Ausgabe vom 9. Juli 2026

Der Berliner Think-Tank Agora Digitale Transformation veröffentlichte am 8. Juli 2026 die Studie „Meinungsbildung im Wandel: wie KI-Modelle Nachrichtenquellen selektieren", über die der Spiegel berichtete. Untersucht wurden Claude, ChatGPT und Gemini auf ihre Quellenauswahl bei Nachrichtenanfragen. Ergebnis: Claude und Gemini bezogen nur rund die Hälfte ihrer Quellen aus journalistischen Angeboten, während ChatGPT überwiegend auf Presseerzeugnisse zurückgriff. Claude vermischte dabei Inhalte aus dem russischen „Pravda"-Netzwerk gleichberechtigt mit seriösem Journalismus, ohne dies für Nutzer erkennbar zu machen. Konkrete Fehlerquoten nennt der Sekundärbericht nicht — kritisiert wird vor allem die fehlende Transparenz der Anbieter über ihre Quellenauswahl generell.

Genauere Zahlen liefert ein flankierender Audit des Faktencheck-Dienstes NewsGuard, der Claude gezielt mit 60 Prompts zu russischen und iranischen Falschbehauptungen konfrontierte — in drei Rollen: „Innocent User", „Leading Prompt" und „Malign Actor". Claude wiederholte russische Falschbehauptungen in 15 Prozent der neutralen und 20 Prozent der böswillig formulierten Anfragen, gestützt unter anderem auf RT sowie drei Domains aus dem Pravda-Netzwerk in Frankreich, Finnland und der Slowakei. Bei iranischen Themen lag die Fehlerquote ebenfalls bei rund 20 Prozent, erstmals mit Zitat der staatlichen Tehran Times. Das ist ein deutlicher Anstieg gegenüber nur 4 Prozent in sieben vorangegangenen NewsGuard-Audits.

Das Pravda-Netzwerk — Nachfolger von „Portal Kombat" — ist moskaubasiert und betreibt hunderte Seiten, die seriösen Nachrichtenportalen nachempfunden sind. Laut NewsGuard publizierte es 2025 rund 6,3 Millionen Artikel zu 115 wiederkehrenden Falschbehauptungen. Die dahinterliegende Taktik heißt „LLM Grooming": gezielte Daten-Flutung, um Trainings- und Websuch-Daten von KI-Modellen mit Propaganda zu kontaminieren, in der Hoffnung, dass Modelle diese Inhalte irgendwann als legitime Quelle behandeln. Das Problem betrifft laut einer früheren, breiter angelegten NewsGuard-Untersuchung praktisch die gesamte Branche: In rund jeder dritten Antwort von zehn getesteten Chatbots — darunter ChatGPT, Gemini, Grok, Copilot und Meta AI — fanden sich pro-russische Falschinformationen. Grok schnitt dabei am schlechtesten ab, Gemini galt als vergleichsweise robustestes Modell. Auch das europäische Modell Mistral wurde laut einem Euronews-Bericht als anfällig beschrieben.

Auffällig ist der Kontrast zur bisherigen Reputation: Claude gehörte in früheren NewsGuard-Tests mit nur 4 Prozent Fehlerquote zu den zuverlässigsten Modellen überhaupt — der jetzige Anstieg deutet eher auf eine konkrete Verschlechterung hin, möglicherweise im Zusammenhang mit der seit März 2025 aktiven Websuch-Funktion, als auf ein grundsätzlich neues Problem. Anthropic beantwortete laut NewsGuard weder die ursprüngliche Methodik-Anfrage noch zwei Nachfass-E-Mails; eine spezifische Stellungnahme zur Agora-Studie vom 8. Juli war zum Redaktionsschluss nicht auffindbar. Für Unternehmen, die Claude oder vergleichbare Modelle für Recherche- oder Content-Aufgaben mit Nachrichtenbezug einsetzen, folgt daraus eine klare Konsequenz: Quellenangaben von KI-Modellen bei politisch sensiblen Themen sollten grundsätzlich stichprobenartig gegengeprüft werden, statt sie als bereits journalistisch kuratiert vorauszusetzen.

