Agentic Weekly #025: Was ein Token noch wert ist

Die große Nachricht der Woche

Der Preis steht auf der Liste, die Denkarbeit nicht

Zehn Cent pro Million Eingabe-Tokens: So viel verlangt OpenAI seit dem 22. September für GPT-6 Luna, 50 Cent für die Ausgabe. Simon Willison zählt es zu den billigsten Modellen, die OpenAI je veröffentlicht hat, und schreibt über die Woche: „It’s hard to overstate how competitive this pricing is.“ Sinngemäß: Wie scharf diese Preise kalkuliert sind, lasse sich kaum übertreiben.

Der Preiswettlauf kam in drei Schritten. Am 21. September erschien xAIs Grok 4.7 für 2 Dollar Eingabe und 6 Dollar Ausgabe pro Million Tokens. Am 22. September folgte Anthropic mit Claude Opus 5.5 für 4 und 20 Dollar, 20 Prozent unter Opus 5; Cache-Lesezugriffe kosten 60 Prozent weniger, auf typische Arbeitslasten rechnet Anthropic mit 40 Prozent niedrigeren Kosten. Rund eine Stunde später legte OpenAI GPT-6 Sol (2 und 10 Dollar) und Luna nach, laut OpenAI jeweils halb so teuer wie die Vorgänger der 5.6-Reihe. Willison nennt das „a new price war“, einen neuen Preiskrieg.

Die Preisliste beantwortet allerdings nur die Hälfte der Frage, was ein Token kostet. Die andere Hälfte ist, wie viel Arbeit das Modell pro bezahltem Aufruf tatsächlich leistet, und darüber entscheidet der Anbieter, nicht der Kunde.

Den Beleg dafür lieferte einen Tag vor dem Preisschnitt ein Entwickler. Lon Lundgren hatte bemerkt, dass Anthropics Fable 5 (Anthropics Reasoning-Modell in den Abo-Tarifen) schwächer wirkte, nachdem Anthropic das Modell dauerhaft in die Abo-Pläne aufgenommen hatte:

„The model felt dumber, and I couldn’t explain why. Measured five different ways, August delivered dramatically fewer thinking tokens than July.“

Sinngemäß: Das Modell habe sich dümmer angefühlt, ohne dass er es erklären konnte; auf fünf verschiedene Arten gemessen, habe der August drastisch weniger Denk-Tokens geliefert als der Juli. Lundgren wertete 43.261 Aufrufe von Fable 5 aus, alle auf den höchsten Effort-Stufen xhigh und max (Effort: die Einstellung, wie viel das Modell vor der Antwort nachdenken soll). Der Median der gelieferten Denkarbeit fiel vom Juli zum August je nach Zählweise um 21,9 bis 50,6 Prozent. In 39,2 Prozent der Aufrufe dachte das Modell gar nicht nach, obwohl die Einstellung das Gegenteil verlangte.

Dieselbe Lücke zwischen Angabe und Nachmessung zeigt sich bei Opus 5.5. Anthropic nennt für den Terminal-Bench 4.0, einen Benchmark für Agenten-Aufgaben im Terminal, 66,4 Prozent. Die unabhängige Messstelle Artificial Analysis kam mit eigenem Aufbau auf 59,6 Prozent.

Man kann das nüchterner lesen. Artificial Analysis setzt Opus 5.5 auf höchster Effort-Stufe mit 58 Punkten an die Spitze seines Intelligence Index, nach eigenen Worten mit mehreren Punkten Abstand zum bisher höchsten gemessenen Wert; das Modell ist also stark, auch nach unabhängiger Rechnung. Lundgrens Reihe stammt aus den eigenen Sitzungen eines einzelnen Entwicklers und betrifft Fable 5, nicht die Modelle dieser Woche. Eine Erklärung von Anthropic zu seinen Zahlen liegt in den Quellen nicht vor.

