Agentic Weekly #030: Anthropic bestreitet, Cursor schweigt

Die große Nachricht der Woche

Anthropic bestreitet, Cursor schweigt

„svc-telemetry“ heißt der SSH-Schlüssel (ein Zugangsschlüssel für die Fernsteuerung von Rechnern), den eine manipulierte Version der offiziellen Claude-Code-Erweiterung beim Start von Visual Studio Code heimlich in die Datei ~/.ssh/authorized_keys eintrug. Wer die Erweiterung über den Cursor Marketplace installiert hatte, bekam damit, ohne es zu merken, einen zweiten Mitbewohner auf dem eigenen Rechner: einen Reverse-Tunnel zu einer fremden IP-Adresse, verankert über geplante Aufgaben, Crontab-Einträge und, auf dem Mac, einen LaunchAgent, der den Zugang über Neustarts hinweg hält.

Am 29. Oktober lag die kompromittierte Version 2.1.312/313 nach Cursors eigener Zeitrechnung von 2:27 bis 13:35 Uhr Pazifischer Zeit im Marketplace, gut elf Stunden; Anthropic selbst spricht von rund zwölf. Betroffen waren laut Cursor höchstens 5.000 Nutzer unter Windows und macOS. Die Backdoor meldete Rechnername, öffentliche IP, Benutzername, Betriebssystem, Git-E-Mail-Adresse und die Namen von bis zu 40 Umgebungsvariablen mit Schlüsselwörtern wie KEY oder TOKEN unverschlüsselt an einen fremden Server. Für den eigentlich gefährlichen Schritt, den SSH-Zugriff tatsächlich freizuschalten, hätte sie auf den meisten Mac- und Windows-Systemen aber Administratorrechte gebraucht, die sie in der Regel nicht hatte.

Anthropic weist eine eigene Kompromittierung zurück. Mitarbeiter Felix Rieseberg schrieb, ein Angreifer habe lediglich seinen Zugang zum Cursor-Marketplace genutzt, um eine manipulierte Kopie zu veröffentlichen, „which we didn’t build or publish“. Anthropic erklärte zudem, die eigenen Kanäle über VS-Code-Marketplace und OpenVSX seien nicht betroffen, nur Cursor-Nutzer. Cursor bestätigt, dass die Version „not developed by Anthropic“ war, hat eigene Schlüssel rotiert, den Marketplace zeitweise komplett abgeschaltet und die Verbindung zum Server des Angreifers blockieren lassen. Offen bleibt bei beiden Seiten dieselbe Frage: Wie kam ein Angreifer überhaupt an die Möglichkeit, ein Paket unter Anthropics Namen zu veröffentlichen? Darauf hat bislang keine der beiden Seiten eine Antwort vorgelegt.

Zwei weitere Agentic-Coding-Anbieter meldeten in derselben Woche eigene Vorfälle, mit jeweils anderer Ursache. Beim Terminal- und Entwicklungswerkzeug Warp, nach eigenen Angaben mit mehr als 800.000 Nutzern, führte ein Angriff auf einen externen Infrastrukturanbieter dazu, dass nach Schätzung von Geschäftsführer Zach Lloyd „roughly 1%“ der Nutzer betroffen sein könnten, womöglich über Agenten-Entscheidungsprotokolle und Telemetriedaten. Was genau abfloss, hat Warp nicht spezifiziert; die Untersuchung mit Unterstützung von CrowdStrike läuft noch.

Beim Cloud-Infrastrukturanbieter Northflank aus London zeigt die eigene Statusseite eine mehrtägige Timeline: Am 30. Oktober um 13:40 UTC begann die Untersuchung, um 23:38 UTC bestätigten mehrere Kunden den Missbrauch eigener KI-API-Schlüssel, am 31. Oktober um 23:32 UTC stand ein Werkzeug zur Schlüsselrotation bereit. Northflank rät allen Kunden zur vollständigen Rotation ihrer Zugangsdaten. Eine unabhängige Presse-Zweitquelle zu diesem dritten Vorfall gibt es bislang nicht, nur Northflanks eigene Angaben.