Die Sicherheitsfirma Wiz veröffentlichte am 8. Juli 2026 eine Analyse unter dem Namen „GhostApproval": eine Kombination aus zwei klassischen Unix-Schwachstellen — Symlink-Following und einer sogenannten TOCTOU-Lücke (Time-of-Check-Time-of-Use). Zwischen dem Moment, in dem ein Coding-Agent einem Nutzer einen Bestätigungsdialog zeigt, und dem tatsächlichen Schreibzugriff kann sich das Ziel eines symbolischen Links ändern, oder der Dialog zeigt von vornherein nicht den echten Zielpfad. Praktisch bedeutet das: Legt ein Angreifer in einem Repository eine harmlos benannte Datei ab, die in Wahrheit ein Symlink auf eine sensible Datei wie ~/.ssh/authorized_keys ist, zeigt der Freigabe-Dialog nur den harmlosen Projektpfad. Stimmt der Nutzer der vermeintlich unkritischen Änderung zu, landet ein fremder SSH-Schlüssel in den autorisierten Zugängen.

Betroffen sind laut Wiz Amazon Q Developer, Claude Code, Augment, Cursor, Google Antigravity und Windsurf. Die Reaktionen der Hersteller fallen unterschiedlich aus: Amazon (CVE-2026-12958) und Cursor (CVE-2026-50549) haben bereits gepatcht, ebenso Google Antigravity. Anthropic bezeichnete den Bericht zunächst als „außerhalb des Bedrohungsmodells", löst Symlinks inzwischen aber auf. Augment und Windsurf haben die Lücke bislang nicht geschlossen — Windsurf bestätigte den Eingang der Meldung bereits am 23. Juni, ohne dass seither eine Nachverfolgung sichtbar wurde.

Fast zeitgleich zeigten Sicherheitsforscher von Noma Security unter dem Namen „GitLost", dass ein einzelnes öffentliches GitHub-Issue genügt, um GitHub Agentic Workflows — KI-Agenten, die autonom in GitHub Actions arbeiten — zur Preisgabe von Daten aus privaten Repositories zu bewegen. Der Mechanismus ist eine klassische indirekte Prompt-Injection: Hat eine Organisation ihrem Agenten repository-übergreifenden Lesezugriff gegeben, genügt ein unauffälliges öffentliches Issue mit versteckten Befehlen, um den Agenten zum Auslesen privater Inhalte und deren Veröffentlichung als Issue-Kommentar zu bewegen. In einem Proof-of-Concept zog der Agent das README eines privaten Repos und postete es öffentlich — ausgelöst allein durch das Wort „Additionally" im injizierten Text, das bestehende GitHub-Guardrails umging.

Anders als bei GhostApproval gibt es für GitLost bislang keinen Patch: Laut Noma Security lässt sich das Problem „nicht vollständig im Code beheben", da es strukturell aus der Unfähigkeit des Agenten folgt, legitime Anweisungen von in fremdem Text versteckten Befehlen zu unterscheiden. Microsoft/GitHub reagierten laut The Register nicht auf Presseanfragen; eine vorgeschlagene Dokumentations-Warnung zum Scoping von Zugriffstokens war zum Berichtszeitpunkt noch nicht umgesetzt. Beide Vorfälle reihen sich in eine wachsende Liste von 2026er-Sicherheitsproblemen bei KI-Coding-Agenten ein — von einer Copilot-RCE-Lücke (CVSS 9,6) bis zu EchoLeak bei Microsoft 365 Copilot. OWASP führt Prompt Injection inzwischen als am schnellsten wachsende Angriffskategorie bei agentischer KI. Für Engineering-Teams heißt das konkret: repository-übergreifende Agent-Berechtigungen sollten so eng wie möglich gescoped werden, und Freigabe-Dialoge bei Dateioperationen sollten den tatsächlich aufgelösten Zielpfad anzeigen — nicht nur den vom Agenten vorgeschlagenen.