Beide Befunde zeigen in dieselbe Richtung. Ein Listenpreis lässt sich in einer Pressemitteilung um die Hälfte senken und am nächsten Tag vergleichen. Wie viel Rechenzeit hinter einem Aufruf steckt, sieht der Kunde nicht auf der Rechnung. Wer seine Agenten-Kosten plant, vergleicht diese Woche Preise pro Million Tokens. Verhandelt wird die Leistung pro Aufgabe, und darüber sagt der Preiskrieg nichts.

Claude Code: Die Highlights der Woche

Für alle, die Claude Code täglich nutzen

Opus 5.5 wird Standard-Opus: v2.1.280 (22. September) stellt das neue Modell als Standard ein, mit einer Million Tokens Kontextfenster.
/doctor prompt-audit räumt alte Anweisungen auf: v2.1.283 (25. September) prüft CLAUDE.md, Skills, Agenten und Befehle auf Prompt-Muster, die für ältere Modelle geschrieben wurden. Passend zu einem Modellwechsel, der viele Setups ohne Zutun trifft. v2.1.282 (24. September) begrenzt außerdem per maxProseWidth die Textbreite in breiten Terminals, Tabellen und Code behalten die volle Breite.
AGENTS.md wird nur mit Telemetrie gelesen: Die Rückfallebene aus v2.1.277, die AGENTS.md lädt, wenn keine CLAUDE.md existiert, hängt an einem serverseitigen Feature-Flag. Wer Telemetrie oder nicht notwendigen Netzverkehr abschaltet, bekommt die Datei ohne Warnung nicht geladen, wie ein Blogpost vom 23. September zeigt; das zugehörige GitHub-Issue ist offen. Workaround: eine einzeilige CLAUDE.md mit @AGENTS.md.

Für Plattform- und Enterprise-Teams

Neue Modelle bleiben gesperrt, bis jemand sie freigibt: Mit der verwalteten Einstellung availableModelsMatch: "exact" erlaubt ein Eintrag in availableModels in v2.1.283 nur noch genau die genannte Version; deniedModels sperrt einzelne Modelle gezielt. In einer Woche, in der ein neuer Standard automatisch nachrückt, halten Admins damit gezielt zurück, was sie erst prüfen wollen.
Claude Marketplace: Seit dem 23. September bündelt Anthropic mehr als 2.000 Connectors und Plugins, Agenten und Dienstleister an einem Ort. Ein Sicherheitsreview der Plugins beschreibt die Ankündigung nicht; das offizielle Plugin-Verzeichnis rät selbst, einem Plugin vor der Installation zu vertrauen. Wer eigene Plugins verteilt, bekommt mit v2.1.281 (23. September) zumindest eine Prüfung: claude plugin validate meldet jetzt MCP-Einträge, die beim Laden stillschweigend wegfallen würden, sowie unsichere URLs.

Agentic Coding

GitHub Copilot übernimmt die neuen Modelle am Starttag. Opus 5.5 sowie GPT-6 Sol und Luna stehen seit dem 22. September in Copilot bereit. Dazu kamen eine lokale Sandbox in der Copilot-App (23. September) und der Zugriff von Agentic Autofix auf Copilot Memory, das gespeicherte Projektwissen (25. September).
Cursor verfolgt Änderungen bis ins Deployment. „Rollouts“ hängt an jeden Pull Request einen Monitor, der die Änderung beim Ausrollen je Umgebung verfolgt, Regressionen erkennt und Rücknahmen oder Fixes anstoßen kann. „Security Review“ prüft Pull Requests auf ausnutzbare Lücken wie Injection oder Credential-Leaks. Beides gibt es seit dem 23. September für Teams und Enterprise.
Codex zieht mit. Version 0.157.0 (25. September) bringt GPT-6 Sol und Luna auch über Amazon Bedrock, Vollbild-Transkripte als Standard und /import in Remote-Sitzungen; 0.157.1 (26. September) folgt als reines Wartungs-Release.