Die drei Vorfälle zu einer einzigen Geschichte zu verdichten, wäre zu viel der Zuspitzung: Eine Lieferketten-Lücke im Marketplace eines Wettbewerbers, ein Angriff auf einen fremden Infrastrukturanbieter und ein noch unspezifizierter Vorfall bei einem dritten Unternehmen haben vermutlich wenig gemeinsame Ursache. Was sie teilen, ist der Zeitpunkt, eine Woche nach einer Hacker-Kampagne über die Plattform Cairn gegen mehr als 1.200 Firmenwebsites (#029), und eine Frage, die keiner der drei Fälle beantwortet: Was genau bedeutet das Vertrauenssymbol neben dem Namen eines Anbieters noch, wenn nicht einmal der Anbieter selbst sagen kann, wer unter seinem Namen veröffentlicht?

Ein Viertel der Belegschaft, offiziell ohne KI-Grund

Am 26. Oktober bot Microsoft rund 60.000 Mitarbeitenden ein freiwilliges Austrittsprogramm an, laut einem Memo von Amy Coleman, Microsofts Personalchefin (Executive Vice President, Chief People Officer). Die oft zitierte Zahl von 27 Prozent der Belegschaft ist dabei keine Angabe von Microsoft selbst, sondern eine Presse-Rechnung: 60.000 geteilt durch die rund 223.000 Beschäftigten, die Microsofts letzter Jahresbericht nennt. Berechtigt sind Angestellte bis einschließlich der internen Stufe 70 in den USA, Kanada, Indien und Großbritannien, aus praktisch allen Bereichen von Windows über Copilot bis Xbox; einzelne Abteilungen sollen ausgenommen sein, Presseberichte widersprechen sich aber darüber, welche genau.

Wer annimmt, entscheidet bis Anfang Dezember und scheidet zum 31. Dezember aus. Einen Zielwert für die tatsächliche Zahl der Abgänge nennt Microsoft nicht; im April hatte ein ähnliches, kleineres Programm eine Annahmequote von rund 30 Prozent der Berechtigten, für die aktuelle, breitere Runde rechnet das Unternehmen mit weniger.

Der naheliegende Rahmen, in dem die Presse dieses zweite Austrittsprogramm des Jahres liest, ist Microsofts milliardenschweres Investitionsprogramm in KI-Infrastruktur. Ein Microsoft-Sprecher widerspricht dieser Lesart ausdrücklich: Künstliche Intelligenz treibe die Austrittsprogramme nicht an, das Memo selbst stellt diesen Zusammenhang ebenfalls nicht her. Was bleibt, ist ein Unternehmen, das gleichzeitig Rekordsummen in KI-Infrastruktur steckt und einem Viertel seiner Belegschaft die Tür offen hält, ohne dass beides nach eigener Aussage etwas miteinander zu tun hat.

Mistral baut Europas Gegenargument

Mit „Le Chonk“ hat sich Mistral für sein größtes Modell einen Spitznamen gegeben, den selbst die eigene Pressemitteilung in der Überschrift trägt. Ende Oktober veröffentlichte das französische Unternehmen die offenen Gewichte von Mistral Large 4: rund eine Billion Parameter insgesamt, davon je nach Quelle 49 bis 52 Milliarden gleichzeitig aktiv (ein Mixture-of-Experts-Modell aktiviert bei jeder Anfrage nur einen Teil seiner Parameter), vollständig auf rund 3.800 Grace-Blackwell-GPUs in Mistrals eigenen europäischen Rechenzentren trainiert. Lizenziert ist das Modell unter der „Mistral Ecosystem Open-Weight License“, einer modifizierten MIT-Lizenz, die Nutzung, Veränderung und kommerzielle Anwendung erlaubt, aber nicht Apache 2.0 entspricht: Wer das Modell selbst als Dienst anbieten will, braucht eine separate kommerzielle Lizenz von Mistral.

