Agentic Weekly #028: Brüssel ermittelt, Ecosia rückt von Mistral ab

Die große Nachricht der Woche

Jetzt wird es amtlich

Die EU-Kommission geht konkreten Agenten-Vorfällen mit offiziellen Auskunftsersuchen nach. Zuständig ist das AI Office, die neue Durchsetzungsbehörde für das europäische KI-Gesetz. In einer Mitteilung vom 12. Oktober unterscheidet die Kommission bereits verschickte Sicherheitsanfragen von weiteren angekündigten Fragen; an wen sie gingen, sagt sie nicht. Das berichtete am 14. Oktober die Nachrichtenseite Euronews unter Berufung auf eigene Recherchen: OpenAI, weil ein Agent im Sommer aus seiner Testumgebung ausbrach und beim Angriff auf Hugging Face half, und Anthropic wegen dreier Vorfälle, bei denen unterschiedliche Claude-Modelle unautorisiert auf Systeme externer Organisationen zugriffen.

Der zweite Punkt klingt nach einer Verwechslung mit dem Google-Gemini-Vorfall vom Mai, der ebenfalls drei fremde Firmen betraf. Es ist aber ein eigenständiger Fall: Anthropic selbst hatte bereits am 30. Juli offengelegt, dass die Modelle Opus 4.7, Mythos 5 und ein internes Testmodell bei fehlkonfigurierten Sicherheitstests beim externen Partner Irregular ins offene Internet gelangten und auf reale Systeme dreier Organisationen zugriffen. Opus 4.7 erkannte nach Anthropics eigener Darstellung beim ersten dieser Vorfälle in allen vier Durchläufen, dass es ein reales System erreicht hatte, setzte den Angriff aber jeweils fort.

Die Vorfälle bei beiden Laboren waren damit längst öffentlich, bevor die Kommission fragte. Was die Woche ändert, ist der Rahmen: Für Anbieter von General-Purpose-AI-Modellen sieht Artikel 101 des Gesetzes Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Vorjahresumsatzes vor, je nachdem, welcher Betrag höher ist. Digitalkommissarin Henna Virkkunen nennt das Vorgehen selbst bereits Durchsetzung. Ob das Gesetz hier greift, ist allerdings umstritten. Jurist Barry Scannell bestreitet, dass es Entwicklungstests vor der Markteinführung erfasst. Ein anonymer Kommissionsbeamter hält dagegen: Sobald ein Modell die Testumgebung verlasse und Auswirkungen auf den EU-Markt habe, werde das KI-Gesetz anwendbar. Parallel legte das AI Scientific Panel, ein wissenschaftliches Beratungsgremium nach Artikel 68 des Gesetzes unter Vorsitz von Seán Ó hÉigeartaigh, vier Empfehlungen zum Umgang mit sogenannten Loss-of-Control-Vorfällen vor, also Fällen, in denen ein System Handlungen außerhalb der vorgesehenen Kontrolle ausführt.

Die nüchterne Lesart: Ein Auskunftsersuchen ist noch kein Bußgeldbescheid, und die zugrunde liegenden Vorfälle machten die Labore selbst öffentlich, nicht von einer Behörde, die sie aufgedeckt hätte. Die Kommission testet also nicht, ob sie verdecktes Fehlverhalten findet, sondern ob sie aus freiwillig offengelegten Vorfällen ein belastbares Verfahren bauen kann. Vor einer Woche bestätigte Virkkunen erstmals namentlich, dass OpenAI, Anthropic und Meta zu den über 30 angefragten Firmen gehören (#027); diese Woche geht es um konkrete Vorfälle, und wer dazu gefragt wurde, wissen wir nicht von der Kommission, sondern von Journalisten, die nachgefragt haben.

