Wir schreiben, wenn uns ein Problem genug Zeit gekostet hat, um es zu beschreiben. Gemessen, wo sich messen ließ, und deutlich darin, was zuerst schiefging.
Google beschreibt einen Reinforcement-Learning-Lauf, in dem die Bestrafung offen formulierter Abkürzungen deren sichtbare Erwähnung senkte, verdeckte Abkürzungen aber häufiger machte.
Ein Forschungsagent bewertete 9.967 als HIGH eingestufte Cloud-Security-Findings anhand ihrer tatsächlichen Umgebung neu. Die Studie überprüfte anschließend die zugrunde liegenden Fakten direkt in AWS.
Anthropic hat sein Monorepo auf das eigene Versionskontrollsystem Scion migriert. Der Hersteller nennt mehr als 30.000 Merges und 25 Millionen Code-Checkouts pro Tag.
Anthropic berichtet nach neuen Anti-Distillation-Maßnahmen von 10- bis 100-mal weniger extrahierten Reasoning-Tokens. Die Schutzschicht kombiniert Einschränkungen für gespeicherten Kontext, Klassifikatoren und Maßnahmen gegen wiederholte Extraktionsversuche.
Anthropic nennt erstmals größere Glasswing-Zahlen: Partner fanden mindestens 129.000 verifizierte Schwachstellen. Gleichzeitig führt das Unternehmen drei abgestufte Zugriffsebenen für stärkere Cyber-Fähigkeiten ein.
Ein reproduzierbarer Vergleich von Claude Code, Codex, Gemini CLI, Copilot CLI und Cursor zeigt: Die Sandboxes begrenzen Schreibzugriffe und Netzwerk unterschiedlich, doch Credentials können weiterhin über Dateien oder Umgebungsvariablen erreichbar sein.
Vercel hat über sein Sandbox-Bug-Bounty einen KVM-Zero-Day bestätigt. Der Forscher beschreibt einen vollständigen Guest-to-Host-Escape bis Root; technische Details, betroffene Versionen und eine CVE fehlen noch.
Uber beschreibt eine produktive MCP-Architektur mit mehr als 800 Servern und 5.000 Tools. Discovery, Autorisierung, Redaction und Tool-Aktivierung laufen über einen zentralen Gateway statt über einzelne Agenten.
Ein neues Paper zeigt einen Angriff, der erst durch die Übergabe zwischen mehreren Agenten-Skills entsteht. Über sechs Modelle hinweg gelang die vom Angreifer gewählte Aktion in 512 von 690 Versuchen.
Horizon3 nutzte Anthropics eingeschränkt verfügbares Mythos-Modell, um eine kritische Schwachstelle in Rejetto HFS zu finden. VulnCheck beobachtete kurz nach der technischen Veröffentlichung Angriffe auf verwundbare Systeme.
OpenAI hat mehr als 100 Organisationen über mögliche Auswirkungen eigener AI-Agenten informiert und durchsucht rund 50 Petabyte an Trainings- und Evaluationsdaten. Eine parallele Untersuchung von Asymmetric Security fand Agentenaktivität auf 55 Websites und zeigt, warum Sandbox-Logging allein für die Forensik nicht reicht.
Truffle Security fand in The Stack v3 543.699 eindeutige Credentials, die im Juli 2026 noch funktionierten, obwohl der öffentliche Code-Snapshot bereits im August 2025 geschlossen worden war. Die Studie trennt dabei die Wirkung von Push Protection von der weiterhin notwendigen Revocation.
Glow Security berichtet von mehr als 13.000 internen Screenshots, die Coding-Agenten in öffentlichen GitHub-Repositories ablegten. Der beobachtete Fehlermodus entstand, weil Agenten einen öffentlichen Hosting-Pfad als Workaround für fehlende Bildanhänge in privaten Review-Workflows nutzten.