Bei Artificial Analysis (einer unabhängigen Benchmark-Plattform) liegt die Preview-Version zwischen DeepSeek V4.1 Flash und OpenAIs Einstiegsmodell GPT-6 Luna, „a major disadvantage“ gegenüber den Flaggschiffen von OpenAI und Anthropic. Vor dem bisher stärksten US-amerikanischen offenen Modell, Thinking Machines Lab’s Inkling, liegt Mistral Large 4 dagegen deutlich. Mistrals eigene Benchmarks fallen naturgemäß günstiger aus als die unabhängige Messung.

Die Pointe liegt im Zeitpunkt. Erst vor zwei Wochen rückte die Berliner Suchmaschine Ecosia von Mistral ab und setzte stärker auf chinesische offene Modelle (#028), mit der Begründung, Mistral liege qualitativ zurück. Mit Le Chonk liefert Mistral jetzt sein stärkstes Gegenargument: ein europäisch trainiertes, offenes Modell, das zumindest den Abstand zu den chinesischen Alternativen verkleinert, auch wenn es die amerikanischen Flaggschiffe nicht einholt. Ob das reicht, um verlorenes Vertrauen zurückzugewinnen, entscheidet sich nicht an der Modellkarte, sondern daran, ob Kunden wie Ecosia zweimal hinschauen.

Claude Code: Die Highlights der Woche

Für alle, die Claude Code täglich nutzen

Containment-Härtung geht weiter: permissions.blockWritesOutsideWorkingDirectories (v2.1.314, 30. Oktober) ergänzt die im September eingeführte Lesesperre um eine Schreibsperre außerhalb des Arbeitsverzeichnisses, Fortsetzung der seit Monaten laufenden Härtungsserie rund um Claude Codes Sandbox- und Berechtigungsmodell.
Fast Mode für Opus 4.8 läuft zum 30. November aus: v2.1.316 (31. Oktober) bestätigt die Abkündigung, dazu zwei neue Umgebungsvariablen, CLAUDE_CODE_DISABLE_ULTRATHINK und CLAUDE_CODE_SUBAGENT_EFFORT. Wer den Modus noch nutzt, hat noch vier Wochen Zeit zum Umstellen.
„Session limit“ heißt jetzt „5-hour limit“: v2.1.312 (27. Oktober) benennt die Nutzungsgrenze nur um, keine inhaltliche Änderung.

Für Enterprise-Teams

Zwei Plattform-Updates ohne CLI-Release: Smart Reports, das Enterprise-Reporting-Feature, erreicht am 28. Oktober nach einer Beta-Phase seit September die allgemeine Verfügbarkeit, zeitgleich startet eine Legal-Artifacts-Galerie. Beides läuft über claude.com, nicht über ein Claude-Code-Versions-Update.

