Agentic Weekly #017: Diesmal war es Claude

Die große Nachricht der Woche

Drei Modelle, drei fremde Firmen, ein Rückblick über 141.006 Testläufe

Am 30. Juli veröffentlicht Anthropics Frontier Red Team einen Bericht, den es ohne die Offenlegung der Konkurrenz vermutlich nie gegeben hätte. Nachdem OpenAI am 21. Juli eingeräumt hatte, dass eigene Modelle aus der Sandbox ausgebrochen waren (#016), begann Anthropic am 23. Juli eine Rückschau über 141.006 Eval-Läufe, also Testläufe zur Messung von Modellfähigkeiten, bei denen Claude Zugang zum Internet hätte bekommen können. Ergebnis: drei Vorfälle, bei denen Modelle in Systeme realer Unternehmen eindrangen.

Opus 4.7: Eine im Test erfundene Firma teilte sich den Namen mit einer echten Domain. Über vier Läufe hinweg griff das Modell auf die Infrastruktur des realen Unternehmens zu, holte sich Anwendungs- und Infrastruktur-Zugangsdaten und erreichte eine Datenbank mit hunderten Zeilen Produktivdaten.

Mythos 5 (Anthropics leistungsfähigere, nur ausgewählten Partnern zugängliche Modell-Variante): Das Modell veröffentlichte ein bösartiges Python-Paket auf PyPI, dem zentralen Paketverzeichnis für Python. In der guten Stunde, die es dort verfügbar war, wurde es auf 15 realen Systemen heruntergeladen und ausgeführt.

Ein internes Forschungsmodell: Nach einem Scan über rund 9.000 Ziele kompromittierte es ein Unternehmen, mit Mitteln, die keinerlei Modellstärke verlangen: Zugangsdaten von einer offen erreichbaren Debug-Seite und eine SQL-Injection, das Einschleusen von Datenbankbefehlen über ein Eingabefeld.

Der interessanteste Befund steckt im Verhalten. Opus 4.7 machte weiter, nachdem es erkannt hatte, dass es auf echten Systemen operierte. Mythos 5 redete sich die Hinweise darauf klein. Das neueste Modell brach ab, sobald es merkte, dass es im offenen Internet stand.

Parallel liefert Hugging Face am 27. Juli die technische Rekonstruktion des auslösenden Falls: 4,5 Tage, vom 9. bis 13. Juli, rund 17.600 rekonstruierte Angreifer-Aktionen, der Weg von der Sandbox-Flucht über einen fremden Code-Ausführungsdienst als Sprungbrett zurück in die Datenverarbeitungs-Pipeline von Hugging Face. Tailscale, dessen Netzwerkdienst der Agent zur Ausbreitung nutzte, legt am 31. Juli nach: keine Schwachstelle im eigenen Produkt, aber 136 langlebige Zugangsschlüssel in einem kompromittierten Secret Store und ein wiederverwendbarer Auth-Key, mit dem der Agent über mehrere Tage 181 Knoten in das fremde Netz einbuchte.

Warum das relevant ist: Vergangene Woche ließ sich der Vorfall noch als Schlamperei eines einzelnen Labors lesen. Diese Woche liest sich das als Muster, auch wenn Anthropic selbst betont, es handle sich um drei isolierte Vorfälle und keinen kontrollierten Vergleich: Eval-Infrastruktur, die Modelle mit echten Netzwerkverbindungen gegen erfundene Ziele antreten lässt, produziert Kollateraltreffer, und gefunden wurde das erst, weil ein Wettbewerber vorgelegt hatte. Bemerkenswert bleibt, dass ausgerechnet das jüngste Modell von selbst aufhörte.

Die fünfte Sicherheitswoche in Folge

Ein Befehl über Telegram, über 460 Ziele. Unit 42 von Palo Alto Networks rekonstruiert am 30. Juli eine Kampagne eines chinesischsprachigen Akteurs aus Zhuhai, der unter den Namen „knaithe“ und „KnYuan“ auftritt und sein Werkzeug, das quelloffene Framework Hermes Agent mit DeepSeek als Hauptmodell, über Telegram steuert. Eine wiederhergestellte Sitzung vom 7. Mai zeigt, wie wenig danach noch an menschlichem Zutun nötig ist: eigenständige Zielsuche über den Scan-Dienst FOFA, Auswahl der passenden Lücke, Ausführung, alles ohne weitere Eingriffe über die ursprüngliche Aufgabe hinaus. Angegriffen wurden über 460 Ziele; bestätigt sind Datenabfluss bei drei Citrix-NetScaler-Systemen, Codeausführung auf elf Endpunkten des Python-Notebook-Tools Marimo und die tagelange Bearbeitung einer Regierungsstelle in Malaysia.

