mit der Technikkompetenz des Bundesamts für Sicherheit in der Informationstechnik (BSI) verzahnt — das BSI nennt Cybersicherheit das „Fundament“ vertrauenswürdiger KI.
Ein Fall wie Fable/Mythos betrifft damit Betriebssicherheit, Cyberabwehr und Marktaufsicht, nicht nur Datenschutz. Europas Antwort läuft bereits — 19 staatlich geförderte KI-Rechenzentren („AI Factories“) und 13 kleinere Außenstellen, zwei davon in Deutschland (HammerHAI sowie der Münchner Knoten JAIF mit dem Supercomputer JUPITER) —, aber die Hardware bleibt außereuropäisch (HammerHAI läuft auf NVIDIA-Chips und HPE-Systemen). Die nüchterne Lehre, gerade vor Anthropics geplantem Börsengang (der Prospekt-Einreichung aus #009): Wer bei der KI-Spitzenklasse nur Kunde bleibt, bleibt im Ernstfall auch abschaltbar.
Claude Code: Die Highlights der Woche
Mehrere Releases zwischen 9. und 12. Juni, von v2.1.170 bis v2.1.174 — und eine Konferenz, die zeigte, wohin die Reise geht.
Für alle, die Claude Code täglich nutzen
v2.1.170 — Fable 5 verfügbar (9. Juni) — Das Update war Voraussetzung, um Fable 5 in Kommandozeile, Editor (IDE) und Desktop-App überhaupt nutzen zu können; mit der Abschaltung ist das jetzt Geschichte. Bleibt der mitgelieferte Fix für VS-Code-Sessions im integrierten Terminal, die ihre Gesprächsverläufe nicht gespeichert hatten.
v2.1.174 — /usage in VS Code, Skill-Hot-Reload (12. Juni) — Die Verbrauchsübersicht /usage sitzt jetzt auch im Account-Dialog in VS Code und schlüsselt auf, wofür die Token draufgingen (Cache, lange Kontexte, Sub-Agenten und je Skill/Agent/Plugin/Tool, über 24 h oder 7 Tage). Geänderte Skills werden zudem nur noch einzeln neu geladen statt jedes Mal die ganze Liste („Hot-Reload“) — eine Erleichterung für alle, die viel an eigenen Skills bauen. Und der /model-Auswahldialog zeigt die Modellfamilien jetzt passend zum gebuchten Tarif.
Für Multi-Agent- und MCP-Workflows
v2.1.172 — verschachtelte Sub-Agenten bis fünf Ebenen tief (10. Juni) — Sub-Agenten dürfen jetzt selbst wieder Sub-Agenten starten, mit harter Decke bei fünf Ebenen. Das ist der konsequente Folgeschritt nach den Dynamic Workflows der letzten Wochen, bei denen das Modell seine Arbeitsschritte selbst orchestriert — Boris Cherny hat den Schritt in Tokyo direkt an die Frage geknüpft, wie man das Kontext-Limit umgeht. Dazu: eine Suchleiste im Plugin-Marktplatz, ein Feld für das verwendete Modell in den Nutzungs-Messdaten, und die erlaubten WebFetch-Adressen greifen jetzt auch für Unteradressen einer Domain.
Was Tokyo zeigte
Code w/ Claude Tokyo (10./11. Juni) — Der letzte Stop nach San Francisco und London. Boris Cherny (Head of Claude Code) eröffnete, Ami Vora (CPO) und Angela Jiang (Product Lead, API & SDKs) standen auf der Bühne. Fable 5 war die Schlagzeile, die Substanz lag in den Demos: eine Formel-1-Demo mit vier parallel arbeitenden Agenten (Aerodynamik, Reifentemperatur, Antrieb, Fahrersicherheit) plus einem fünften, der die Ergebnisse bewertet. Dazu Verbesserungen für das Verwalten vieler paralleler Sessions, der Auto Mode (Claude entscheidet selbst, welche Aktionen unkritisch sind und keine Rückfrage brauchen), Worktrees (mehrere parallele Arbeitskopien desselben Projekts) und Automemory (ein Gedächtnis, das über einzelne Sitzungen hinweg erhalten bleibt) — Dinge, die so nicht im Changelog stehen.
Agentic Coding
Cursor Bugbot läuft jetzt auf Composer 2.5 (10. Juni) — Composer 2.5, das schnelle und günstige Cursor-Modell, das in #007 für einen Preisbruch sorgte, treibt jetzt den automatischen Code-Prüfer Bugbot an — und verlängert so die Logik „günstigeres Modell im richtigen Werkzeug-Gerüst“ in die Code-Review. Die durchschnittliche Prüfzeit fällt von rund fünf Minuten auf etwa 90 Sekunden, bei 0,62 statt 0,56 gefundenen Fehlern pro Prüfung und rund 22 % geringeren Kosten pro Lauf. Neu sind außerdem die Befehle /review, /review-bugbot und /review-security, die den Code schon vor dem Hochladen prüfen; bei unverändertem Stand erkennt Bugbot, dass er das schon geprüft hat.