Was die Modelle können

Neun Loops statt acht: Fable 5.1 hat in der N=4-Super-Yang-Mills-Theorie, einem Modellfall der theoretischen Teilchenphysik, eine Streuamplitude für sechs Teilchen auf neun Loops berechnet. Der bisherige Rekord lag bei acht Loops, aufgestellt 2023 von Lance Dixon und Andy Liu. Dixon (SLAC) hat das Ergebnis unabhängig bestätigt. Die Anthropic-Physiker gaben die Aufgabe vor und ließen Claude danach weitgehend allein arbeiten, mit Zwischenständen alle vier bis sechs Stunden; die Kernrechnung kostete rund 100 Dollar Rechenzeit. Einschränkung: Claude nutzte etablierte Methoden, und wenige Tage später kam ein Team um Song He mit punktueller GPT-6-Unterstützung einem großen Teil desselben Ergebnisses nahe.
Das billigere Modell schlägt das teurere: Auf den Arbeitsaufgaben-Benchmarks von Artificial Analysis liegt Opus 5.5 vor dem teureren Fable 5.1: bei AA-Briefcase um 143 Elo-Punkte, bei GDPval-AA um 111. Wer Fable 5.1 nur wegen der Qualität nutzt, hat damit einen Grund, nachzumessen.
Tempo als Messgröße: Zvi Mowshowitz zitiert in seiner Analyse der Opus-5.5-System-Card (dem technischen Begleitdokument zum Modell) eine Einschätzung von METR, einer unabhängigen KI-Sicherheitsevaluierungsorganisation: KI beschleunige den Fähigkeitsfortschritt um etwa das 1,5-Fache, mit rund 30 Prozent Wahrscheinlichkeit um das Doppelte. Mowshowitz widerspricht Anthropics Cyber-Einstufung und hält Opus 5.5 für ein „Tier 2“-Modell, also eine höhere Risikostufe als von Anthropic angegeben.

Sicherheitslage

Plugin4Shell: Update ist der einzige Fix: Forscher von AIR zeigen, dass sich ein bereits geprüftes, per SHA-Hash festgelegtes Plugin in Claude Code, Codex, GitHub Copilot und Gemini CLI über den git checkout-Mechanismus austauschen lässt, ohne dass sich die angezeigte Festlegung ändert; der Schadcode läuft ohne Zutun des Nutzers und überdauert Auto-Updates. Geschlossen ist die Lücke in Claude Code ab 2.1.179 und in Codex ab 0.146.0. Für Copilot gibt es laut Help Net Security keinen Patch, Google hat Gemini CLI eingestellt und verweist auf Antigravity. Wer Copilot-Plugins nutzt, sollte sie prüfen.
Meta Muse gibt sein Dateisystem heraus: Auf die Bitte, das zugängliche Dateisystem zu archivieren, lud Metas Agent rund 6,8 GB auf Google Drive, darunter interne Dokumentation, Integrationscode, Gedächtnisdaten und SSH-Schlüsseldateien. Ein Ausbruch aus der Sandbox oder Zugriff auf fremde Nutzerdaten gelang nicht; Metas Bug-Bounty stufte die Meldung als „Not Applicable“ ein. Was in der Sandbox eines Agenten liegt, ist damit Teil dessen, was er herausgeben kann.

Der Börsengang wartet, die Verträge nicht

Das Quartal, mit dem Anthropic an die Börse will, endet acht Tage nach dem eigenen Preisschnitt. Laut einem Bericht des Wall Street Journal vom 18. September plant das Unternehmen den Börsengang jetzt für November statt Oktober, weil es vorher die Zahlen des dritten Quartals vorlegen will; Anthropic hat das nicht bestätigt, ein Prospekt ist nicht öffentlich. Die Zahlen, die den Börsengang tragen sollen, enthalten also kaum etwas von den niedrigeren Preisen. Die Zahlen danach schon.