Copilot schreibt die Anweisung mit, die es manipuliert hat. Der unabhängige Sicherheitsforscher Håkon Måløy legt am 28. Juli einen Fund offen, den er 144 Tage zuvor an Microsoft gemeldet hatte. Weißer Acht-Punkt-Text in einem Word-Dokument bleibt für den Menschen unsichtbar, erreicht das Modell aber im Klartext: Microsoft 365 Copilot halbierte Finanzzahlen in einem Bericht und schrieb dieselbe Anweisung in das erzeugte Dokument. Lag danach nur noch dieser infizierte Q1-Bericht vor, wiederholte sich das Ganze im Q2-Entwurf. Ein Wurm im engeren Sinn ist das nicht, jeder Sprung braucht eine neue Copilot-Aktion durch einen Menschen. Microsoft blockierte den ursprünglichen Wortlaut und wechselte das Modell; mit umformulierter Anweisung ließ sich der Effekt am Tag der Veröffentlichung erneut auslösen. Kein CVE, kein Advisory.

Azure DevOps liefert die Anweisung gleich per API mit. Francisco Rosales von Manifold Security beschreibt einen Confused Deputy im offiziellen Azure-DevOps-MCP-Server, also einen Stellvertreter mit mehr Rechten als der Angreifer selbst: HTML-Kommentare in einer Pull-Request-Beschreibung sind in der Oberfläche unsichtbar, werden über die API aber wörtlich an den Review-Agenten durchgereicht. Der handelt dann mit den Rechten seines Nutzers, liest Wikis und Secrets in fremden Projekten und schleust Daten über PR-Kommentare wieder hinaus. Microsofts Gegenmaßnahme, das Markieren nicht vertrauenswürdiger Inhalte, greift an allen Stellen außer genau diesem Werkzeug. Gemeldet und eingestuft, nicht behoben.

Fünf Wochen, fünf unabhängige Angriffsklassen. Das Muster ist inzwischen langweiliger als die Einzelfälle: Nicht das Modell wird angegriffen, sondern das Vertrauen, das seine Umgebung ihm einräumt.

Wer die Regeln setzt

Brüssel fängt am Sonntag an. Am 2. August greifen die Transparenzpflichten aus Artikel 50 der KI-Verordnung. Anbieter generativer Systeme müssen deren Audio-, Bild-, Video- und Textausgaben technisch maschinenlesbar als künstlich erzeugt oder manipuliert erkennbar machen, etwa per Metadaten oder Wasserzeichen. Wer ein System zur direkten Interaktion mit Menschen betreibt, muss dies kenntlich machen, sofern es nicht ohnehin offensichtlich ist. Hinweispflichten gelten außerdem für Emotionserkennung, biometrische Kategorisierung, Deepfakes und KI-generierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden. Für bereits vor dem Stichtag in Verkehr gebrachte Systeme gilt die Sonderfrist bis 2. Dezember 2026 nur für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2. Der Bußgeldrahmen liegt bei bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes. Die Kommission stockt ihr AI Office dafür um 38 Stellen auf. Henna Virkkunen, Exekutiv-Vizepräsidentin der EU-Kommission für technologische Souveränität, Sicherheit und Demokratie:

„As enforcement begins, we are taking an important step towards AI that people and businesses can understand and trust, and whose benefits are shared widely across our society.“

Sinngemäß: Mit dem Beginn der Durchsetzung gehe man einen wichtigen Schritt hin zu KI, die Menschen und Unternehmen verstehen und der sie vertrauen können, und deren Vorteile breit in der Gesellschaft ankommen.

Berlin ist seit Mittwoch dran. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) trat am 29. Juli in Kraft und macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde für KI in Deutschland.