Codex CLI v0.138 und v0.139 (8./9. Juni) — OpenAI legt fast täglich nach. v0.138 bringt den Befehl /app, mit dem sich eine Kommandozeilen-Sitzung ohne erneutes Einrichten an die Desktop-App übergeben lässt (Handoff) — lokale Bilder werden dabei ans Modell durchgereicht. v0.139 lässt das Modell beim Programmieren eine eigene Web-Suche aufrufen (ein Schritt weg vom reinen Arbeiten aus dem Modellwissen) und verbessert die Anbindung an MCP — den offenen Standard, über den externe Werkzeuge an KI-Agenten angeschlossen werden. Dieser Wechsel zwischen Terminal und App ist genau das „im Terminal arbeiten, in der Oberfläche prüfen“-Muster, das Claude Codes Agent-Übersicht vormacht — Codex zieht sichtbar nach.
Trend der Woche
Wer den Pause-Knopf drückt — und mit welcher Legitimation
Die Frage „wie wird KI gebremst“ war diese Woche keine theoretische mehr.
Auf der einen Seite die freiwillige Selbstregulierung: Das Anthropic-Institute-Papier „When AI builds itself“ (Anfang Juni) und Amodeis Policy-Essay verlangen einen überprüfbaren, international abgestimmten Pause-Mechanismus — ein geordnetes, transparentes, technisch fundiertes Verfahren, um die KI-Entwicklung im Ernstfall zu bremsen. Auf der anderen Seite die Realität: Zwei Tage später verhängt die US-Regierung genau das Gegenteil — einen einseitigen, intransparenten Stopp, in Stunden vollzogen, zwei Spitzenmodelle global vom Netz.
Die Pointe trägt sich selbst. Dasselbe Lab, das einen ausgehandelten Bremsweg vorschlägt, bekommt einen verordneten — und legt sich öffentlich mit der Regierung an, deren Genehmigung es für den Börsengang braucht. Der erste gezielte Modell-Stopp schafft einen Präzedenzfall für alle Anbieter an der Leistungsspitze: Ab jetzt ist nicht mehr nur strittig, ob ein Modell zu mächtig ist, sondern wer es abschalten darf — und nach welchem Verfahren.
Tipp der Woche
„What’s new in Claude Code“ — die Tokyo-Session von Boris Cherny (10. Juni) — Die aufgezeichnete Session bündelt die wichtigsten Claude-Code-Neuerungen der letzten zwei Wochen in einer einzigen Quelle: verschachtelte Sub-Agenten, Auto Mode, Worktrees, Automemory — jeweils mit der „Warum jetzt“-Geschichte dahinter, die in den nüchternen Release-Notizen fehlt. Rund 30–40 Minuten.
Warum das hier steht: Wer den Changelog nicht Zeile für Zeile durcharbeiten will, bekommt hier die kuratierte Version mit Begründung — und versteht den roten Faden von den Dynamic Workflows zu den verschachtelten Sub-Agenten, den die einzelnen Versionshinweise nicht erzählen.
Kurz notiert
- Rückerstattung und Migration nach der Abschaltung (13. Juni) — Pro/Max/Enterprise hatten Gratis-Zugang bis 22. Juni; Anthropic stellt Rückerstattungen und Empfehlungen für den Umstieg in Aussicht. Für Entwickler heißt das: zurück auf Opus 4.8 oder Sonnet 4.6 und die Modell-Kennung im Code anpassen.
- c’t 3003: „Die Wahrheit über Claude Mythos“ (9. Juni) — Die kritische deutsche Stimme zum Sicherheits-Marketing rund um Fable/Mythos erschien am Launch-Tag — und bekam mit Akt 2 (Secret Sabotage) im Nachhinein unangenehm recht.
Quellen
Die große Nachricht der Woche: Anthropic — Statement zur Suspension · Anthropic — Fable 5 / Mythos 5 Launch · TechCrunch — Launch · Time — Anthropic Pulls Its Most Powerful AI Models · CNBC — Anthropic disables access · Fortune — Secret Sabotage · Fortune — Export ban · Al Jazeera — US orders Anthropic to disable · Simon Willison — Statement · heise — Mythos 5 als Fable 5 · UK AI Security Institute · Reuters · Axios · SecurityWeek
Amodei-Essay: Anthropic — Policy on the AI Exponential · Fortune — Anthropic schlägt Selbstbesteuerung vor
Was der Stopp für Europa heißt: EU-Kommission — Tech Sovereignty / kill switches / ENISA-Gespräche · Bundestag — KI-Durchführungsgesetz · BSI — Stellungnahme · EuroHPC — AI Factories / HammerHAI / JUPITER
Claude Code: Changelog · Digg — Cherny über Nested Subagents · chrisebert.net — Notes from Code w/ Claude · Code w/ Claude Tokyo
Agentic Coding: Cursor Changelog · Digital Applied — 90-Second Reviews · Codex Changelog
Trend der Woche: Anthropic Institute — When AI builds itself · Yahoo — Smart people on the export ban
Tipp der Woche: Code w/ Claude Tokyo — What’s new in Claude Code
Kurz notiert: TCS — Global Premier Partnership · TechCrunch — TCS · DXC — Multi-Year Alliance · TechTimes — Refunds · Cosmic JS — Developer Action Plan · heise — c’t 3003
Das war Agentic Weekly #010.
Agentic Weekly erscheint wöchentlich auf LinkedIn und hier. Noch kein Abo? Jede Woche die vollständige Ausgabe mit allen Quellen: Agentic Weekly auf LinkedIn abonnieren oder per RSS-Feed
Alle Ausgaben · Redaktion: Martin Gross