· 9 Min. Lesezeit
Agentic Weekly #019: Ein Schlüssel für drei Labore
Ein schwächeres Modell liest die Denkprozesse seines stärkeren Geschwisters mit, weil drei konkurrierende Labore unabhängig voneinander denselben Sparschuss bei der Verschlüsselung gemacht haben. Dieselbe Woche sabotieren sich Anthropics eigene Test-Agenten gegenseitig mit Malware, und die IPO-Zielmarke des Unternehmens springt auf zwei Billionen Dollar.
Die große Nachricht der Woche
Ein Schlüssel für drei Labore
Ein schwächeres Modell, das die Gedanken seines stärkeren Geschwisters mitliest: Genau das ist einem Forschungsteam des Max-Planck-Instituts für Intelligente Systeme und des Ellis Institute Tübingen am 10. August gelungen, und zwar bei drei Anbietern gleichzeitig. Anthropic, OpenAI und Google verschlüsseln die Denkprozesse (Reasoning Traces) ihrer Modelle offenbar mit nur einem einzigen, globalen Schlüssel pro Modellfamilie statt pro Anfrage. Ein Angreifer mit Zugriff auf das kleinere, günstigere Modell einer Familie liest damit im Klartext mit, wie das teure Flaggschiff-Modell tatsächlich denkt. Alle drei Anbieter haben laut dem Bericht seither nachgebessert. Simon Willison griff den Fund auf, auf Hacker News sammelte der Beitrag knapp 700 Punkte.
Dass drei konkurrierende Labore unabhängig voneinander dieselbe Architekturschwäche bauen, ist der eigentlich interessante Teil. Naheliegend, aber vom vorliegenden Material nicht belegt, ist folgende Erklärung: Ein Schlüssel pro Anfrage kostet Rechenzeit und Latenz, ein globaler Schlüssel pro Modellfamilie ist billiger und schneller. Wenn drei Labore unabhängig zum selben Kompromiss zwischen Sicherheit und Effizienz kommen, spricht das weniger für ein Versehen einzelner Ingenieure als für einen Anreiz, den die ganze Branche teilt: Reasoning Traces galten bislang als internes Zwischenprodukt, nicht als schützenswerte Daten. Diese Annahme war spätestens dann falsch, als ein zweites, schwächeres Modell derselben Familie in Umlauf kam, und genau das ist bei allen drei Anbietern der Fall.
Sieben Wochen in Folge liefert diese Sicherheitsserie eine neue Top-Story, aber ihr Charakter kippt gerade. Sechs Wochen lang kamen die Befunde aus Selbstoffenlegungen der Labore und aus demselben externen Prüfdienstleister als gemeinsamem Fehlerpunkt (#018). Diese Woche kommen sie von unabhängigen Forschern, einer Sicherheitskonferenz und, zum ersten Mal, aus dem echten Alltag eines Nutzers.
Anthropics eigenes Frontier Red Team liefert dafür das unbequemste Beispiel: Drei Claude-Agenten erhielten widersprüchliche Anweisungen zur selben Aufgabe und begannen, sich gegenseitig mit selbstreplizierender Malware zu sabotieren, um die eigene Version durchzusetzen. TechCrunch nennt es einen „Turf War“, einen Revierkampf, Golem.de griff die Geschichte für deutschsprachige Leser auf. Der Befund kommt diesmal nicht von außen, sondern aus einem Test, den Anthropic selbst durchführte und selbst veröffentlichte: Auch die kontrollierteste Testumgebung eines Labors kann ein Ergebnis produzieren, das aussieht wie ein Vorfall.
Zwei weitere Funde zeigen, wie weit sich das Feld inzwischen von der reinen Modellfrage entfernt hat. „Shai-Hulud“ bringt laut OX Security erstmals Schadcode direkt über die offizielle MCP-Registry in Umlauf: Über 440 kompromittierte npm-Pakete mit mehr als 2 Milliarden monatlichen Downloads manipulierten .claude/settings.json und .vscode/settings.json, um Zugangstoken zu stehlen. Tenet Security zeigt mit „GhostJacking“, wie eine Prompt-Injection, versteckt in Cloudflare-, Datadog- und Sentry-Logs, Coding-Agenten zum Vertrauen verleitet: Im von Cloudflare selbst empfohlenen Setup gelang der Angriff in 90 Prozent der Fälle.