Apple hat mit Safari Technology Preview 247 einen offiziellen, über den WebKit-Blog veröffentlichten MCP-Server für Web-Entwickler eingeführt. Technisch baut er auf dem bestehenden safaridriver auf: Der Befehl safaridriver --mcp startet einen JSON-RPC-2.0-Server, der 15 bis 17 Werkzeuge bereitstellt (Quellen nennen leicht unterschiedliche Zahlen) — darunter Screenshot-Erfassung, DOM-Inspektion, JavaScript-Ausführung, Konsolen-Logs, Netzwerk-Request-Analyse und Tab-Management. Zielgruppe sind explizit Web-Entwickler, die MCP-fähige Coding-Agenten wie Claude oder OpenAI Codex zum autonomen Debuggen und Testen von Webseiten einsetzen — nicht Endnutzer, die damit alltäglich browsen lassen. Der Server läuft vollständig lokal ohne Netzwerkaufrufe an Apple und hat laut WebKit keinen Zugriff auf AutoFill, gespeicherte Passwörter oder den Browserverlauf.

Als größtes ungelöstes Risiko gilt Prompt Injection über manipulierte Webseiteninhalte — ein branchenweit ungelöstes Problem bei browser-verbundenen Agenten, das auch OWASP in seinen Top-10 für LLM-Anwendungen führt. WebKit rät Entwicklern explizit, „nur Agenten zu verbinden, denen man vertraut". Der Schritt reiht sich in eine bemerkenswert schnelle Standardisierungsgeschichte ein: Anthropic veröffentlichte MCP im November 2024 als offenen Standard, um das sogenannte N-mal-M-Integrationsproblem zu lösen — ohne Standard braucht jede Kombination aus KI-Anwendung und Datenquelle eigenen Verbindungscode. Bereits im März 2025 kündigte OpenAI volle Unterstützung an, im April 2025 folgte Google DeepMind. Im Dezember 2025 übergab Anthropic MCP schließlich an die neu gegründete Agentic AI Foundation unter dem Dach der Linux Foundation — mitgetragen von Anthropic, Block und OpenAI, unterstützt von Google, Microsoft, AWS, Cloudflare und Bloomberg.

Bei Browsern verfolgt Google mit Chrome einen anderen Ansatz: WebMCP, ein eigener, ab Chrome 146 unterstützter W3C-Standard, bei dem Websites selbst ihre Tools deklarieren. Safari geht umgekehrt vor und öffnet den Browser selbst für externe Agenten, unabhängig von der Mitwirkung einzelner Websites. Parallel etablieren sich mit Perplexity Comet und OpenAI ChatGPT Atlas eigenständige „agentische" Browser, die eigene, nicht primär MCP-basierte Endnutzer-Automatisierung anbieten — Apples Schritt bleibt vorerst klar auf Entwickler-Debugging beschränkt, gilt aber als Signal, wie tief MCP inzwischen in die Produktstrategien selbst der vorsichtigsten Konzerne vorgedrungen ist.

Für Unternehmen, die MCP-Integrationen planen oder bereits betreiben, ist die Entwicklung ambivalent zu bewerten. Positiv: Die breite Herstellerunterstützung senkt das Risiko von Vendor-Lock-in bei der Wahl eines KI-Anbieters, weil einmal gebaute MCP-Connectors grundsätzlich anbieterübergreifend funktionieren. Negativ: Mit jedem neuen offiziellen MCP-Server — insbesondere einem, der direkten Zugriff auf Browser-Sitzungen erlaubt — wächst die potenzielle Angriffsfläche für Prompt-Injection-Angriffe, die 2025 bereits bei Diensten wie Asana und Supabase zu dokumentierten Sicherheitsvorfällen geführt haben. Governance und Berechtigungsmanagement für MCP-Server werden damit zum eigentlichen Gatekeeper für den produktiven Enterprise-Einsatz, nicht die technische Reife des Protokolls selbst. Wie MCP binnen weniger als zwei Jahren vom Anthropic-Alleingang zum herstellerneutralen Standard wurde und welche Konsequenzen das für Unternehmensentscheider hat, beleuchtet die heutige Reportage im Detail.

