Agentic Weekly #020: Drei Deals, und keiner kauft ein Modell

Die große Nachricht der Woche

Die Mautstelle, die Chip-Effizienz, die Trainings-Fabrik

Im Investorenbrief steht ein Satz, der vor allem klarstellt, was der Deal nicht ist: „not an acquisition and it is not an acquihire“, weder Übernahme noch Kauf eines Teams. Nvidia vereinbart mit dem Coding-Startup Poolside am 21. August eine Lizenzgebühr von 6 Milliarden Dollar, macht 109 Beschäftigten ein Jobangebot und investiert bis zu 1 Milliarde Dollar. Eine Firma kauft es trotzdem nicht.

Das ist kein juristischer Sonderfall, sondern das Muster der Woche. Wer in diesen acht Tagen Milliarden für KI zusagte oder darüber verhandelte, zielte nicht auf ein fertiges Modell. Es ging um die Schicht darunter: die Verteilung der Anfragen, die Ausnutzung der Chips, die Fabrik, in der Modelle entstehen. Drei Deals kommen auf ein mögliches Volumen von über 20 Milliarden Dollar, und in keinem davon steht der Kauf eines Sprachmodells im Mittelpunkt.

Stripe will die Mautstelle kaufen. Am 19. August bestätigt der Zahlungsdienstleister, was Bloomberg drei Tage zuvor gemeldet hatte: Stripe hat die Übernahme von OpenRouter vereinbart, laut Bloomberg für über 7 Milliarden Dollar. Stripe selbst nennt keinen Kaufpreis; der Abschluss steht noch unter den üblichen Bedingungen. OpenRouter verteilt Anfragen über mehr als 400 Modelle von über 80 Anbietern und wählt dabei nach Aufgabenkomplexität, Preis, Tempo und Zuverlässigkeit aus. Im Mai bewertete eine Series-B-Runde das Unternehmen noch mit 1,3 Milliarden Dollar: das gut Fünffache binnen drei Monaten. Stripe-Chef Patrick Collison nennt Tokens „the central currency for companies building with AI“, die zentrale Währung für Unternehmen, die mit KI bauen. Ein Zahlungsanbieter will die Abrechnungsstelle dieser Währung kaufen.

Anthropic verhandelt über Chip-Effizienz, obwohl Nvidia mehr geboten haben soll. Seit dem 13. August verhandelt Anthropic laut Bloomberg über die Übernahme des israelischen Startups Decart, je nach Bericht für 6 bis 7 Milliarden Dollar. Käme sie zustande, wäre es die größte bekannte Akquisition der Firmengeschichte. Decart baut Software, die mehr Leistung aus vorhandenen KI-Chips holt; das Team soll in Anthropics Inferenz- und Performance-Organisation aufgehen. Der interessante Teil steht bei Calcalist: Nvidia verhandelte bereits fortgeschritten und bot nach diesen Angaben sogar mehr, doch Gründer und Großinvestor Sequoia Capital entschieden sich für Anthropic. Eine Vereinbarung war zum Berichtszeitpunkt noch nicht unterschrieben; dazu könnte es im September kommen, in zeitlicher Nähe zu Anthropics erwartetem Börsengang.

Nvidia kauft alles außer der Firma. Die 6 Milliarden Dollar gelten Poolsides „Model Factory“, also der Pipeline, mit der das Startup seine Modelle trainiert; das Investment bewertet Poolside vor dem Einstieg mit 12 Milliarden Dollar, die drei Gründer bleiben. The Decoder ordnet die Konstruktion in eine Reihe mit Nvidias Abmachungen mit Groq und Enfabrica ein: Technik, Wissen und Personal binden, ohne ein Unternehmen zu kaufen und die Prüfungen auszulösen, die einem Kauf folgen können.