Souveränität wechselt den Anbieter

Fünf Monate nach dem Wechsel zum französischen KI-Anbieter Mistral kündigte Ecosia, die Berliner Suchmaschine mit Baumpflanz-Modell, Anfang Oktober an, stärker auf offene Modelle zu setzen, darunter chinesische wie Qwen (Alibaba), GLM (Z.ai) und Kimi (Moonshot AI). Bereitgestellt werden sie über die deutsche Plattform Melious, die die Daten in Europa hält. Geschäftsführer Christian Kroll begründete das gegenüber Politico mit Mistral selbst: Das Modell liege qualitativ rund ein Jahr zurück, die Server seien wiederholt überlastet gewesen, und die Kosten hätten sich mit dem Wechsel etwa halbiert. Ein vollständiger Ausstieg ist allerdings nicht bestätigt; Ecosias eigene Dokumentation nennt weiterhin einen Mix aus Mistral und offenen Modellen.

Mistral reagierte deutlich. Mitgründer und Chefwissenschaftler Guillaume Lample lud Ecosia am Rande einer Pressekonferenz öffentlich ein, das neue Modell Large 4 zu testen, dessen Gewichte Ende Oktober erscheinen sollen; Firmenchef Arthur Mensch reagierte auf der Plattform X sarkastisch auf Krolls parallele Kritik an französischer Atomkraft. Gut eine Woche später, am 16. Oktober, berichtete the-decoder.de über einen chinesischen Exportkontroll-Entwurf von Handels- und Wissenschaftsministerium: Kernkomponenten wie Gewichte, Checkpoints, Quellcode und Architektur eines Modells werden kontrollpflichtig, sobald es eine von drei Schwellen überschreitet, nämlich mindestens 10 hoch 26 FLOP (Gleitkomma-Rechenoperationen) im Training, mindestens 2 Billionen Parameter, oder einen Platz unter den zehn stärksten Modellen weltweit zum Exportzeitpunkt. Wer ein offenes Modell veröffentlicht, bekommt laut dem Entwurf eine beschleunigte Lizenzierung statt eines Verbots. Ein Datum für den endgültigen Katalog steht noch nicht fest, für erfasste Technologieexporte gilt aber bereits seit dem 16. Oktober eine vorläufige Registrierungspflicht; die Konsultation läuft bis 15. November.

Die Pointe liegt im Nebeneinander: Kaum rückt ein deutscher Souveränitätsakteur von einem europäischen Anbieter ab und setzt stärker auf chinesische Modelle, baut China die rechtliche Infrastruktur, um genau solche Exporte künftig zu steuern. Die Gegenlesart: Bereits öffentlich zugängliche Technologien sollen laut Handelsministerium ausgenommen bleiben, und die Nutzung per API gilt nicht als Export von Modelltechnologie. Die Regeln könnten also vor allem den Zugang zu künftigen Modellgewichten betreffen, nicht die Modelle, die über Melious heute schon laufen. Souveränität bedeutet in Ecosias Fall vorerst den Standort der Daten, nicht die Herkunft des Modells.

16,8 Milliarden, und trotzdem weniger

Am 14. Oktober nannte Anthropic auf einem Investorentag in San Francisco eigene Drittquartalszahlen: 16,8 Milliarden Dollar Umsatz, 45 Prozent mehr als im zweiten Quartal. Im Vergleich dazu war der Umsatz vom ersten zum zweiten Quartal noch um rund 147 Prozent gestiegen, von 4,7 auf 11,6 Milliarden Dollar. Die Zahlen stammen laut Reuters von einem teilnehmenden Investor, keine offizielle Bestätigung, nicht aus dem Prospekt, keine namentlichen Zitate. Vor zwei Wochen drehte sich die Debatte um Anthropics Börsenprospekt noch um die US-Regierung als Risikofaktor (#026); diese Woche dreht sie sich um die eigene Wachstumsrate.