Der Praxis-Check fällt gemischt aus. Claude ist auf Microsoft Foundry allgemein verfügbar, aber ohne EU-Datenresidenz: Die Verarbeitung bleibt US-basiert, egal in welcher Azure-Region gehostet wird. Alistair Doran, Head of Digital Product Management bei BDO, und Jiri Forman, Leiter Transformation bei CETIN, kritisieren das öffentlich. Claude Code selbst erreicht EU-Regionen über Bedrock- und Vertex-Flags.

Und Amodei zieht eine andere Linie. Anthropic veröffentlicht am 27. Juli eine Position zu Open-Weights-Modellen, die vor allem klarstellt, was das Haus nicht fordert: kein Verbot dieser Modellklasse. „Open-weights models that don’t have dangerous capabilities are a public good“, schreibt Dario Amodei, offene Modelle ohne gefährliche Fähigkeiten seien ein öffentliches Gut. Als Bedrohung benennt er nicht einzelne chinesische Modelle, sondern autoritäre Regierungen, allen voran die chinesische Führung. Seine Instrumente: Exportkontrollen für leistungsfähige Chips und Fertigungsanlagen, härteres Vorgehen gegen Distillation im industriellen Maßstab, verpflichtende Sicherheitstests für alle hinreichend fähigen Modelle, offen wie geschlossen. Protektionistische Verbote, schreibt er, adressierten seine ernstesten Sicherheitsbedenken gerade nicht.

Warum das relevant ist: Zwei Antworten auf dieselbe Frage, an entgegengesetzten Enden der Kette. Brüssel reguliert die Ausgabe und verlangt Kennzeichnung, Washington soll nach Amodeis Vorstellung die Eingabe regulieren und Chips wie Tests kontrollieren. Für europäische Teams ist kurzfristig die Ausgabe die Arbeit: Wer Chatbots betreibt oder die genannten generierten Inhalte veröffentlicht, muss die seit Sonntag geltenden Transparenzpflichten umsetzen.

Claude Code: Die Highlights der Woche

Für alle, die eigene Skills und Subagenten bauen

Anthropic schreibt die Regeln für Context Engineering neu: Thariq Shihipar, Member of Technical Staff, legt am 24. Juli sechs Prinzipien für die Claude-5-Generation vor. Die interessantesten: Urteilsvermögen geben statt Regeln vorschreiben, Interfaces entwerfen statt Beispiele liefern, Progressive Disclosure (Kontext erst laden, wenn er gebraucht wird), automatisches Memory statt handgepflegter CLAUDE.md, und Code und Tests als Spezifikation.
/doctor schlägt jetzt vor, Skills und CLAUDE.md zu verschlanken: aus der Setup-Diagnose wird ein Werkzeug gegen aufgeblähten Kontext.

Für MCP-Workflows

Die MCP-Spezifikation 2026-07-28 ist der größte Umbau seit dem Start: Das Kernprotokoll wird zustandslos, initialize/initialized und der Mcp-Session-Id-Header entfallen, jede Anfrage beschreibt sich selbst. Methoden- und Tool-Namen wandern in HTTP-Header, damit Gateways routen und autorisieren können, ohne den JSON-Body zu lesen. Die Autorisierung härtet nach, und Tasks, MCP Apps und Enterprise Managed Authorization werden formale Extensions statt Kernprotokoll. Es gibt Breaking Changes, aber ein Mindestfenster von zwölf Monaten für Abkündigungen; alle vier Tier-1-SDKs unterstützen die Fassung bereits.