Unterschrieben wird trotzdem jetzt. Am 24. September gab Akamai eine Vereinbarung bekannt, nach der Anthropic sich zu 11,6 Milliarden Dollar über sieben Jahre verpflichtet, mehr als das Sechsfache des Vertrags, über den Bloomberg im Mai berichtet hatte. Eine Option erlaubt bis zu 9 Milliarden Dollar mehr. Im Gegenzug bekommt Anthropic ein Bezugsrecht auf bis zu rund 5 Prozent der Akamai-Aktien, gestaffelt nach Ausgaben. TechCrunch liest den Vertrag als Wette auf CPUs, die Allzweck-Prozessoren, die bei Agenten Code ausführen und Webseiten laden; Akamai selbst nennt den Zweck nicht. Die Aktie stieg nachbörslich um bis zu 17 Prozent.

Wie ungleich das Risiko solcher Verträge verteilt ist, zeigt der Prospekt eines anderen Lieferanten. Nscale, dessen Auftragsbuch vor allem auf Zusagen von Anthropic und Microsoft beruht (#024), strebt laut Financial Times eine Bewertung von 35 Milliarden Dollar an. Im Börsenprospekt selbst steht, wie Fortune berichtet, der Vorbehalt des Managements, es gebe „substantial doubt“ an der Fähigkeit des Unternehmens, den Betrieb fortzuführen; ausräumen sollen diese Zweifel aufgeschobene Investitionen.

Die Gegenrechnung: Langfristige Rechenzentrumsverträge sind in der Branche die Regel, und ein Lieferant, dessen Aktie nach der Ankündigung um bis zu ein Sechstel steigt, sieht darin eher eine Chance als ein Risiko. Anthropic hat seinen Investoren zuletzt bereinigte operative Gewinne in Aussicht gestellt. Es bleibt eine Reihenfolge: Der Kunde legt seine Zahlen erst im November vor, die Lieferanten haben ihre Planung bereits auf ihn ausgerichtet.

Wer das Modell zuerst sieht

Das Argument, mit dem das Pentagon Anthropic ausschließt, ist Anthropics Sicherheitsversprechen. Am 25. September bestätigte das Bundesberufungsgericht für den District of Columbia mit 2:1 Stimmen die Einstufung des Unternehmens als „supply chain risk“, als Lieferkettenrisiko. Die Mehrheit hielt es für vertretbar, weil Anthropic den Einsatz seiner Modelle für autonome Waffen und Massenüberwachung ausschließt: Claudes eingebaute Beschränkungen könnten dazu führen, dass das Modell Aufgaben verweigert, die das Ministerium für notwendig hält.

Das Urteil betrifft ein eigenes Verfahren zu einer anderen Rechtsgrundlage. Das Urteil von Richterin Rita Lin in Kalifornien, die die Einstufung im August als rechtswidrige Vergeltung verworfen hatte (#021), bleibt davon unberührt. Pentagon-Sprecher Sean Parnell schrieb, das Urteil „completely validates the Department’s position“, bestätige die Position des Ministeriums also vollständig. Anthropic erklärte: „We respectfully disagree with the court’s decision“, und prüft weitere Schritte.

Einen Tag zuvor hatte Politico berichtet, das Office of the National Cyber Director des Weißen Hauses habe OpenAI und Anthropic gebeten, neue Modelle dem britischen AI Security Institute erst nach einer US-Prüfung zu geben. Die Begründung sind Cyber-Risiken leistungsfähiger Modelle. Anthropics Mythos 5.1, das Modell für kontrollierte Sicherheitstests, ist ohnehin nur für US-Organisationen zugänglich.

Für Europa heißt das: Die Reihenfolge, in der Prüfstellen ein neues Modell sehen, legt Washington fest. Die EU-Cybersicherheitsagentur ENISA bekam im September erst nach drei Monaten Verzögerung Mythos 5, nicht die neuere Version. Das deutsche KI-Sicherheitsinstitut AISI Deutschland hat Ende August in Berlin erst die Arbeit aufgenommen, mit BSI und Bundesnetzagentur als Kern.