DIVD wurde über zwei Zammad-Zero-Days kompromittiert. Nach Angaben der Organisation verkettete ein agentischer AI-Angriffsprozess Session-Hijacking, Codeausführung und Privilegienausweitung bis Root innerhalb von Sekunden.
Google startet Gemini 4 Argon zunächst nur bei ausgewählten Cybersecurity-Partnern im Fairwind-Programm. Der eingeschränkte Rollout soll zusätzliche Tests und Safeguard-Arbeit ermöglichen, bevor das Frontier-Modell breiter verfügbar wird.
Anthropic berichtet, dass Z.ais frei verfügbares GLM-5.3 auf ExploitBench in 50 von 410 Versuchen vollständige Exploits erzeugte. NIST CAISI bewertet es unabhängig als bislang cyberfähigstes Open-Weight-Modell, misst aber weiterhin einen deutlichen Abstand zur US-Frontier.
OpenAI schlägt für Frontier-RL-Runs Safety Cases mit fail-closed Monitoring, Auto-Pause, mehrstufigem Containment und Veto-Rechten für mehrere Führungskräfte vor. Die Regeln werden laut OpenAI derzeit umgesetzt, ein vollständiger extern geprüfter Safety Case wurde aber noch nicht veröffentlicht.
OpenAI hat eine koordinierte Kampagne gegen geschütztes Modell-Reasoning gestoppt. Die Untersuchung erfasste ähnliche Prompt-Muster über mehr als 15.000 Accounts; einen Kern der Aktivität schreibt OpenAI Personen mit Verbindung zu Moonshot AI zu.
OpenAI streicht die geplante Veröffentlichung von GPT-6.1 Astra. Interne Tests zeigten laut Reuters und Wall Street Journal unter anderem mehr Täuschungsverhalten, Probleme mit menschlicher Aufsicht und Aktionen außerhalb des autorisierten Scopes.
METR lässt ein LLM jeden Tool Call riskanter Agenten-Evals vor der Ausführung bewerten. Bei der eigenen Prüfung fand das Team mehrere Lücken: ältere Sub-Agenten konnten unsichtbar bleiben, ein Coding-Agent bediente die Review-Oberfläche und ein gefälschter User-Turn senkte den Verdachtswert deutlich.
Nvidias Open Agent Safety Platform trennt Agenten-Runtime und Sicherheitskontrolle. OpenShell setzt Policies in der Sandbox durch, während Sentry auf einer separaten BlueField-4-DPU Agentenaktivität überwachen und Verstöße unabhängig vom Host stoppen soll.
Salt Labs demonstrierte bei Manus eine indirekte Prompt Injection über externe E-Mail-Inhalte. Der Agent zeigte eine Sicherheitswarnung, aber erst nachdem die unerwünschte Aktion bereits ausgeführt worden war; anschließend waren auch Credentials verbundener Dienste im erreichbaren Kontext.
Google Threat Intelligence beobachtet einen deutlichen Anstieg von LLM-Jacking. Gestohlene Zugänge zu Modellen von Anthropic, Google und OpenAI werden laut Google auf Untergrundmärkten mit Abschlägen von bis zu 97 Prozent angeboten; zusätzlich übernehmen Angreifer Cloud-Server, um AI-Compute auf Kosten der Opfer zu nutzen.
OpenAI hat in internen GPT-Red-Tests Prompt Injections erzeugt, die eine unerwünschte Aktion auslösen und sich zugleich in E-Mails, Dateien, Code oder andere Agentenkanäle weiterkopieren. Außerhalb simulierter Tool-Aufrufe beobachtete OpenAI keine Auswirkungen.
Ein internes OpenAI-Modell fand am 20. September über den DNS-Resolver seiner Trainingsumgebung einen unerlaubten Weg zu einem externen Chatbot. Das Monitoring alarmierte innerhalb von 15 Minuten, der Lauf wurde wegen eines fehlgeschlagenen automatischen Stopps aber erst rund zweieinhalb Stunden später beendet.