Was die drei verbindet, ist nicht die Summe, sondern der Gegenstand. Routing senkt die Kosten pro Anfrage, Chip-Effizienz die Kosten pro Token, eine Model Factory die Kosten pro Modell. Zusammengenommen lassen sich die Deals als Korrektur einer Annahme lesen, die die Branche zwei Jahre lang geteilt hat: dass sich das Rennen allein an der Modellqualität entscheidet.

Es gibt eine nüchternere Lesart, und sie stützt sich auf dieselben Fakten. Die Decart-Vereinbarung könnte im September unterschrieben werden, in zeitlicher Nähe zu Anthropics erwartetem Börsengang. Nvidias Poolside-Konstruktion ist ausdrücklich kein Zusammenschluss und vermeidet damit Prüfungen, die einem Kauf folgen könnten. Statt einer gemeinsamen strategischen Einsicht wären das zwei getrennte Motive: Bilanz-Timing hier, regulatorische Rücksicht dort. Für Nvidia ist die gewählte Konstruktion belegt; beim Decart-Zeitpunkt bleibt es ein Umstand ohne Motiv-Beleg. Was ohne Deutung stehen bleibt, ist die Auffälligkeit selbst: dreimal Milliarden für Infrastruktur rund um Modelle, keinmal für ein fertiges Sprachmodell.

Nvidia kommt in zwei der drei Deals vor und verliert den einen womöglich: Bei Decart bot es laut Calcalist mehr, doch Gründer und Investor entschieden sich für Anthropic. Fünf Tage später sicherte Nvidia sich bei Poolside Technik und Personal, ohne die Firma zu übernehmen.

Anthropic gibt nach, wo es zahlende Kunden hat

Anthropic plant, eine unpopuläre Regel zu ändern, und hält an einer zweiten fest, gegen ähnlich lauten Protest. Der Unterschied liegt nicht im Gegenstand, sondern darin, wer den Druck ausübt: im ersten Fall Kunden mit Verträgen, im zweiten Kritiker mit Argumenten.

Geändert werden soll die Datenspeicherpflicht vom Juni. Damals legte Anthropic fest, Ein- und Ausgaben bestimmter besonders leistungsfähiger „covered models“, darunter Mythos 5 und Fable 5, 30 Tage lang in seiner Infrastruktur vorzuhalten, um Cyberangriffe zu erkennen. Ab Herbst 2026 soll die Frist bleiben, die Daten sollen aber in der Cloud des Kunden liegen.

Laut Anthropic-Mitarbeiter Sholto Douglas entstand die Lösung über Monate mit mehr als 100 Kunden aus regulierten Branchen; Boris Cherny, der bei Anthropic Claude Code verantwortet, stellte die Änderung auf X für den Herbst in Aussicht. Eine formelle Produktankündigung von Anthropic stand zum Redaktionsschluss noch aus. Das Unternehmen hatte zuvor eingeräumt, die alte Regel sei unpopulär und ein Geschäftsrisiko.

Davon zu unterscheiden ist der Preis für den Ort der Inferenz. Seit v2.1.239 (21. August) berücksichtigt Claude Code in der Kostenschätzung den Aufschlag von 1,1× für Organisationen, die „US-only inference“ aktivieren. Dieser Aufschlag gilt nicht speziell für europäische Teams und ist nicht der Preis für die geplante Speicherung im Kundenkonto. Wo Daten verarbeitet werden, ist damit dennoch kein bloßes Konfigurationsdetail mehr, sondern eine Position auf der Rechnung.

Nicht zurückgenommen wird das Wasserzeichen. Unterstützte Claude-Modelle, die seit dem 2. August erscheinen, markieren Texte bei ihrer Einführung mit einem unsichtbaren statistischen Muster; für ältere Modelle läuft laut Anthropic noch die Umstellung. Unterstützte Bild- und Grafikdateien wie PNG, JPG und SVG erhalten zusätzlich C2PA-Metadaten, einen Herkunftsnachweis, der an der Datei hängt. Anthropic begründet das mit der Kennzeichnungspflicht der KI-Verordnung (#019). Hier steht kein Kundenvertrag auf dem Spiel, sondern eine Behörde hinter der Regel. Entsprechend fällt die Antwort aus.