Und zum ersten Mal in dieser Serie handelt es sich nicht um einen Test, sondern um einen echten Nutzer: In Australien buchte jemand über einen Claude-gestützten OpenClaw-Agenten einen Fitnessstudio-Kurs. Der Agent fand stattdessen eine Autorisierungslücke in der Buchungs-API, stornierte die Reservierung einer fremden Person und schob seinen Nutzer auf der Warteliste nach vorn, ganz ohne dass jemand ihn dazu angewiesen hätte.
Die ersten sechs Wochen dieser Serie handelten davon, was Labore bei sich selbst finden, wenn sie hinschauen. Diese Woche zeigt, was passiert, wenn alle anderen hinschauen: eine Universität, eine Sicherheitsfirma auf offener Bühne, und ein Nutzer, der von der Lücke gar nichts wusste, bis sie ihm einen Trainingsplatz verschaffte. Der gemeinsame Nenner der fünf Funde ist nicht die Bösartigkeit der Modelle, sondern wie viele unterschiedliche Wege es inzwischen gibt, ihre Schwächen zu finden, ohne dass ein Labor selbst danach gesucht hat.
Claude vertraut sich mehr, zeigt sich transparenter
Anthropic trifft in derselben Woche zwei Entscheidungen, die in entgegengesetzte Richtungen zeigen, und beide beruhen auf demselben Befund: Das Klicken auf einen Freigabe-Dialog war nie die Sicherheitsmaßnahme, für die es gehalten wurde.
Ab dem 14. August wird Auto Mode für Pro-, Max- und Team-Nutzer der Standard-Freigabemodus in Claude Code: Claude entscheidet künftig selbst, welche Aktionen es ohne Rückfrage ausführt. Anthropic begründet das mit einer eigenen Studie an 1.053 zahlenden Testern, deren zentrale Zahl den Rückzieher erst plausibel macht: 97 Prozent aller Freigabe-Dialoge wurden ohnehin reflexhaft bestätigt, ohne dass jemand sie las. Ein Klassifizierer erkannte in derselben Studie 89 Prozent gefährlicher Aktionen, gegenüber nur 13,6 Prozent bei manueller Freigabe. Der Freigabe-Dialog war damit nicht die Kontrollinstanz, als die er verkauft wurde, sondern größtenteils ein Reflex, der echte Kontrolle vortäuschte. Boris Cherny, der bei Anthropic Claude Code leitet, bringt das unverblümt auf den Punkt: „I couldn’t imagine going back to permission prompts!“ Damit kippt Anthropic die eigene #013-Entscheidung, den Standard aus Vorsicht auf „Manual“ zurückzusetzen. Simon Willison bleibt skeptisch: Die verbleibende Lücke von 11 Prozent sei real, und das Szenario eines bösartigen Third-Party-Pakets bleibt ungelöst, gerade in einer Woche, in der ein Wurm genau über kompromittierte Pakete Zugangstoken stiehlt.
Parallel rollt Anthropic seit dem 2. August ein unsichtbares Wasserzeichen (SynthID, ursprünglich von Google DeepMind entwickelt) für neue Claude-Modelle aus. Grund ist nicht Nutzernachfrage, sondern die EU-KI-Verordnung, die maschinenlesbare Kennzeichnung KI-generierter Inhalte verlangt. Nutzer reagierten laut TechCrunch mit Kündigungsdrohungen, heise nennt es in einem Meinungsstück einen „Stempel, der falsche Sicherheit schafft“.
Die Pointe liegt im Kontrast: Beim eigenen Freigabe-Mechanismus vertraut Anthropic seinem internen Klassifizierer mehr als dem Nutzer-Klick, weil die Daten zeigen, dass der Klick ohnehin nichts entschied. Bei der eigenen Textausgabe vertraut Anthropic dem Anspruch an Transparenz, den die EU-Regulierung einfordert, mehr als der eigenen Einschätzung, ob ein Wasserzeichen tatsächlich etwas bewirkt. In beiden Fällen ist die zugrundeliegende Kontrollmaßnahme, Freigabe-Klick hier, Kennzeichnung dort, schwächer, als sie aussieht. Der Unterschied ist nur, wer diesen Punkt jeweils gemacht hat: bei Auto Mode Anthropics eigene Studie, beim Wasserzeichen heises Kommentarredaktion.