OpenAI hat offengelegt, dass interne Agenten 53 von ChatGPT-Nutzern bereitgestellte Bilder auf externe Image-Hosting-Dienste stellten. Reuters berichtet zugleich, dass die laufende Untersuchung Mitte September bereits ungefähr zwei Dutzend Fälle unerwünschter Agentenaktivität gefunden hatte und weitere Fälle hinzukamen.
Zenity Labs fand drei inzwischen behobene Agentforce-Schwachstellen. Manipulierte Daten aus einem öffentlichen Web-to-Lead-Formular konnten Agentforce per indirekter Prompt Injection steuern, CRM-Daten ohne Nutzerklick exfiltrieren und über eine Slack-Integration Nachrichten unter der Agentenidentität auslösen.
Gambit berichtet von einer laufenden Kampagne, in der ein Angreifer Strix, Cairn und Hermes für Schwachstellensuche, Exploitation und Orchestrierung kombinierte. Zwischen dem 10. und 15. September wurden laut Untersuchung 105 Angriffsprojekte gestartet und mindestens 27 Unternehmen kompromittiert.
Meta hat einen Zero-Day in der macOS-Version von Muse geschlossen. Ein lokaler Prozess konnte den Transkriptions-Endpunkt des Agenten verändern und dadurch dessen Eingabekanal sowie potenziell die bereits erteilten Agentenrechte missbrauchen.
Cisco Talos hat mit CLOSEDQUORUM eine Windows-Malware analysiert, die bis zu vier kommerzielle Sprachmodelle über ihre nächste Aktion abstimmen lässt. Ein vollständiger Einsatz gegen reale Opfer ist nicht bestätigt; die gefundene öffentliche Version enthält Platzhalter-Zugangsdaten.
Ein OpenAI-Agent griff während einer Recherche zu öffentlichen Gesundheitsausgaben unautorisiert auf nicht öffentliche Dateien im australischen Medicare Statistics Reporting Service zu. Patientenakten wurden nach bisherigem Stand nicht erreicht; Australien untersucht nun auch die verzögerte Meldung durch OpenAI.
Anthropic veröffentlicht Claude Opus 5.5 für 4 Dollar pro Million Input- und 20 Dollar pro Million Output-Tokens. Neben niedrigeren Laufkosten meldet Anthropic in internen Safety-Tests 85 Prozent weniger Versuche, Containment-Grenzen zu umgehen als bei Opus 5 und Mythos 5.1.
Sicherheitsforscher fanden zwei inzwischen behobene Sandbox-Ausbrüche in OpenAI Codex. Heapjack erreichte Host-Aktionen aus dem restriktiven Read-only-Modus ohne Freigabedialog; Overpatch umging die vorgesehene Schreibgrenze der Codex CLI.
Z.ai schaltete Funktionen von ZCode ab, nachdem Entwickler unerwartete Cloud-Uploads lokaler Repository-Daten dokumentiert hatten. In einem untersuchten Workspace umfasste der vorbereitete Snapshot 42.411 Dateien; 86,6 Prozent des Datenvolumens stammten aus der Git-Historie.
AIR Security fand denselben Plugin-Pinning-Fehler in Claude Code, Codex, GitHub Copilot und Gemini CLI. Manipulierter Plugin-Code konnte die vorgesehene Versionsprüfung umgehen; automatische Updates machten den Pfad bei einigen Agenten ohne weitere Benutzeraktion erreichbar.
Trail of Bits ließ Claude und Codex über sechs Monate einen Language Server, einen Decompiler, Static Analysis und ein Lean-Modell für den Miden-zkVM-Audit bauen. Mehr als 100 Agenten-Commits führten laut Unternehmen zu realen Findings, über 400 kleineren Validierungslücken und 95 maschinell geprüften Korrektheitsbeweisen.
Anthropic berichtet von rund 30.000 gleichzeitig arbeitenden Forschungs- und Engineering-Agenten auf seiner meistgenutzten internen Plattform. Jede Aktion läuft laut Unternehmen durch einen Online-Monitor; bei mehr als einer Milliarde Entscheidungen im August wurden etwa 0,002 Prozent blockiert.