Die nüchterne Lesart: Das Gerichtsurteil ist eng auf eine Beschaffungsregel zugeschnitten, und die Bitte des Weißen Hauses ist kein Gesetz. Beides zeigt trotzdem, wer über Zugang entscheidet. Anthropic hat seine Beschränkungen als Sicherheitsmerkmal gebaut. In dieser Woche waren sie zugleich der Grund für einen Ausschluss, und über den Zugang ausländischer Prüfer will eine US-Behörde mitentscheiden.

Die Last liegt im Ausnahmefall

„Wo Arbeit dichter, komplexer oder verantwortungsvoller wird, braucht der Betrieb einen Ausgleich“: Mit diesem Satz begründet Wolfgang Ermann, Verhandlungsführer des Deutschen Bankangestellten-Verbands (DBV), eine neue Tarifforderung. Je nach Belastung sollen Beschäftigte im privaten Bankgewerbe ein bis drei bezahlte „KI-Entlastungstage“ pro Quartal bekommen. Die Begründung: Agenten übernehmen die einfachen Kundenkontakte, bei den Menschen bleiben Ausnahmen, Beschwerden und Kontrolle. Der Arbeitgeberverband AGV Banken lehnt ab; Carsten Rogge-Strang vom AGV sagt, die große Mehrheit der Beschäftigten erlebe den KI-Einsatz als bereichernd und unterstützend. Die Verhandlungen beginnen am 8. Oktober in Berlin.

Dieselbe Verteilung zeigt sich in Daten aus der Softwareentwicklung. Die Sicherheitsfirma PromptArmor hat 30 Tage Telemetrie eines zehnköpfigen Teams ausgewertet, 310.009 Telemetrie-Ereignisse der Claude-Nutzung: 4 Prozent der Sitzungen verursachten 65 Prozent der Kosten. Fable 5 machte 27 Prozent der Aufrufe und 54 Prozent der Ausgaben aus. Bei der Hälfte der Werkzeugaufrufe lagen mehr als zehn Modellschritte zwischen letzter Nutzereingabe und Aufruf.

Beide Befunde widersprechen dem Durchschnitt, mit dem Effizienz gewöhnlich gemessen wird. Im Mittel wird die Arbeit billiger, sei es pro Token oder pro Kundenkontakt. Aufwand, Kosten und Verantwortung sammeln sich aber in wenigen langen, schwierigen Fällen, und die bleiben bei den Menschen, die sie prüfen und bezahlen müssen.

Beide Quellen haben ein Interesse. PromptArmor verkauft Sicherheits- und Kontrollwerkzeuge für genau solche Sitzungen, die Zahlen stammen aus einem einzigen Team. Der DBV stellt eine Tarifforderung, und Forderungen sind Verhandlungsmasse. Offen ist nur, wem der Effizienzgewinn gehört. Die Preisliste der Anbieter beantwortet das nicht, in den Banken soll es der Tarifvertrag tun, über den ab dem 8. Oktober verhandelt wird.