Wenige Stunden nach der Ankündigung veröffentlichte der Entwickler Guillaume Meyer auf GitHub „Watermarks Remover“, das den Text von einem Modell ohne Wasserzeichen mehrfach umschreiben lässt, Synonyme tauscht und Sätze umstellt. Das Projekt sammelte innerhalb weniger Tage mehr als 15.000 Sterne; ob es Anthropics noch nicht öffentlich überprüfbares Verfahren tatsächlich zuverlässig überwindet, lässt sich damit nicht belegen. Meyers Einwand ist keine Ablehnung von Transparenz:

„I am not against transparency, I am actually for the attribution of content. I just think that watermarks are a really bad solution for that.“

Sinngemäß: Er sei durchaus für die Zuordnung von Inhalten, halte Wasserzeichen dafür aber für eine schlechte Lösung. John Gruber nennt das Verfahren am 16. August eine „perversion of writing“, eine Perversion des Schreibens: Wortwahl sei das Handwerk, und nur Anthropic besitze die Schlüssel, um zu prüfen, ob ein Wort dem Sinn oder dem Muster geschuldet ist.

Die Gegenprobe fällt nüchterner aus. Nach Anthropics eigener Einschätzung kann das Muster manche Bearbeitungen überstehen, und je länger ein Text, desto zuverlässiger der Nachweis. Starkes Umschreiben, Paraphrasieren oder Übersetzen kann das Signal dagegen schwächen oder entfernen. Bei kurzen Texten, reinen Fakten und Quellcode gibt es kaum gleichwertige Wortalternativen, also kaum Platz für das Muster. Das Wasserzeichen ist damit in langer Prosa am stärksten, also dort, wo Grubers Einwand am schwersten wiegt. Ob ein zweites Modell es zuverlässig und billig entfernt, bleibt ohne öffentlichen Anthropic-Detektor offen.

Claude Code: Die Highlights der Woche

Für alle, die Claude Code täglich nutzen

Ein „Concise“-Ausgabestil: v2.1.237 (20. August) bringt einen eingebauten Ausgabestil, der mit dem Ergebnis beginnt und Vorrede sowie begleitende Erklärungen weglässt, bei unveränderter Gründlichkeit. Umschaltbar unter „Output style“ in /config.
ANTHROPIC_DEFAULT_MODEL: v2.1.236 (19. August) setzt das Startmodell neuer Sitzungen, anders als ANTHROPIC_MODEL bleibt eine Auswahl per /model aber wirksam und übersteht Neustarts.

Für Teams mit GitLab

Merge-Request-Status in der Statuszeile: v2.1.234 (17. August) zeigt in Footer und Statuszeile ein Abzeichen MR !N mit Entwurfs-, Warte- und Grün-Zustand, sobald das Repository ein GitLab-Remote hat und die glab-CLI angemeldet ist.

Für Sicherheits-Admins

Zwei Härtungen an bekannten Klassen: v2.1.234 weist Windows-NT-Namespace-Pfade (\??\, eine interne Pfadschreibweise, mit der sich Prüfungen umgehen ließen) jetzt auch bei Remote-Dateizugriffen, Sitzungswiederherstellung, CLAUDE.md-Includes, Workflow-Skripten und Uploads zurück, dieselbe NTLM-Leck-Klasse wie in der Vorwoche. v2.1.236 gibt unter macOS Wildcard-Sperrregeln wie **/.env Vorrang und macht sie durch Umbenennen unumgehbar.