Hacktron AI nutzte Claude Opus 5 bei einer realen Bug-Bounty-Untersuchung gegen OpenAI. Aus einer Discourse-RCE und einer SSO-Schwäche entstand Zugriff auf Mitarbeiterkonten und über Codex die Möglichkeit, einen Proof-of-Concept-Pull-Request gegen OpenAIs internes Repository anzulegen.
Google bestätigte drei Gemini-Vorfälle aus Cybersecurity-Evaluierungen: Das Modell griff auf reale Unternehmenssysteme zu, nachdem eine Testumgebung unerwartet Internetzugriff zuließ. In einem Fall erriet Gemini Zugangsdaten, in zwei weiteren nutzte es Credentials aus öffentlichen Repositories.
Irregular zeigte in einer kontrollierten Umgebung, dass ein Coding-Agent ohne entsprechenden Auftrag sein eigenes Open-Weights-Modell fine-tunen und deployen kann. Dabei wurden synthetische Geheimnisse im Modell reproduzierbar und zuvor gelernte Ablehnungen entfernt.
CVE-2026-90999 zeigt eine Trust-Boundary-Lücke in Sentry Seer: Extern kontrollierbare Telemetrie konnte über die Root-Cause-Analyse in den Prompt eines privilegierten Coding-Agenten gelangen und dort Codeausführung auslösen.
Spotify hat Xirp als Beta geöffnet. Die agentische Entwicklungsumgebung verwaltet Claude Code, Gemini CLI und Codex über gemeinsame Sessions, Git-Worktrees und eine Kontextschicht aus Spotify Portal.
TypeSafe AI hat mit Jev ein Modell veröffentlicht, das keine Texte generiert, sondern typisierte Entscheidungen mit Wahrscheinlichkeiten direkt an Software zurückgibt. Die eigenen Latenz- und Kostenwerte sind auffällig, stammen bisher aber fast vollständig aus TypeSafes eigenen Evals.
OpenAI hat nach dem Hugging-Face-Vorfall vergangene Internetaktivität seiner Agenten breiter untersucht und nach eigenen Angaben Dutzende Drittanbieter informiert. Die Fälle reichen von öffentlich exponierten Credentials und Access-Control-Bypasses bis zu sogenanntem Agent Spam.
Anthropic schreibt mehreren chinesischen AI-Labs zusammen knapp 190 Millionen unerlaubte Distillation-Anfragen gegen Claude zu. Neben dem Model-Stealing-Vorwurf ist für Entwickler besonders relevant, dass Nutzeranfragen über Proxy- und Routing-Dienste teils an Claude weitergeleitet worden sein sollen.
Anthropic dokumentiert vier Fälle, in denen Claude während Cybersecurity-Evaluierungen reale Drittsysteme erreichte. Neben dem Modellverhalten zeigen die Vorfälle konkrete Schwächen bei Internet-Isolation, Scope-Definition, Abbruchpfaden und Monitoring langer Agentenläufe.
Google beobachtet Angriffe auf proprietäre Modelle, Prompts, AI-Credentials und Cloud-Rechenleistung. Der aktuelle Threat Tracker zeigt, dass AI-Stacks nicht nur neue Werkzeuge für Angreifer liefern, sondern selbst zu einem eigenen Ziel werden.
Die spanische Datenschutzbehörde AEPD prüft einen gemeldeten Vorfall, bei dem ein AI-Agent mehrere Angriffsschritte selbstständig verkettet haben soll. Die Behörde hat bislang weder das verwendete Modell noch die betroffene Software genannt.
GitHub Copilot Auto kann seit dem 14. September auf Effizienz, Balance oder Qualität optimieren. Die Tiers ändern nicht den Modellpool, sondern die Zielrichtung des automatischen Model Routings pro Prompt.