Agentic Coding

GitHub Universe bringt die größte Copilot-Release-Welle seit Wochen: Copilot Fusion wählt je Aufgabe automatisch unter mehreren Modellen, Copilot Automations lernt aus eigenen Ergebnissen und schlägt Verbesserungen vor, dazu repoübergreifende Agenten-Sitzungen. Laut einem LinkedIn-Post von CEO Satya Nadella liefert Fusion „Frontier-Qualität“ bei 40 Prozent weniger Zeit pro Aufgabe und bis zu 77 Prozent geringeren Kosten; laut Artificial Analysis liegt die stärkste Fusion-Variante nur zwei Punkte hinter Claude Opus 5.5 Max, bei halben Kosten. Eine unabhängige Gegenprobe zu den Nadella-Zahlen gibt es nicht. Der am selben Tag veröffentlichte Octoverse-Report liefert dafür unabhängige Telemetrie: Der Anteil der Pull Requests, die als Entwurf eines Agenten starten, stieg von 17 Prozent im März auf über 40 Prozent im September, mit 110 Millionen agentengestarteten Pull Requests allein in diesem einen Monat.
GPT-6.1 Terra ist ein Kosten-, kein Fähigkeits-Sprung: OpenAIs neues Modell rollt in Codex und Copilot aus (nicht im Chat) und erreicht bei Artificial Analysis einen Intelligence-Index von 51, unter dem eigenen Sol (55) und deutlich unter Astra (57). Günstiger und schneller als beide, aber keine neue Bestmarke.
Ein Anthropic-Manager streicht das Coding-Interview: Felix Rieseberg, Engineering Manager für Claude.ai, Claude Code Desktop und Cowork, lässt Bewerber keine Programmieraufgaben mehr lösen. „There’s no more point in giving you a little React challenge than there is in quizzing people about assembly“, schreibt er am 27. Oktober in seinem Blog. Stattdessen sucht er in Lebensläufen und Portfolios nach kleinen Prototypen, die „taste, empathy, and principled thinking“ zeigen. Sein Rat an Junior-Entwickler: eine einzige ehrgeizige Idee übers Wochenende als funktionierenden Prototyp bauen, statt mehrere in einen zu packen. Als Beleg nennt er die grafische Oberfläche von Claude Code: Zwei vergleichsweise neue Ingenieure bauten den ersten Prototyp an einem Wochenende, die erste öffentliche Version erschien rund acht Tage später. Für Teams, die Entwickler einstellen, ist das die praktische Frage hinter der Agentic-Coding-Debatte: Wenn der Agent den Code schreibt, prüft das Vorstellungsgespräch Urteilsvermögen, nicht Syntax.
50 Agenten, ein Dorf, viel Bürokratie: Y Combinator und Olam Labs ließen 50 Agenten mit GPT-6.1 Sol drei Stunden lang in Minecraft „eine blühende Zivilisation“ aufbauen, mit Agentenverzeichnis, gemeinsamer Sandbox und Direktnachrichten. Heraus kamen rund 5.900 Nachrichten, eine improvisierte Verwaltung mit Rationsbuch, Genehmigungen und erfundenen Ämtern, und eine Führungsrolle für den Agenten, der zufällig oben im Verzeichnis stand: 46 der 49 übrigen schrieben zuerst ihm. Vier Agenten verbrachten elf Minuten damit, einen „sole fertilizer operator“ für ein einziges Stück Knochenmehl zu ernennen. Nach 34 Todesfällen, 22 davon in der ersten Nacht, wurde die Kolonie immer vorsichtiger und „never really thrived“. In neun Bed-Wars-Duellen gewannen zehn GPT-6.1-Sol-Agenten mit 6:3 gegen zehn Claude-Opus-5.5-Agenten, die eher defensiv spielten. Die Autoren ziehen die Parallele zu Coding-Agenten selbst: Auch die beißen sich an einem Schritt oder einer Rolle fest und werden bei Produktionsänderungen übervorsichtig. Übertragbar auf eigene Multi-Agent-Setups sind zwei Lehren: Übergaben brauchen einen eindeutigen Empfänger (benannte Kisten statt geworfener Gegenstände, die der falsche Agent aufhebt), und gemeinsamer Zustand gehört in Dateien, die gegen tatsächlich Erledigtes abgeglichen werden. Das Harness ist Open Source.