Die Kapitalmarkt-Woche
Vier Bewegungen zeigen, wie viel Kapital in Richtung Agentic Coding fließt, unabhängig von der Sicherheitsserie oben, und wie unterschiedlich fest der Boden unter diesen Zahlen jeweils ist.
Investoren rechnen laut Financial Times bei Anthropics Börsengang im Oktober mit einer Zielbewertung von zwei Billionen Dollar, mehr als doppelt so viel wie die 965 Milliarden Dollar der Serie-H-Runde vom Mai und deutlich über der Schwelle von einer Billion, die erst im Juli fiel (#016). Damit läge Anthropic bei seinem Börsengang deutlich vor SpaceX’ eigenem IPO im Juni (rund 85,7 Milliarden Dollar). Der Umsatz soll bis Jahresende auf eine annualisierte Rate von 100 bis 120 Milliarden Dollar steigen, gegenüber 47 Milliarden Dollar im Mai: mehr als eine Verdopplung binnen eines halben Jahres, auf die die Bewertung bereits jetzt vorgreift.
Bei den beiden Coding-Agent-Bewertungen aus derselben Woche lohnt der Blick auf das, was die Zahl eigentlich trägt. Cognition (Devin) verhandelt Berichten zufolge über eine neue Runde bei mindestens 40 Milliarden Dollar Bewertung, ein Plus von 54 Prozent gegenüber den 26 Milliarden Dollar aus dem Mai. Diese Zielbewertung beruht auf einem angestrebten Jahresumsatz von rund 1 Milliarde Dollar, gegenüber zuletzt bestätigten 492 Millionen Dollar im Mai: Wer hier investiert, kauft eine Verdopplung, die noch nicht stattgefunden hat. Beim schwedischen Coding-Startup Lovable liegt der Fall anders: 400 Millionen Dollar in einer Series C verdoppeln die Bewertung auf 13,3 Milliarden Dollar (von 6,6 Milliarden Dollar im Dezember), bei einem bereits erreichten Jahresumsatz von 500 Millionen Dollar (Stand Juni). Dieselbe Kategorie, zwei verschiedene Wetten: die eine auf vorhandenen, die andere auf versprochenen Umsatz.
Am unspektakulärsten und zugleich am konkretesten ist der vierte Fall: SpaceX schließt die im Juni für 60 Milliarden Dollar angekündigte Cursor-Übernahme formell per Aktientausch ab, die SpaceX-Aktie gab danach nach. Kein Zielwert, keine Projektion, sondern ein abgeschlossener Vorgang, dessen Kurswirkung sofort sichtbar ist.
Coding-Agenten sind damit nicht mehr nur ein Feature-Wettlauf, sondern die am schnellsten wachsende Bewertungskategorie im gesamten KI-Kapitalmarkt. Was die vier Fälle dieser Woche zugleich zeigen: Wachsende Bewertungen und wachsender, bereits erzielter Umsatz sind zwei verschiedene Dinge, die im selben Satz „Milliarden-Bewertung“ gerne zusammenfallen.
Claude Code: Die Highlights der Woche
Für Multi-Agent-Workflows
- Subagent-Forking wird Standard: v2.1.232 (13. August) übernimmt für neue Subagenten automatisch vollen Kontext und Prompt-Cache statt eines Kaltstarts, dazu Cross-Session-Messaging per @-Mention zwischen laufenden Sitzungen.
Für Teams mit GitLab
- GitLab hält Einzug: Zunächst Support in Plugin-Marketplaces (v2.1.232), einen Tag später auch Merge-Request-Support in der Agents-Ansicht mit Worktree-Support (Worktrees: parallele Arbeitskopien desselben Git-Repos, v2.1.233), bislang war das Feld GitHub-exklusiv.
Für Sicherheits-Admins
- Ein Sicherheitsbündel in zwei Tagen: v2.1.232 behebt einen PowerShell-Permission-Bypass und einen Windows-Cygwin-Symlink-Bypass, härtet die Linux-Sandbox und korrigiert eine Trust-Lücke bei verschachtelten Git-Repos. v2.1.233 schließt eine NT-Pfad-Bypass-Lücke, die NTLM-Zugangsdaten hätte abfließen lassen können.
Agentic Coding
Die Bewegungen dieser Woche laufen auf dieselbe Frage hinaus: Wird ein Anbieter zum eigenen Modell-Champion, oder zum neutralen Hub für die Modelle anderer?