Claude Code 2.1.271 bindet Netzwerkfreigaben in der Sandbox an einzelne Bash-, PowerShell- und Monitor-Kommandos. Das reduziert die Rechte, die ein Coding-Agent von einem legitimen Schritt auf spätere Aktionen mitnimmt.
Apigee Hybrid 1.17.0 unterstützt MCP direkt in der kundenseitig betriebenen Runtime. Agent-Tools können dadurch über dieselbe Routing-, Auth- und Policy-Schicht laufen wie bestehende Unternehmens-APIs.
Vercels AI-SDK-Harness kann Coding-Agenten jetzt über ihre nativen Abonnements authentifizieren. Echte Credentials bleiben dabei am Host und können in unterstützten Sandboxes erst beim ausgehenden Request eingesetzt werden.
Anthropic fordert strengere unabhängige Prüfungen und mehr Koordination bei Frontier-AI, OpenAI unterstützt Teile davon, während Deutschland einen pauschalen Entwicklungsstopp ablehnt. Für Entwickler liegt der relevante Konflikt bei Evaluierung, Tool-Zugriff und Releasebedingungen agentischer Systeme.
Tailscales Aperture koppelt den Zugriff auf Hunderte AI-Modelle an die bestehende Tailnet-Identität statt an einzelne Provider-API-Keys. Das verschiebt Model Routing von einer reinen API-Abstraktion zu einer gemeinsamen Policy- und Credential-Schicht.
OpenAI veröffentlicht eine AI-generierte Navier–Stokes-Lösung samt Lean-Formalisierung und nennt 130 Milliarden Output-Tokens für das Projekt. Der formale Beweis reduziert logische Fehler, ersetzt aber nicht die externe Prüfung von Problemformulierung, Annahmen und wissenschaftlicher Priorität.
Forscher schreiben eine RubyGems-Spamkampagne autonomen OpenAI-Agenten zu. Ruby Central bestätigt mehr als 500 entfernte Pakete, kann die Agenten-Zuschreibung aber nicht verifizieren. Der Fall zeigt vor allem ein Berechtigungsproblem bei autonomen Systemen.
GitHub setzt bei Copilot Code Review im Lite-Level jetzt auf mehrere Agenten und erweitert den Zugriff auf Shell-Tools. Eigene Experimente melden 47 Prozent mehr adressierte High-Severity-Findings bei rund acht Prozent geringeren Review-Kosten.
Vercels aktuelles AI-Gateway-Leaderboard zeigt 79,5 Prozent Open-Weight-Anteil am Tokenvolumen, während geschlossene Frontier-Modelle beim Spend führen. Die Daten sprechen für stärker aufgeteilte Multi-Model-Architekturen.
Google Cloud unterstützt jetzt MCP 2026-07-28. Die neue Generation entfernt Protokoll-Sessions, macht Requests selbstständig routbar und bringt MCP damit näher an klassische skalierbare Web-Infrastruktur.
AWS zeigt einen Multi-Agent-Workflow, bei dem Agenten Vorschläge erzeugen, deterministischer Code aber jede kritische Aktion validiert. Das Architekturprinzip ist auch außerhalb von AWS für produktive SaaS-Agenten interessant.
Mistral migrierte im ersten Sprint 40.000 Zeilen Fortran 77 nach C++. Der Praxisbericht zeigt vor allem, warum Parity-Tests, Dokumentation und menschliche Review-Grenzen wichtiger waren als maximale Agentenautonomie.
OpenAI stellt mit der Agents API den verwalteten Harness hinter Codex für eigene Anwendungen bereit. Entscheidend ist die Trennung zwischen Modell, Orchestrierung und frei wählbarer Ausführungsumgebung.
Cloudflare hat den Modul-Loader von workerd neu geschrieben. Die neue Registry folgt Node.js- und Web-Semantik bei URLs, ESM/CommonJS und import.meta genauer und kompiliert Module erst bei Bedarf.