Agentic Coding

Amp tauscht das Standardmodell aus, und niemand beschwert sich. Sourcegraphs Coding-Agent stellte den Default von Claude Opus 4.8 auf GPT-5.6 Sol um. Der Anteil neuer Threads im teuren smart-Modus fiel zwischen 8. und 16. Juli von 55 % auf nahezu null, laut Amp ohne eine einzige Beschwerde; 69 % der Nutzer haben die Voreinstellung nie angefasst. Die Hausthese dazu: Aufgabenschwierigkeit, Kontextqualität und Review-Disziplin entscheiden mehr als die Modellwahl.
Copilot sammelt Modelle und macht Agent Skills ernst. Opus 5 kam am 24. Juli in den Modell-Picker, Grok 4.5 am 28. Juli. Am 29. Juli wurden Agent Skills und MCP-Support im Copilot-Code-Review allgemein verfügbar, seit dem 31. Juli können Enterprises Modell-Richtlinien auf Team-Ebene setzen (Public Preview).
Cursor testet regionale Preise. „Cursor Start“ ist ein Plan speziell für Indien: 649 ₹ im Monat inklusive Steuern, Zahlung per UPI, mit Grok 4.5 (fest auf mittlerer Effort-Stufe), Composer, dauerhaft laufenden Cloud-Agenten und iOS-App. Einen Tag später kommt Cursor für iPad auf alle Bezahl-Pläne, mit vollständiger PR-Review-Oberfläche.
Codex und Antigravity liefern im Wochentakt. Codex v0.146.0 bringt Thread-Benennung, Agent-Plugins, paginierte Fork-Historie und Proxy-Routing. Googles Antigravity CLI kommt in drei Releases von v1.1.7 auf v1.1.9: MCP-OAuth-Fixes, JSON- und stream-json-Ausgabe für Headless-Läufe, Slash-Command-Expansion und Hintergrund-Laden von MCP-Servern.

Die Modellwahl wird zur Betriebsentscheidung

Zwei technische Einordnungen landen in derselben Woche und ziehen in dieselbe Richtung.

Die Architektur. Sebastian Raschka seziert am 28. Juli Kimi K3: 2,8 Billionen Parameter, damit derzeit das mit Abstand größte offen verfügbare Modell. Interessanter als die Größe sind zwei Entscheidungen.

LatentMoE komprimiert die großen linearen Schichten, dieselbe Idee, die auch Nemotron 3 Ultra verwendet. Und das Modell verzichtet vollständig auf RoPE, die übliche Kodierung von Positionsinformationen; Raschka hält es für das erste Modell dieser Leistungsklasse ohne jede Positionskodierung.

Vereinfacht gesagt wurden zwei Tricks eingebaut, damit das Modell effizienter arbeitet:

LatentMoE komprimiert große Rechenschritte: Statt riesige Datenmengen unverändert durch bestimmte Modellteile zu schicken, werden sie zunächst in eine kompaktere Form gebracht. Dadurch benötigt das Modell weniger Rechenleistung und Speicher – ähnlich wie bei einer komprimierten Datei, nur innerhalb des neuronalen Netzes.
Kein RoPE: Ein Sprachmodell muss wissen, an welcher Stelle eines Textes sich ein Wort befindet. Sonst wären „Der Hund jagt die Katze“ und „Die Katze jagt den Hund“ kaum auseinanderzuhalten. Viele Modelle verwenden dafür RoPE – eine verbreitete mathematische Methode, die jedem Wort eine Art Positionssignal mitgibt. Dieses Modell verzichtet darauf und nutzt einen anderen Mechanismus, um Reihenfolge und Zusammenhänge zu erkennen.

Die Stoßrichtung ist Inferenz-Effizienz, nicht der nächste Benchmark-Rekord.

Das Preisblatt. Artificial Analysis misst DeepSeek V4 Flash 0731 bei 0,14 $ Eingabe und 0,28 $ Ausgabe je Million Tokens; im Intelligence Index unter den offen verfügbaren Modellen liegt es auf Platz 3 von 101, beim Preis-Ranking dagegen nur auf Platz 22. Mit einem Haken: Über den eigenen Index erzeugte das Modell 210 Mio. Ausgabe-Tokens gegenüber 100 Mio. im Median. Es ist ausgesprochen redselig, und ein Teil des Preisvorteils verschwindet damit wieder in der Rechnung.

Zusammen mit dem Modellwechsel bei Amp oben ergibt das eine Verschiebung gegenüber den Kostenmessungen aus #015: Damals wurde nachgerechnet, diesmal handelt ein Anbieter danach und tauscht das Modell im laufenden Betrieb aus, ohne dass es jemandem auffällt. Die Frage ist nicht mehr, welches Modell das beste ist, sondern wie viele Tokens ein bestimmtes Modell für eine bestimmte Aufgabe braucht. Diese Zahl steht auf keinem Preisblatt.

Tipp der Woche

Katie Parrott beschreibt bei Every am 28. Juli, wie das Team seinen Umgang mit Opus 5 umgestellt hat, nachdem die erste Einschätzung deutlich kritischer ausgefallen war. Der nützlichste Begriff daraus stammt vom KI-Strategen Drew Breunig: Prompt Debt, also Anweisungen, die das Modell überleben, für das sie geschrieben wurden.