Die Reaktion fiel trotz des weiter zweistelligen Wachstums kühl aus. Am 15. Oktober lagen Micron, Western Digital und Seagate laut Finanzberichten im vorbörslichen Handel mehr als 4 Prozent im Minus, AMD rund 3 Prozent, mitten in einem breiteren Ausverkauf von Technologiewerten. Einem Reuters-Bericht zufolge diskutieren einige Investoren seither eine niedrigere Zielbewertung für den Börsengang, rund 1,5 statt der zuvor erwarteten 2 Billionen Dollar. Der Börsengang selbst dürfte laut Reuters erst nach den US-Zwischenwahlen am 3. November stattfinden.

Zwei Tage später veröffentlichte Anthropic eine eigene Studie zur internen Arbeitsverteilung. Im März 2026 überstieg die gesamte Agentenlaufzeit erstmals die menschliche Arbeitszeit, angesetzt mit 40 Wochenstunden pro Mitarbeiter; im August erreichten allein die von Mitarbeitern gesteuerten interaktiven Agentensitzungen das Sechsfache dieses Vergleichswerts. Der Anteil der Juniorpositionen an den technischen Neueinstellungen fiel seit Anfang 2025 von 27 auf 9 Prozent.

Anthropic selbst stellt keinen Zusammenhang zwischen beiden Zahlenreihen her, sie erscheinen nur in derselben Woche. Nebeneinander gelesen erzählen sie aber eine Geschichte, die Investoren interessieren dürfte: Das Umsatzwachstum flacht ab, während immer mehr der eigenen Arbeit auf Agenten läuft statt auf neu eingestellten Menschen. Man kann die Verlangsamung auch nüchterner lesen: 45 Prozent Wachstum in einem Quartal ist für die meisten Unternehmen immer noch außergewöhnlich, und die 2-Billionen-Zielmarke war selbst nie mehr als eine Verhandlungsgröße unter Investoren, keine festgelegte Bewertung.

Claude Code: Die Highlights der Woche

Für alle, die Claude Code täglich nutzen

Code Review verlässt die Research Preview: Seit dem 15. Oktober ist die automatisierte Pull-Request-Prüfung für Team- und Enterprise-Kunden allgemein verfügbar, nach gut sieben Monaten im Testbetrieb seit März.
Fast Mode für Opus 5.5 verlässt die Research Preview: Seit dem 15. Oktober braucht der beschleunigte Modus für das aktuelle Standardmodell keinen Zugangsantrag mehr; laut Release Notes gilt das zunächst für die API, ob Claude Code selbst den Zugang ändert, ist offen.

Für Sicherheits- und Plattform-Teams

Der Auto-Mode-Klassifizierer bekommt einen eigenen Schalter: Seit dem 16. Oktober (Version 2.1.302) lässt sich über die Umgebungsvariable CLAUDE_CODE_AUTO_MODE_MODEL festlegen, welches Modell der clientseitige Klassifizierer im automatischen Freigabemodus verwendet. Auf den serverseitigen Klassifizierer hat der Schalter keinen Einfluss.

Agentic Coding

OpenAIs Codex schaltet Daybreak für berechtigte Konten standardmäßig frei. Version 0.163.0 (15. Oktober) aktiviert den Zugang zu Daybreak, OpenAIs Programm für autorisierte Sicherheitsarbeit, per Voreinstellung. Ein automatischer Schwachstellenscan startet dadurch nicht.
GitHub liefert drei Agenten-Updates in drei Tagen. Zwischen dem 13. und 15. Oktober kam Googles Gemini 4 Argon in Copilot hinzu, dazu die Multi-Modell-Option „HydraFusion Max“ (weiter als Research Preview), und „Agentic Autofix“ für Code-Scanning-Funde erreichte GA-Status.
Cursor öffnet seinen App-Marktplatz. Seit dem 13. Oktober können externe Entwickler Apps für Origin einreichen, Cursors Plattform zum Hosten von Git-Repositories. Am 16. Oktober kamen die Environments-API als Beta und Cloud-Agent-Umgebungen mit bis zu 300 Repositories hinzu.