Was die Modelle können

Drei angebliche Mathe- und Physik-Durchbrüche, Prüfung läuft: OpenAI behauptet, ein eigenes Modell habe am 16. Oktober die lange als wahr geglaubte Exponential Time Hypothesis widerlegt, zusätzlich die lokale Glättungsvermutung in allen Dimensionen bewiesen (woraus die Kakeya-Vermutung und Steins Restriktionsvermutung folgen würden) und einen strengen Existenzbeweis für vierdimensionale Quantenfeldtheorien geliefert, darunter die reine Yang-Mills-Theorie, eines der Clay-Millennium-Probleme. Anthropic veröffentlichte zeitgleich einen eigenen 3-SAT-Algorithmus. Die mit der Prüfung befassten Fachleute, darunter Ryan Williams vom MIT, betonen: „Our involvement should not be taken as certification of the claim.“ Ein Verdikt steht aus; bis dahin bleiben alle drei Ergebnisse Behauptungen, keine bestätigten Durchbrüche. Zur Einordnung: Erst am 6. Oktober hatte OpenAI ein Bündel von 722 weiteren Mathematik-Preprints veröffentlicht, ein Umfang, der unabhängige Prüfung eher erschwert als erleichtert.
Ein spezialisiertes Modell schlägt zwei Frontier-LLMs klar bei Hautkrebs: Dermatologe Magnus Lynch (Guy’s Hospital, King’s College London) testete 200 biopsiegesicherte Hautläsionen aus dem offenen Datensatz MILK10k. Ein feinabgestimmtes CNN traf in 62 Prozent der Fälle die richtige Erstdiagnose, GPT-6 Astra und Claude Fable 5.1 (Anthropics Flaggschiff-Modell der fünften Generation, oberhalb von Opus positioniert) kamen beide auf 42 Prozent. Kleine Stichprobe, kein Peer-Review, aber mit offenen Daten, Prompts und Code.

Die Rechnung läuft über den Cache, nicht übers Modell

Zwischen Juni und Ende September ist die GPT-Modellfamilie nach einer Analyse des früheren BuzzFeed-Datenwissenschaftlers Max Woolf um 75 Prozent günstiger geworden, mit GPT-6.1 Sol als vorläufigem Endpunkt einer Kette von Preissenkungen. Claude liefert keine einzelne kumulierte Zahl, aber einzelne Schritte in dieselbe Richtung: Fable 5.1 senkte die Kosten für wiederverwendete Kontext-Abschnitte (Cache-Reads) im September um 75 Prozent, Opus 5.5 die Gesamtkosten um 40 bis 60 Prozent. Woolfs Erklärung: Offene Modelle und zweite Inferenz-Anbieter wirken wie eine Preisbremse, weil der Wechsel zwischen Modellen kaum etwas kostet; allein auf OpenRouter bieten 29 Anbieter ein einziges offenes Modell an.

Die Pointe liegt tiefer als der Listenpreis. Bei Agentic Coding, wo ein Agent wiederholt auf denselben Kontext zugreift, machen Cache-Reads laut Woolf 96 bis 99 Prozent der gesamten Tokenkosten aus. Der Preis pro Token ist damit fast bedeutungslos geworden, verglichen mit dem Preis fürs Wiederverwenden von Kontext, und diesen Preis senken Anbieter, wenn sie wie Fable 5.1 „bis zu 45 Prozent Gesamtersparnis“ versprechen (#022). Wer mit einer Flat-rate-IDE wie Cursor oder GitHub Copilot arbeitet, spürt von dieser Verschiebung allerdings nichts: Dort fallen keine Token-Kosten an, und Woolfs Rechnung gilt für den API-Direktzugang. Wer die eigenen Agentic-Coding-Kosten über die API senken will, schaut deshalb nicht mehr zuerst auf den Modellpreis, sondern darauf, wie sein Werkzeug mit dem Cache umgeht.

Tipp der Woche

Ein Prompt für die Agenten-Nachtschicht. Aus dem Workflow von Laura Entis stammt in Grant Harveys Sammlung „My First Week With an AI Coworker“ (29. Oktober) ein kopierfertiger Prompt: Ein Always-on-Agent durchsucht Slack und E-Mails nach Deadlines, unbeantworteten Fragen und relevanten Entscheidungen und liefert zu jedem Punkt einen Link zur Originalnachricht, einen Satz zur Wichtigkeit und einen Vorschlag für die nächsten Schritte. Dazu eine Verifikations-Faustregel, bevor man dem Agenten-Output folgt: „What’s your source, and when was it last updated?“

Warum das hier steht: Der Prompt lässt sich unverändert in jeden Always-on-Agenten einsetzen, und die Faustregel dahinter verhindert genau den Fall, den der Artikel selbst beschreibt: einen veralteten Tracker-Eintrag, der ungeprüft übernommen wird.