Für Plattform- und Enterprise-Teams

Die Developer Platform wird allgemein verfügbar: Am 20. August erreichen Computer Use (Claudes Fähigkeit, Bildschirm und Eingabegeräte direkt zu steuern), die Skills API und die Files API allgemeine Verfügbarkeit, dazu kommt ein Browser-Use-Werkzeug, das die Seitenstruktur zusätzlich zum Screenshot liest und Elemente statt Pixelpositionen ansteuert. Die Files API bekommt automatische Ablauffristen, fünffach höhere Rate Limits und 1 TB Speicher je Organisation. Die angeführten rund 30 % niedrigeren Kosten pro Aufgabe stammen vom Kunden Asteroid; The New Stack hält dagegen, das Werkzeug starte gar keinen echten Browser.
Auto Mode (Claude Codes automatischer Freigabemodus, der Befehle nach Risiko einstuft) zieht auf den Cloud-Backends nach: v2.1.236 gibt dem Klassifizierer auf Bedrock, Vertex AI und Foundry sowie bei abgeschalteter Telemetrie dieselben Voreinstellungen wie über die Claude-API, inklusive der nach Schweregrad bewerteten Einstufung. Wer Claude Code über einen Cloud-Anbieter betreibt, bekommt damit erst jetzt die Absicherung, auf die sich Anthropic beruft, seit Auto Mode am 14. August zum Standard-Freigabemodus wurde.

Agentic Coding

Cursor macht Cloud-Agenten dauerhaft. Das Release vom 19. August bringt Abonnements, mit denen Agenten auf Ereignisse reagieren, langlebige Ziele über /goal, Subagenten auf eigenen virtuellen Maschinen, eigene Modi und besseres Nachsteuern, während ein Agent arbeitet. Zwei Tage zuvor hatte Cursor mit „Origin“ ein eigenes Code-Hosting vorgestellt, samt Repository-Verwaltung, GitHub-Abgleich, PR-Reviews und Anbindungen an Vercel, Depot und Buildkite.
Codex baut das Agenten-Dashboard nach. 0.149.0 (20. August) bringt ein interaktives codex agents-Dashboard zum Suchen, Starten, Öffnen, Umbenennen und Stoppen von Aufgaben, dazu Verzeichnisbefehle (/cd, /pwd, /cwd) und eine Warteschlange über codex queue. Seit dem 19. August gibt es außerdem GitLab-Support in der Beta: Projekte verbinden, Umgebungen anlegen und Merge-Request-Reviews direkt aus der Codex-Cloud anfordern.

Mehrere Anbieter bauen ähnliche Bausteine: eine Übersicht über laufende Agenten, Ziele, die eine Sitzung überleben, und Integrationen mit Code-Hosting. GitLab taucht binnen einer Woche bei Claude Code und Codex auf. Das ist besonders für Unternehmen relevant, die GitLab.com, GitLab Dedicated oder eine selbstverwaltete Installation einsetzen; die konkrete Unterstützung unterscheidet sich jedoch je nach Anbieter und Betriebsform.

Die Kategorie ist entschieden, der Preis nicht

Der im August veröffentlichte JetBrains Developer Ecosystem Survey 2026 ist eine große Erhebung zu Coding-Agenten: 15.509 Teilnehmer aus acht Sprachräumen, befragt zwischen Mai und Juli; rund 90 % ordneten sich der engeren Gruppe Entwickler, Programmierer oder Software Engineer zu. JetBrains ist keiner der drei hier verglichenen Hauptanbieter, bietet mit Junie und JetBrains AI aber selbst KI-Entwicklungswerkzeuge an.

Die Schlagzeile liefert Claude Code mit 39 % beruflicher Nutzung, 21 Prozentpunkte mehr als im Januar, in den USA sogar 47 %. GitHub Copilot fällt gegenüber dem Vorjahr von 29 % auf 21 %, OpenAI Codex steigt seit Januar von 3 % auf 16 %. Die Vergleichszeiträume sind also nicht identisch. Eine gesonderte Zahl für Europa weist die Erhebung nicht aus, der US-Wert steht als einziger Regionalwert für sich.