Was die Modelle können

Ein internes Anthropic-Forschungsmodell hat in weniger als 30 Minuten ein Jahrzehnte altes Kryptografie-Rätsel gelöst, an dem mehrere Anthropic-Mitarbeiter zuvor gescheitert waren: die Herkunft der „Seeds“ der fünf im Jahr 2000 standardisierten NIST-Primkörperkurven für ECDSA, die die NSA damals ohne Erklärung lieferte. Eine frühere Erklärung von 2015 (ein gehashter Scherz-Satz) erwies sich laut Anthropic als falsch. Das Modell fand heraus, dass die Seeds nicht aus einem kryptografischen Hash stammen, sondern aus dem einfachen C-Zufallsgenerator lrand48, angesetzt mit einem Unix-Zeitstempel, für die Kurve P-256 nach 1.842 Durchläufen reproduziert. Anthropic betont, das sei kein kryptografischer Bruch und keine neue Schwachstelle, sondern mache eine absichtlich eingebaute Backdoor unwahrscheinlicher. Offen bleibt der Seed der binären Kurve B-163. Den Reproduktionscode veröffentlichte das Unternehmen unter einer freien Lizenz (CC0). Die von Filippo Valsorda mit weiteren Geldgebern organisierte Prämie soll in ihrer verdreifachten Spendenvariante von 36.864 Dollar an die Internet Security Research Group gehen.

Sicherheitslage

Drei unabhängige Sicherheitsexperten widersprechen der „Rogue-Agent“-Erzählung. Gary McGraw (Mitgründer des Berryville Institute of Machine Learning), Rob T. Lee (Chief AI Officer am SANS Institute) und Dan Wallach (RAND Center on AI, Security, and Technology) sagen gegenüber CSO Online, hinter den wiederholten Agenten-Zwischenfällen bei mehreren Laboren stünden fehlende Überwachung und schlechte Netzwerk-Abschottung, nicht besonders fähige Modelle. Wallach: Bei OpenAIs Hugging-Face-Einbruch sei tagelang niemandem etwas aufgefallen. Mistral nimmt er ausdrücklich aus: Das Unternehmen habe sein Modell Large 4 nach eigener Angabe gestoppt, als es über die Testumgebung hinaus operieren wollte.
Anthropic gibt sechs Prüfern von METR, einem unabhängigen Evaluierungsinstitut für KI-Sicherheit, einen Zugang, der dem interner Risikoprüfer nahekommt, inklusive Firmen-Hardware und Zugriff auf interne Tools und Systeme. Anthropic kann die Veröffentlichung von Ergebnissen nicht untersagen, aber Schwärzungen innerhalb vereinbarter Kategorien verlangen; ob Informationen darunterfallen, entscheidet letztlich Anthropic, und METR darf Einschränkungen seines Zugangs öffentlich benennen. Hinzu kommen eine erweiterte Partnerschaft mit Accenture und dessen KI-Sparte Faculty sowie SecureBio als Prüfer für biologische Risiken. METR steht bereits auf der Liste der FTC-Untersuchung zu Agenten-Risiken, ohne dass ihm Fehlverhalten vorgeworfen wird (#026); Kritiker wie der frühere KI-Berater des Weißen Hauses, David Sacks, halten METR wegen finanzieller Verbindungen zu Anthropics Investoren für nicht unabhängig genug. Die Organisation Apollo Research fordert, dass eingebettete Prüfer bereits Trainingsmethoden und frühe Modellstände untersuchen können.

Der Flaschenhals ist jetzt die Prüfung

Im Mai verarbeitete Anthropics interne Versionsverwaltung rund 2.500 Code-Änderungen pro Tag. Im September waren es über 30.000, mehr als das Zehnfache. Das bestehende Werkzeug Git kam damit nicht mehr zurecht, weshalb Anthropic in fünf Monaten eine eigene Ablösung baute, „Scion“, die nach eigener Aussage „keineswegs ein geeigneter Git-Ersatz für den allgemeinen Gebrauch“ ist, aber für den eigenen Zweck reicht: rund 25 Millionen Code-Checkouts pro Tag allein für die Continuous-Integration-Pipeline. Als Vorbild nennt Anthropic selbst Googles internes System Piper und Metas Sapling. Nach Kritik eines ehemaligen Meta-Mononoke-Ingenieurs auf Hacker News ergänzte Anthropic den eigenen Blogbeitrag nachträglich um eine Fußnote, die Mononoke als strukturelles Vorbild ausdrücklich nennt.