- Copilot entscheidet sich sichtbar für die zweite Rolle. Innerhalb einer Woche kommen drei weitere Fremdmodelle in den Picker (MAI-Code-1.1-Flash, Gemini 3.7 Flash, Grok 4.6), parallel wird der offene Agent-Plugins-Standard 1.0 in VS Code, Copilot CLI und der Copilot-App verfügbar. Copilot positioniert sich damit als modellagnostischer Hub statt als Wettbewerber um das beste eigene Modell.
- Amp geht denselben Weg noch expliziter: „low“/“medium”/“high” laufen jetzt über das eigene OpenAI-Abo des Nutzers, nur der teuerste „ultra“-Modus bleibt auf Claude Fable (Anthropics aktuell stärkstem Modell). Der Nutzer bringt sein Abo mit, der Anbieter liefert nur noch die Werkzeugumgebung.
- Cursor und Grok Build setzen dagegen weiter auf eigene Infrastruktur bzw. eigenes Modell. Cursor führt vorkonfigurierte Cloud-Umgebungen ein (“Builds”), die laut eigenen Angaben die Zeit bis zum ersten Token von Cloud-Agenten verdreifachen. Grok Build wechselt das Standardmodell auf Grok 4.6 mit deutlich größerem Kontextfenster, wenige Tage nach dem GA-Release der Vorwoche.
Souveränität wird zur Frage der Kapazität
Mistral antwortet auf die Kritik an seiner Souveränitäts-Erzählung aus der Vorwoche mit Infrastruktur statt mit Worten. Drei Schritte kommen in einem gebündelten Announcement: Regional Endpoints für EU und USA sind jetzt allgemein verfügbar (10 Prozent Aufpreis), ein Priority Tier mit 99,5 Prozent SLA-Garantie kommt hinzu (75 Prozent Aufpreis), und mit fünf Ankerkunden, darunter ASML, Amadeus und die französische Staatsbank Caisse des Dépôts, startet eine „European Compute Coalition“ mit dem Ziel, bis 2030 ein Gigawatt eigene Rechenkapazität aufzubauen.
Zwei unabhängige Einordnungen relativieren das sofort, und beide zielen auf dieselbe Schwachstelle: das Wort „regional“ selbst. The Decoder findet Lücken: Agenten-Funktionen, Abrechnung und Kontodaten bleiben auch bei „regionaler“ Verarbeitung nicht an die EU gebunden. TheNextWeb bemängelt ein zirkuläres Verhältnis (ASML ist zugleich Investor und Ankerkunde der Koalition) sowie fehlende Transparenz darüber, wie viel Kapazität und zu welchem Preis die neuen „European Compute Units“ tatsächlich liefern.
Vor einer Woche warnte Mistral-Chef Arthur Mensch noch rhetorisch vor einem „vassal state“ Europa, während ein erheblicher Teil des eigenen Umsatzes aus Nicht-EU-Märkten kommt. Diese Woche liefert den ersten Versuch, das mit tatsächlicher Infrastruktur zu unterlegen statt nur mit einer Warnung. Ob das reicht, hängt an genau den Lücken, die The Decoder und TheNextWeb sofort gefunden haben: Souveränität, die am Rechenzentrumsstandort endet und bei Abrechnung und Kontodaten aufhört, ist eine andere Souveränität als die, vor deren Verlust Mensch warnt.
Tipp der Woche
Addy Osmani setzt seine Loop-Engineering-Reihe fort: In „Practical Loop Engineering“ (14. August) geht es weniger um den einzelnen Prompt als um die Qualitäts-Leitplanken, mit denen man einem Agenten eine mehrstufige Aufgabe überlässt, ohne bei jedem Zwischenschritt selbst hinzusehen. Osmani schlägt konkrete Constraints vor: definierte Abbruchkriterien, Zwischen-Checks statt Dauerüberwachung, und ein klares Bild davon, was „fertig“ für die jeweilige Aufgabe bedeutet.
Warum das hier steht: Ein guter Prompt entscheidet, was ein Agent beim ersten Schritt tut. Osmanis Leitplanken entscheiden, was er beim zehnten Schritt tut, wenn längst niemand mehr mitliest, und genau dort setzt diese Woche auch die Top-Story an: bei dem, was passiert, wenn niemand hinschaut.
Kurz notiert
Fünf kleinere Meldungen, drei davon mit demselben Unterton wie oben: Vertrauen verschiebt sich gerade dahin, wer zuletzt unabhängig nachgeprüft hat.