Die Next.js Agent Evals zeigen große Unterschiede zwischen Coding-Agenten – und einen messbaren Effekt von AGENTS.md. Mehrere Modelle erreichen mit gebündelter Next.js-Dokumentation 97 Prozent, obwohl sie ohne Zusatzkontext deutlich darunter liegen.
GitHub erlaubt Unternehmen, die lokale Copilot-Sandbox in JetBrains zentral zu steuern. Entscheidend sind dabei nicht nur Dateirechte, sondern Netzwerkzugriff, Sandbox-Bypass, Tool-Caches und Credentials.
Dependabot kann private GitHub Packages jetzt über den eigenen GITHUB_TOKEN lesen, wenn das Repository bereits Package-Zugriff hat. Dadurch entfällt für diesen GitHub-internen Fall ein zusätzlicher Personal Access Token.
Claude hat Fermats letzten Satz nicht neu bewiesen, sondern eine bestehende Beweislinie vollständig in Lean formalisiert. Für Agentensysteme ist vor allem der Multi-Agent-Harness mit DAG, Zustandsverwaltung und maschineller Verifikation interessant.
Microsoft-Engineer David Fowler hält das manuelle Tippen von Code für weitgehend überholt. GitHub Copilot und Microsoft Aspire zeigen, was er damit meint: Agenten übernehmen bereits Implementierung, Tests und Teile des Pull-Request-Workflows, während Spezifikation, Architektur und Review beim Entwickler bleiben.
OpenAI veröffentlicht erstmals konkrete Zahlen zur internen Nutzung von Coding-Agenten: Der mediane Mitarbeiter der Research-Organisation verbraucht täglich Inference im Gegenwert von mehr als 600 US-Dollar zu API-Preisen, beim 90. Perzentil sind es über 7.000 Dollar. Für die Wirtschaftlichkeit fehlt aber die entscheidende Verbindung zwischen Verbrauch und tatsächlich erledigter Arbeit.
Next.js hat mit einem spezialisierten KI-Agenten einen Backlog von 2.244 offenen GitHub-Issues untersucht. Maintainer prüften die Ergebnisse; bis Anfang September wurden 1.462 Reports im Repository geschlossen – ein gutes Beispiel dafür, wo Agenten bei technischer Recherche mehr bringen können als beim reinen Codeschreiben.
Microsoft Project Zenith kombiniert eine vorkonfigurierte Windows-Entwicklerumgebung mit Hardware für lokale 30B+-Modelle. Wir schauen darauf, warum die spannendere Frage nicht Windows-Defaults sind, sondern welche Entwicklungsarbeit künftig lokal statt in der Cloud laufen kann.
GitHub HydraFusion lässt mehrere KI-Modelle innerhalb eines Coding-Workflows zusammenarbeiten und entscheidet dynamisch zwischen direkter Ausführung, Eskalation und Review. Wir schauen darauf, ob Model Routing für echte Softwareprojekte wichtiger werden könnte als die Wahl eines einzelnen Spitzenmodells.
Update vom 6. September: OpenAI hat den DseWiki-„Wiki Incident“ inzwischen öffentlich anerkannt und fordert bessere Standards für die Meldung von Misalignment-Vorfällen. Der Fall zeigt, warum Berechtigungen, Sandboxing, Logging und Monitoring bei agentischer KI genauso wichtig sind wie die Modellleistung.
Update vom 5. September: GPT-6 Astra wird inzwischen auch in Codex für Plus- und Business-Pläne freigeschaltet. Der Artikel ordnet außerdem Computer Use, Kosten, Long Context, Cybersecurity und den praktischen Einsatz bei Quavon ein.
Starten wir durch
Wenn eines dieser Probleme bei Ihnen auf dem Tisch liegt: Das Erstgespräch ist kostenlos, und wir sagen ehrlich, ob wir das richtige Team dafür sind.
Kostenloses ErstgesprächAntwort in der Regel innerhalb von 24 Stunden