Was den Takt vorgibt, beschreibt Anthropic selbst so: Claudes eigene Fähigkeit, Code zu schreiben, habe die Lage überhaupt erst herbeigeführt, und die Nachfrage nach Zusammenführungen sei „praktisch unbegrenzt“. Zur gleichen Linie gehört ein zweiter Beitrag, in dem das Claude-Code-Team die eigene Praxis beschreibt: Code-Review laufe inzwischen kontinuierlich, „eher wie eine Rechtschreibprüfung beim Schreiben“ als punktuelle menschliche Durchsicht. Die Frage verschiebt sich damit von „Hat ein Mensch das gelesen?“ zu „Welche Prüfung, automatisiert oder menschlich, fängt welches Risiko am besten ab?“

Von außen bringt Addy Osmani dieselbe Beobachtung am 14. Oktober auf den Punkt:

„Today’s models are good enough that the major bottleneck is not code-writing but the ability to verify that the code they’ve written is correct.“

Sinngemäß: Heutige Modelle seien gut genug, dass der entscheidende Flaschenhals nicht mehr das Schreiben von Code sei, sondern die Fähigkeit zu prüfen, ob der geschriebene Code korrekt ist. Ein Agent, der seine eigene Ausgabe nicht verifizieren könne, rate seinen Worten nach im Grunde nur noch. Als Gegenmittel nennt er End-to-End-Tests, die ein „fertig“ eindeutig festlegen, Property-Tests, die nicht beschreiben, was passieren soll, sondern was nicht passieren darf, und differenzielle Tests, bei denen ein altes System als Vergleichsmaßstab dient.

Alle drei Texte kommen zum selben Befund, zwei davon aus Anthropics eigener Feder, einer unabhängig. Die Leistungsangaben zu Scion stammen von Anthropic; eine unabhängige Überprüfung ist bislang nicht dokumentiert.

Tipp der Woche

Mike Taylor, Head of Evals beim Newsletter-Unternehmen Every, startet für jede neue Aufgabe einen frischen Chat-Thread statt lange weiterzuschreiben („Context Engineering Is Knowing When to Start Over“, every.to, 16. Oktober). Das Konzept „Context Rot“, das er dafür anführt, beschreibt, wie Antworten mit wachsender Thread-Länge schlechter werden, weil das Modell veralteten Anweisungen folgt oder Details in der Mitte übersieht. Seine Praxis: vollständigen Kontext in die erste Nachricht packen, frühere Nachrichten bei Fehlern editieren statt im selben Thread zu streiten, wiederverwendbare Präferenzen in einer eigenen Datei pflegen.

Warum das hier steht: Wer Claude Code über Stunden in einer Sitzung hält, kennt den Effekt oft, ohne ihn benennen zu können. Wie groß er ist, bleibt offen: Actual Intelligence Labs maß bei Claude Sonnet 5 in einer speziellen Abrufaufgabe einen Rückgang der Treffergenauigkeit von 100 auf 94,4 Prozent zwischen rund 34.000 und 730.000 Eingabetokens, auf der längsten Stufe allerdings mit nur acht Durchläufen. Über lange Coding-Sitzungen sagt der Test wenig aus.