Kurz notiert

Anthropic ist jetzt SpaceX’ größter Einzelkunde, noch vor der US-Regierung, die diese Rolle bislang hielt. Laut Bloomberg entfällt rund ein Drittel von SpaceX’ Umsatz auf Anthropic, ohne dass eine genaue Zahl genannt wird.
OpenAI senkt die eigene Finanzierungsrunde: von zunächst 30 auf jetzt rund 20 Milliarden Dollar, die Zielbewertung von 1,4 auf 1,25 Billionen Dollar, laut Financial Times mitten in einem KI-Aktien-Ausverkauf und im direkten Wettlauf um Kapital mit Anthropics für November geplantem Börsengang.
Zwei Stanford-Professoren verklagen Anthropic auf bis zu 150.000 Dollar pro Werk. Tobias Wolff und Chang-rae Lee sind aus dem 1,5-Milliarden-Dollar-Vergleich der Sammelklage Bartz v. Anthropic ausgestiegen und führen die eigene Klage Cruz v. Anthropic fort, mit deutlich höherer Forderung als die rund 3.000 Dollar pro Werk im Sammelvergleich.
Das EU-AI-Office hat mehr als 30 Anbieter von Allzweck-KI-Modellen offiziell um Auskunft gebeten, Fortsetzung der seit September laufenden Durchsetzungslinie.

Quellen

Die große Nachricht der Woche: The Hacker News: Official Claude Code VS Code Extension · The Register: Anthropic, that Claude Code extension compromise couldn’t be us · BleepingComputer: Warp discloses breach · Northflank Status

Ein Viertel der Belegschaft, offiziell ohne KI-Grund: Techspot: Microsoft offers voluntary buyouts to thousands of US workers · KUOW: Microsoft offers voluntary buyouts to a quarter of its workforce · Engadget (April-Programm): Microsoft offering voluntary buyouts to up to 7 percent of employees

Mistral baut Europas Gegenargument: Mistral: Mistral Large 4 „Le Chonk“ · The Register: Mistral Large 4

Claude Code: Claude Code Changelog · GitHub Releases v2.1.314 · v2.1.316 · v2.1.311

Agentic Coding: GitHub Blog: GitHub Universe 2026 · TheNextWeb: GitHub Universe, Copilot Fusion, Octoverse, Agents · Artificial Analysis: GPT-6.1 Terra · Felix Rieseberg: Hunger beats tenure · TheNextWeb: Felix Rieseberg zum Coding-Interview · YC Labs: Multi-Agent-Experimente in Minecraft und Bed Wars · GitHub: yc-software/minecraft-agent-harness

Was die Modelle können: TheNextWeb: OpenAI Exponential Time Hypothesis false, Kakeya, Yang-Mills · Decrypt: OpenAI ETH false, crypto Twitter has questions · Lynch Lab: LLM skin cancer

Trend der Woche: minimaxir.com: Why are LLMs suddenly so cheap?

Tipp der Woche: Every (Grant Harvey): My First Week With an AI Coworker

Kurz notiert: heise.de: Nicht mehr die US-Regierung, Anthropic jetzt größter Kunde von SpaceX · CoinDesk: OpenAI reportedly cuts fundraising target amid AI jitters · Stanford Daily: Professors’ books pirated to train Claude · borncity.com: AI Act, EU fordert Auskünfte von mehr als 30 KI-Anbietern

Das war Agentic Weekly #030.

Agentic Weekly erscheint wöchentlich auf LinkedIn und hier. Noch kein Abo? Jede Woche die vollständige Ausgabe mit allen Quellen: Agentic Weekly auf LinkedIn abonnieren oder per RSS-Feed

Alle Ausgaben · Redaktion: Martin Gross