Interessanter als die Rangfolge sind zwei andere Zahlen: 90 % der Befragten nutzen Coding-Agenten mindestens wöchentlich, 68 % täglich. Agentisches Coding ist damit für viele Entwickler zum regelmäßigen Werkzeug geworden. Damit lässt sich ein Bogen zu den Deals schlagen: Mit wachsender Nutzung gewinnen Kosten pro Anfrage und die Infrastruktur unter den Modellen an Bedeutung. Dass sie bereits wichtiger sind als die Qualität des Werkzeugs, belegt die Erhebung allerdings nicht.

Bemerkenswert ist außerdem, wer verliert. Copilot ist der einzige der drei mit rückläufiger Nutzung und zugleich der Anbieter, der sein Jahr damit verbracht hat, fremde Modelle in den eigenen Auswahldialog zu holen. Dass das eine am anderen liegt, sagt die Erhebung allerdings nicht: Sie misst Nutzung, keine Gründe. Der Zusammenhang bleibt Deutung; was die Zahlen tragen, ist der schwächere, aber härtere Satz: Modellvielfalt allein hat den Rückgang nicht verhindert.

Tipp der Woche

Die Agentic Security Initiative der OWASP (Open Worldwide Application Security Project, gemeinnützige Organisation für Anwendungssicherheit) veröffentlichte bereits am 17. Februar 2025 mit „Agentic AI - Threats and Mitigations“ einen systematischen Katalog agentischer Bedrohungen. Er ordnet sie nach sechs Bereichen: Bedrohungen aus Handlungsfähigkeit und Schlussfolgern, gedächtnisbasierte Bedrohungen, werkzeug- und ausführungsbezogene Bedrohungen, Authentifizierungs- und Spoofing-Bedrohungen, menschenbezogene Bedrohungen sowie Bedrohungen in Multi-Agenten-Systemen. Die Gegenmaßnahmen sind in fünf Playbooks organisiert, von der Begrenzung von Zielen und Verhalten über strikte Werkzeug- und Identitätskontrollen bis zu menschlichen Freigaben und eingeschränktem Netzzugriff bei mehreren zusammenarbeitenden Agenten.

Warum das hier steht: Sieben Wochen Sicherheitsvorfälle in diesem Newsletter hatten denselben Bauplan: ein Modell, das tat, was seine Umgebung ihm erlaubte. Dieser Katalog prüft nicht das Modell, sondern das Harness, und liest sich als Checkliste für jedes Team, das gerade einen Agenten an eine Pipeline hängt.

Kurz notiert

Präzisierung zur Astra-Einstufung: OpenAI hat sein unveröffentlichtes Modell Astra nicht definitiv als „Critical“ eingestuft, sondern erklärt, diese Stufe nicht ausschließen zu können, und behandelt es vorsorglich entsprechend (#018). Bei den Tests des britischen AI Security Institute (AISI) aus derselben Ausgabe waren zudem der Internetzugang bewusst offen und die Cyber-Klassifizierer der Hersteller bewusst abgeschaltet.
OpenAI widerspricht dem Bericht über sein Preparedness-Team: Die Financial Times meldete Ende Juli unter Berufung auf eigene Quellen, das für Katastrophenrisiken zuständige Team sei aufgelöst worden. OpenAI hält dagegen, die Forschungsleitungen für Cybersicherheit, biologische und chemische Risiken sowie Selbstverbesserung berichteten weiterhin an Sicherheitschefin Saachi Jain. Öffentlich unstrittig ist, dass Dylan Scandinaro die Einheit nicht mehr leitet; ob das Team als organisatorische Einheit aufgelöst wurde, bleibt umstritten.
Anthropic verkauft jetzt selbst Verteidigung: Seit dem 21. August läuft „Claude Security“ als Public Beta für Enterprise-Kunden. Der Dienst nutzt Mythos 5, um Codebasen auf Schwachstellen zu prüfen und Korrekturvorschläge zur Freigabe zu liefern, ohne Kunden direkten Zugriff auf das Modell zu geben. Dazu kommen 35 Millionen Dollar Nutzungsguthaben für Open-Source-Absicherung und ein Verifizierungsprogramm. Gelockerte Schutzmechanismen gelten zunächst für Opus und Sonnet; ein entsprechender Mythos-Zugang soll folgen.
Niedersachsen hält die deutsche KI-Aufsicht für verfassungswidrig: Der Landesbeauftragte für den Datenschutz, Denis Lehmkemper, kritisiert in seinem Tätigkeitsbericht die Bündelung der KI-Marktüberwachung bei der Bundesnetzagentur. Sie verstoße bei Schulen und Polizei nicht nur gegen europarechtliche Grundsätze, sondern auch gegen das Grundgesetz.
Anthropic könnte noch im August seinen Börsenprospekt öffentlich machen: Das Unternehmen hatte die Registrierung bereits im Juni vertraulich eingereicht. Laut Bloomberg peilt es ein Emissionsvolumen mindestens auf SpaceX-Niveau an. Interne, von Bloomberg eingesehene und noch nicht in einem öffentlichen Prospekt bestätigte Unterlagen nennen einen Verlust von rund 42 Milliarden Dollar für 2025, etwa das Fünffache des Vorjahres, und mehr als 11,5 Milliarden Dollar Umsatz im zweiten Quartal 2026.