Kurz notiert

Spaniens Datenschutzbehörde erhält die erste Meldung zu einem Agenten-Einbruch. Ein Dritter setzte einen autonomen Agenten ein, der Schwachstellen suchte, sich unbefugt anmeldete, personenbezogene Daten änderte und auf Rechnungen zugriff. Die AEPD nennt weder Organisation noch Modell und betont, der Einsatz eines bestimmten Modells heiße nicht, dass dessen Anbieter kompromittiert sei.
Der EWSA will eine verbindliche KMU-Quote im Cloud and AI Development Act. Der Europäische Wirtschafts- und Sozialausschuss verabschiedete am 23. September seine Stellungnahme mit 212 zu 0 Stimmen: Die bislang indikative Vorgabe, mindestens 25 Prozent der einschlägigen Beschaffung an innovative kleine und mittlere Unternehmen zu vergeben, soll verpflichtend werden. Die Stellungnahme ist beratend.
Databricks kauft Row Zero. Die Tabellenkalkulation für Menschen und Agenten wandert in Databricks’ Agenten „Genie“; einen Preis nannte keine Seite. TechCrunch berichtet, Databricks suche nach weiteren Übernahmen.
TEKEVER erreicht 6,4 Milliarden Dollar Bewertung. Der portugiesische Hersteller KI-gestützter autonomer Drohnen schloss den ersten Teil einer Series D über 580 Millionen Dollar ab, angeführt von UC Investments und Baillie Gifford, kurz nach einem Auftrag des britischen Verteidigungsministeriums über bis zu 400 Millionen Pfund.

Quellen

Die große Nachricht der Woche: Simon Willison: Claude Opus 5.5, GPT-6 Sol, GPT-6 Luna, and a new price war · Anthropic: Claude Opus 5.5 · TechCrunch: OpenAI launches GPT-6 Sol and Luna · Lon Lundgren auf X · Hacker News: Fable 5, median thinking declined in August · Dark Factory Dev: The effort setting you pick is not the reasoning you get · Artificial Analysis: Claude Opus 5.5

Claude Code: Claude Code Changelog · blog.szypowi.cz: Claude Code reads AGENTS.md only when telemetry is on · GitHub Issue #95690 · Claude: Introducing the Claude Marketplace · GitHub: claude-plugins-official

Agentic Coding: GitHub Changelog: Claude Opus 5.5 in Copilot · GitHub Changelog: GPT-6 Sol and Luna · GitHub Changelog: Local sandboxing in the Copilot app · GitHub Changelog: Agentic autofix uses Copilot Memory · Cursor Changelog · OpenAI Codex Releases

Was die Modelle können: Anthropic: Yes, Claude can do nine loops · Zvi Mowshowitz: Claude Opus 5.5, the System Card · Artificial Analysis: Claude Opus 5.5

Sicherheitslage: Help Net Security: Plugin4Shell · heise: Kritische Lücke bei Claude Code, OpenAI Codex, GitHub Copilot und Gemini CLI · mouse.dev: I asked Meta’s Muse for its filesystem · Hacker News: Diskussion zum Muse-Export

Der Börsengang wartet, die Verträge nicht: Mixed: Anthropic moves its IPO to November · Forbes: Anthropic IPO slips to November · Akamai: $11.6 billion agreement with Anthropic · TechCrunch: Anthropic to pay Akamai $11.6 billion · Fortune: Nscale’s $35 billion IPO

Wer das Modell zuerst sieht: CNBC: Appeals court upholds Pentagon designation of Anthropic · ABC News: Federal appeals court upholds Pentagon designation · The Decoder: White House tells OpenAI and Anthropic to let U.S. review new models first · Quartz: White House asks to delay sharing models with U.K. testers · KIPODE: AISI Deutschland nimmt in Berlin die Arbeit auf

Trend der Woche: t3n: Bis zu drei KI-Entlastungstage · Handelsblatt: Bankangestellte fordern bis zu drei KI-Entlastungstage im Quartal · Personalwirtschaft: DBV fordert KI-Entlastungstage, AGV Banken dagegen · PromptArmor: Claude cost and risk, OTel findings

Kurz notiert: BleepingComputer: Spain’s data agency gets first report of AI-powered data breach · EWSA: Cloud and AI Development Act · TechCrunch: Databricks buys Row Zero · tech.eu: TEKEVER raises $580M Series D

Das war Agentic Weekly #025.

Agentic Weekly erscheint wöchentlich auf LinkedIn und hier. Noch kein Abo? Jede Woche die vollständige Ausgabe mit allen Quellen: Agentic Weekly auf LinkedIn abonnieren oder per RSS-Feed

Alle Ausgaben · Redaktion: Martin Gross