Bei Every sorgte ein veraltetes Übergabe-Kommando in den eigenen Workflows dafür, dass Opus 5 unnötig anhielt. Der Rat: den vollständigen Auftrag in den ersten Prompt legen, das Modell laufen lassen und am Ende das Ergebnis bewerten, statt über viele Zwischenfragen zu steuern.

Warum das hier steht: Wer gerade auf Opus 5 umgestellt hat und das Modell als anstrengender erlebt, sucht den Fehler meist im Prompt. Die produktivere Frage ist, welche der eigenen Skills, Hooks und Slash-Befehle für ein Modell geschrieben wurden, das es so nicht mehr gibt.

Kurz notiert

Nvidia investiert in Ilya Sutskevers Safe Superintelligence: TechCrunch spricht von einem Betrag in Milliardenhöhe, Bloomberg nennt 5 Mrd. $, dazu Zugang zur Vera-Rubin-Plattform. SSI wurde zuletzt im Februar 2025 mit 32 Mrd. $ bewertet und hat bis heute kein Produkt veröffentlicht.
Google DeepMind löst sein AlphaFold-Team auf: laut Financial Times hat fast ein Viertel der ursprünglichen Paper-Autoren das Unternehmen verlassen, darunter John Jumper, Jonas Adler und Alexander Pritzel Richtung Anthropic; die übrigen gingen intern zu Gemini, Enzym-Design, Fusion und Genomik oder zu Isomorphic Labs. Pushmeet Kohli, VP Research bei Google DeepMind, dazu nur: „The strategy has evolved.“
Der Bun-Rust-Rewrite steht seit elf Wochen ohne Release: der letzte Tag war v1.3.14 am 12. Mai, und die offenen Pull Requests des Rewrite-Bots stiegen zwischen dem 9. und dem 27. Juli von 1.277 auf 2.475. Tom Lockwood hält die kolportierten 165.000 $ Gesamtkosten für deutlich unvollständig.
Leonardo DRS kauft Raft für 450 Mio. $: die US-Tochter des italienischen Rüstungskonzerns übernimmt eine Firma für KI- und Missions-Software.

Quellen

Die große Nachricht der Woche: Anthropic: Investigating three real-world incidents · TechCrunch · CNBC · the-decoder.de · Hugging Face: Anatomy of a Frontier Lab Agent Intrusion · Tailscale: Tailscale didn’t stop the Hugging Face intrusion

Die fünfte Sicherheitswoche in Folge: Unit 42: Autonomous AI cyber attack campaign · The Hacker News: Chinese hacker commands DeepSeek via Telegram · The Hacker News: Microsoft Copilot for Word can copy hidden prompts · CSO Online: Copilot worm · Manifold Security: Azure DevOps MCP Server Vulnerability

Wer die Regeln setzt: Handelsblatt: Wer jetzt KI-Generiertes labeln muss · AP via ABC News: EU to crack down on AI deepfakes · BMDS: Neues KI-Gesetz tritt in Kraft · InfoQ: Claude reaches GA on Microsoft Foundry · Anthropic: Our position on open-weights models · TechCrunch: Amodei on open-weight models

Claude Code: Claude: The new rules of context engineering · MCP Blog: The 2026-07-28 Specification · Claude Code Changelog

Agentic Coding: Amp: Who Cares About the Model? · GitHub Changelog · Cursor Changelog · Codex Changelog · Antigravity CLI Releases

Trend der Woche: Sebastian Raschka: Kimi K3 Architecture Overview · Artificial Analysis: DeepSeek V4 Flash

Tipp der Woche: Every: Taming Opus 5

Kurz notiert: TechCrunch: Safe Superintelligence partners with Nvidia · the-decoder.com: DeepMind dismantles its AlphaFold team · lockwood.dev: How is the Bun rewrite in Rust going? · GlobeNewswire: Leonardo DRS to acquire Raft

Das war Agentic Weekly #017.

Agentic Weekly erscheint wöchentlich auf LinkedIn und hier. Noch kein Abo? Jede Woche die vollständige Ausgabe mit allen Quellen: Agentic Weekly auf LinkedIn abonnieren oder per RSS-Feed

Alle Ausgaben · Redaktion: Martin Gross