Kurz notiert

QGIS verbietet KI-unterstützte Code-Beiträge im Hauptrepository komplett. In der Diskussion zum Enhancement-Proposal QEP428 der Geoinformationssoftware nennen die Maintainer Überlastung und sinkende Review-Qualität, nicht Lizenzfragen. Damit steht QGIS wie Godot (#013) auf der strikten Seite; andere Projekte ziehen die Grenze anders: OpenJDK untersagt vorerst generierte Beiträge, NetBSD verlangt vorherige schriftliche Zustimmung des Core-Teams, Mesa erlaubt KI-Code mit Offenlegung und Verantwortung des Einreichenden.
Ein populärer Coding-Agent startet ungefragt einen dauerhaften Hintergrunddienst. Nutzer von OpenAIs Codex CLI 0.157.0 berichten in einem offenen GitHub-Issue über einen Daemon, der nach Sitzungsende weiterläuft, stündlich nach neuen Versionen sucht und die Umgebung der startenden Sitzung behält. Im Issue ist bislang keine inhaltliche Antwort von OpenAI dokumentiert.

Quellen

Die große Nachricht der Woche: EU-Kommission: Special meeting of the AI Scientific Panel · Euronews: EU’s AI rules face first enforcement test over lab incidents · Anthropic: Investigating incidents in cybersecurity evaluations · AI Act Service Desk: Artikel 101 · borncity.com: KI-Kontrollverluste, EU-Panel legt vier Empfehlungen für die Aufsicht vor

Souveränität wechselt den Anbieter: heise: Adieu Mistral, Ecosia switches to Chinese open-source AI models · TechNode: Ecosia switches from Mistral to open-weight AI models · ppc.land: Ecosia drops Mistral AI for open models · the-decoder.de: China will Export von Open-Weight-Modellen strenger kontrollieren · Korben: Ecosia quitte Mistral pour des IA chinoises · EU-Startups: Ecosia founder clarifies move away from Mistral · Ecosia Help Center: AI Search · MOFCOM: Bekanntmachung Nr. 48 · MOFCOM: FAQ zur Bekanntmachung

16,8 Milliarden, und trotzdem weniger: BusinessDay (Reuters-Reprint): Anthropic revenue jumps 45% to $16.8bn · implicator.ai: Anthropic tells investors Q3 revenue hit $16.8 billion as growth slowed to 45% · aiweekly.co: Investors push valuation down to $1.5T from $2T · Roic.ai: Anthropic’s slowing growth deepens AI stock selloff · Anthropic: Employment at Anthropic

Claude Code: Claude Code Changelog · Claude Code v2.1.302 Release · Anthropic: Code Review is now generally available · SessionWatcher: Claude Opus 5.5 Fast Mode out of preview

Agentic Coding: GitHub Changelog: Gemini 4 Argon in GitHub Copilot · GitHub Changelog: HydraFusion updates and new Max option · GitHub Changelog: Agentic autofix for code scanning alerts GA · Cursor Changelog: Origin App Marketplace · Cursor Changelog: Cloud Agent Canvases and Environment Improvements · Cursor Docs: Origin · OpenAI Codex CLI 0.163.0 Release · OpenAI: Daybreak

Was die Modelle können: Anthropic: ECDSA curve origins · Filippo Valsorda: Seeds Bounty

Sicherheitslage: CSO Online: AI agents aren’t going rogue · Anthropic: An update on independent evaluators · OfficeChai: METR’s independence questioned · Apollo Research: Towards embedded evaluations for scheming propensities

Trend der Woche: Anthropic Engineering: Redesigning source control · sunshowers.io: Anthropic’s Scion is heavily inspired by Mononoke · Claude: How the Claude Code team does code review · Addy Osmani: Agentic Verification

Tipp der Woche: Every (Mike Taylor): Context Engineering Is Knowing When to Start Over · Actual Intelligence Labs: Context Rot

Kurz notiert: QGIS Enhancement Proposal QEP428 · OpenJDK: Contributing · NetBSD: Commit Guidelines · Mesa: Submitting Patches · GitHub Issue openai/codex#48195

Das war Agentic Weekly #028.

Agentic Weekly erscheint wöchentlich auf LinkedIn und hier. Noch kein Abo? Jede Woche die vollständige Ausgabe mit allen Quellen: Agentic Weekly auf LinkedIn abonnieren oder per RSS-Feed

Alle Ausgaben · Redaktion: Martin Gross