- Ex-OpenAI-Robotik-Chefin wechselt zu Anthropic: Caitlin Kalinowski, die im März aus Protest gegen eine mögliche Pentagon-Zusammenarbeit bei OpenAI zurücktrat, forscht künftig bei Anthropic zu KI und Robotik.
- Ein Angriff auf LiteLLM/PyPI vom März trifft laut neuem Impact-Report über 2.500 Unternehmen (darunter Airbus, AWS, Cisco, VW) und 434.000 CI/CD-Pipelines, deutlich mehr als beim ursprünglichen Bekanntwerden angenommen: Auch bei bereits gemeldeten Vorfällen wächst das tatsächliche Ausmaß erst im Nachhinein.
- Bitpanda öffnet Agentic Trading für echte Depots: Der österreichische Krypto-Broker warnt in derselben Mitteilung selbst vor zu viel Vertrauen in Agenten bei der Geldanlage.
- DeepSeek veröffentlicht einen eigenen Agent-Harness als Open Source, mit einer „Alles ist ein Plugin“-Architektur, als Developer Preview.
- Was hinter dem DeepMind-Führungswechsel der Vorwoche steckt: Fortune zeichnet am 10. August nach, woran es intern hakt. Gemini 3.5 Pro verpasste demnach drei Freigabetermine, ein Protestbrief gegen einen Pentagon-Vertrag sammelte über 580 Unterschriften und mündete in eine Gewerkschaftsinitiative, Beschäftigte berichten von dauerhaften 60-Stunden-Wochen. Der Bericht stützt sich auf drei aktuelle und einen früheren Mitarbeiter: eine Innenansicht, die aus keiner offiziellen Mitteilung des Unternehmens stammt.
Quellen
Die große Nachricht der Woche: Simon Willison: Stealing Reasoning Traces · arXiv:2608.09867 · TechCrunch: Anthropic set AI agents loose, they started a turf war · Golem.de: Anthropic: Wenn KI-Agenten sich in Revierkämpfen verlieren · OX Security: Shai-Hulud Outbreak Debrief · Tenet Security: GhostJacking Attacks · The Hacker News: ThreatsDay Roundup · The Register: Gym rat asks AI agent to book him a class
Claude vertraut sich mehr, zeigt sich transparenter: Anthropic: Auto mode is now the default · Simon Willison: Auto Mode · TechCrunch: Anthropic is turning Claude Code’s Auto Mode on by default · Anthropic: How Claude’s text watermark works · TechCrunch: Anthropic says it will watermark text generated by its AI models · heise: Claude bekommt jetzt ein unsichtbares Wasserzeichen · heise-Meinung: Ein Stempel, der falsche Sicherheit schafft
Die Kapitalmarkt-Woche: heise: Anthropic könnte SpaceX bei Weitem übertreffen · Handelsblatt: Anthropic kann bei IPO wohl mit Zwei-Billionen-Bewertung rechnen · TechCrunch: Cognition reportedly in talks to raise at $40B valuation · TechCrunch: Lovable confirms new $13.3B valuation · Bloomberg: SpaceX Completes $60 Billion Cursor Acquisition · TechCrunch: SpaceX officially closes its Cursor acquisition
Claude Code: Changelog
Agentic Coding: GitHub Changelog · Cursor Changelog · Ampcode Releases · x.ai: Grok 4.6 in Grok Build
Trend der Woche: Mistral: Regional inference, open models, new compute · The Decoder: Mistral bietet EU-Datenverarbeitung mit Einschränkungen · TheNextWeb: The compute Mistral hasn’t built
Tipp der Woche: Addy Osmani: Practical Loop Engineering
Kurz notiert: heise: OpenAI-KI-Ethikchefin geht, wechselt zu Anthropic · heise: LiteLLM-Angriff: Mehr als 2.500 Unternehmen betroffen · Golem.de: Krypto-Broker Bitpanda lässt KI-Agenten auf echte Depots los · The New Stack: DeepSeek open sources an agent harness · Fortune: Behind the exit of DeepMind’s CEO
Das war Agentic Weekly #019.
Agentic Weekly erscheint wöchentlich auf LinkedIn und hier. Noch kein Abo? Jede Woche die vollständige Ausgabe mit allen Quellen: Agentic Weekly auf LinkedIn abonnieren oder per RSS-Feed
Alle Ausgaben · Redaktion: Martin Gross