Prime Intellect hat eine Series-A-Runde über 130 Millionen Dollar abgeschlossen, angeführt von Radical Ventures und unter Beteiligung von Nvidia Ventures, Intel Capital, Dell Technologies Capital und Iconiq sowie Angel-Investoren wie Perplexity-CEO Aravind Srinivas und Box-CEO Aaron Levie. Das 2024 von Vincent Weisser und dem früheren Aleph-Alpha-Ingenieur Johannes Hagemann gegründete Unternehmen bietet eine „Full-Stack"-Infrastruktur, mit der Unternehmen eigene KI-Agenten trainieren können, ohne vollständig auf Frontier-Labs wie OpenAI oder Anthropic angewiesen zu sein — Rechenkapazität, Reinforcement-Learning-Framework und Evaluierungstools als modularer Marktplatz. Weisser begründet die Mission so: „Es sollten nicht nur wenige in einem Glasturm in San Francisco die Fähigkeit haben, KI-Modelle zu trainieren." Von einer Seed-Runde über 5,5 Millionen Dollar im April 2024 ist die Bewertung damit auf rund eine Milliarde Dollar gestiegen.

Noch deutlicher fällt der Bewertungssprung bei SambaNova aus: Der KI-Chip-Hersteller sammelte eine erste Tranche von einer Milliarde Dollar bei einer Bewertung von 11 Milliarden Dollar ein, angeführt von General Atlantic und mit Beteiligung von Intel, T. Rowe Price, Capital Group, BlackRock und der Qatar Investment Authority. Nur fünf Monate zuvor, im Februar 2026, hatte SambaNova eine Series E über 350 Millionen Dollar bei etwa 2,2 Milliarden Dollar Bewertung abgeschlossen — eine Verfünffachung binnen fünf Monaten. Bemerkenswert: Intel soll im Dezember 2025 noch Übernahmegespräche bei einer Bewertung von nur rund 1,6 Milliarden Dollar geführt haben, kurz bevor die Bewertung explodierte. SambaNovas „Reconfigurable Dataflow Unit"-Architektur zielt auf besonders stromsparende Inferenz sehr großer Modelle; als neuer Großkunde wird JPMorgan Chase genannt, daneben Saudi Aramco und SoftBank.

Beide Firmen positionieren sich im selben Wettbewerbsfeld wie Cerebras (im Frühjahr 2026 an die Börse gegangen, Bewertung 8,1 Milliarden Dollar, Aktienkurs seither rund ein Drittel unter Erstnotiz) und Groq (6,9 Milliarden Dollar Bewertung im Oktober 2025) — allesamt als Alternativen zu Nvidias Marktdominanz bei KI-Rechenzentren positioniert. Auffällig ist dabei ein Muster zirkulärer Beteiligungen: Nvidia Ventures investiert gleichzeitig in Prime Intellect, während Intel sowohl bei SambaNova investiert als auch zuvor eine Übernahme erwogen hatte. Der IWF warnte laut Berichten wiederholt, dass solche zirkulären Finanzierungsstrukturen — bei denen Käufer, Zulieferer und Investor im selben Kreis auftauchen — Umsätze und Bewertungen künstlich aufblähen können.

Die vier großen Hyperscaler Amazon, Alphabet, Microsoft und Meta planen laut Berichten zusammen rund 725 Milliarden Dollar an KI-Infrastruktur-Ausgaben, was ihren freien Cashflow auf ein Jahrzehnttief drücken soll. Analysten sehen dabei eine lokalisierte Blasendynamik vor allem bei privat hoch bewerteten Foundation-Model-Firmen und spekulativen Rechenzentrumsprojekten, während die größten börsennotierten Infrastrukturanbieter fundamentaler abgesichert erscheinen. Cerebras' Kursentwicklung nach dem eigenen Börsengang gilt in diesem Zusammenhang als Warnsignal dafür, dass private Bewertungssprünge wie bei SambaNova nicht automatisch öffentliche Marktbewertungen überstehen. Für Unternehmen, die auf Infrastruktur-Anbieter aus diesem Umfeld setzen, folgt daraus eine praktische Konsequenz: Verträge mit Multi-Jahres-Bindung sollten Exit- und Migrationsklauseln enthalten, falls sich einzelne Anbieter als überbewertet erweisen sollten.