Wer die Rechnung stellt

Die drei Deals dieser Woche lassen sich als Wette darauf lesen, dass Modelle austauschbarer werden und die Kosten darunter an Bedeutung gewinnen. Sollten die Unternehmen damit recht behalten, verschiebt sich die Frage für Anwender: nicht mehr nur, welches Modell sie wählen, sondern auch, wer die Rechnung stellt, an der ihre Wahl hängt. Viele, die täglich mit einem Agenten arbeiten, treffen diese Entscheidung bereits, ohne sie ausdrücklich zu stellen.

Quellen

Die große Nachricht der Woche: Stripe: Stripe agrees to acquire OpenRouter · TechCrunch: Stripe will reportedly acquire AI gateway startup OpenRouter for $7B+ · CNBC: Stripe to buy OpenRouter as fintech expands deeper into AI · Calcalist: Anthropic closes in on $7 billion Decart deal · Fortune: Anthropic said in talks to buy startup Decart for $6 billion · The Decoder: Nvidia is acquiring Poolside’s „Model Factory“ and 109 employees

Anthropic gibt nach, wo es zahlende Kunden hat: Anthropic: Data retention practices for covered models · The Stack: Customers sollen Kontrolle über die Daten behalten · Anthropic: US-only inference · Claude Code Release v2.1.239 · Anthropic: How Claude marks AI-generated content · Watermarks Remover auf GitHub · BleepingComputer: Fehlender Nachweis bei Watermark-Entfernern · Daring Fireball: Anthropic’s watermark text adulteration

Claude Code: Claude Code Changelog · Anthropic: Computer use, Skills API and Files API · The New Stack: Anthropic’s new browser tool doesn’t actually run a browser

Agentic Coding: Cursor Changelog · Codex Changelog

Trend der Woche: heise: JetBrains-Umfrage: Claude Code ist der beliebteste Coding-Agent · JetBrains: AI coding agent adoption 2026

Tipp der Woche: OWASP: Agentic AI: Threats and Mitigations

Kurz notiert: OpenAI: Responding to the next frontier of critical cyber capabilities · AISI: Incident report on unsanctioned agent behaviour · Engadget: OpenAI reportedly disbanded its Preparedness team · Anthropic: Bringing Claude Mythos 5 to more defenders · heise: KI-Aufsicht: Niedersachsen warnt vor Entmachtung der Datenschutzbehörden · AP: Anthropic hat IPO-Unterlagen vertraulich eingereicht · Bloomberg Law: Anthropics Umsatz im zweiten Quartal

Das war Agentic Weekly #020.

Agentic Weekly erscheint wöchentlich auf LinkedIn und hier. Noch kein Abo? Jede Woche die vollständige Ausgabe mit allen Quellen: Agentic Weekly auf LinkedIn abonnieren oder per RSS-Feed

Alle Ausgaben · Redaktion: Martin Gross