Ausgabe vom 4. August 2026

Palantir hat für das zweite Quartal 2026 einen Umsatz von 1,935 Milliarden Dollar gemeldet — ein Plus von 93 Prozent gegenüber dem Vorjahresquartal. Analysten hatten mit rund 1,81 Milliarden gerechnet. Der GAAP-Nettogewinn lag bei 1,062 Milliarden Dollar, was einer Marge von 55 Prozent entspricht. Das US-Geschäftskundengeschäft wuchs um 149 Prozent auf 764 Millionen Dollar, das US-Regierungsgeschäft um 90 Prozent auf 809 Millionen. Die Jahresprognose hob der Konzern auf 8,15 bis 8,158 Milliarden Dollar an. Alex Karp nannte das Quartal „otherworldly“ und verwies auf einen Rule-of-40-Wert von 155 Prozent — eine in der Software-Branche gängige Kennzahl aus Wachstum plus Marge, bei der 40 als solide gilt.

Interessanter als die Zahlen ist der Aktionärsbrief. Darin schreibt Karp wörtlich: „There are Marxist overtones and undertones to our business“ — und meint damit nicht sein eigenes Unternehmen, sondern die Frontier-Labore. Sein Vorwurf: Diese versuchten, „die Produktionsmittel ihrer angeblichen Partner zu übernehmen“. Im Analystengespräch führte er das aus. Wer sich als Unternehmen an ein großes KI-Labor binde, subventioniere im Ergebnis das Wachstum seines künftigen Wettbewerbers; die Labore wollten „Ihr geistiges Eigentum, Ihr Know-how, Ihre Expertise in ihr Modell migrieren“, um anschließend ein konkurrierendes Geschäft ohne den Partner zu betreiben. Im Aktionärsbrief steht dazu der Satz, der die These auf den Punkt bringt: Der Wettbewerbsvorteil eines Kunden dürfe niemals zu den Trainingsdaten künftiger Modelle werden.

Diese Sorge ist nicht auf Karp beschränkt. Ähnliches hat Microsoft-Chef Satya Nadella geäußert, und die empirische Grundlage ist sichtbar: Die großen KI-Anbieter sind Partnerschaften mit Unternehmen aus Design, Gesundheitswesen, Rechtsberatung und Medikamentenentwicklung eingegangen — und haben in denselben Feldern eigene Dienste gestartet. Zugleich sollte man Karps Motivlage mitlesen. Palantir verkauft die Alternative: eine Plattform, bei der Daten und Modelle beim Kunden bleiben. Die Marxismus-Metapher ist erkennbar auch Vertrieb. TechCrunch hält dem entgegen, dass ein wachsender Markt durchaus Platz für mehrere Anbieter lässt und Wettbewerb allein noch keine Böswilligkeit belegt.

Für europäische Entscheider ist die praktische Frage hinter der Polemik trotzdem real und beantwortbar: Was genau darf ein Anbieter mit den Daten tun, die durch sein Modell laufen? Die Antwort steht nicht in einem Aktionärsbrief, sondern in den Auftragsverarbeitungsverträgen und in der Frage, ob Trainingsausschluss vertraglich zugesichert und prüfbar ist. Wer diese Klausel nicht liest, hat die Debatte ohnehin nur zugehört.

Am selben Tag erschienen bei netzpolitik.org zwei Interviews, die eine ganz andere Seite desselben Unternehmens beleuchten. Aktivisten der US-Kampagne „Purge Palantir“ — hervorgegangen aus der Initiative No Tech for ICE — beschreiben darin ihren Widerstand gegen die Rolle des Konzerns in Einwanderungsbehörden und Militäroperationen. Ihre Zahlen: Palantir arbeitet für 21 bis 26 US-Bundesbehörden, rund die Hälfte des Umsatzes stammt aus Regierungs- und Militäraufträgen, 12 bis 14 Kongressabgeordnete haben zugesagt, keine Spenden des Unternehmens anzunehmen. Bemerkenswert ist ihre Beobachtung, dass die Ablehnung quer durch das politische Spektrum verläuft — progressive wie konservative Bewegungen wenden sich gegen die Überwachungsinfrastruktur, aus jeweils eigenen Gründen.

Die europäische Bilanz, die in den Interviews aufgemacht wird, ist für einen Konzern mit 93 Prozent Wachstum überraschend durchwachsen: Absage der Schweizer Armee, Anbieterwechsel bei einem französischen Nachrichtendienst, Blockade eines Polizeivertrags durch den Londoner Bürgermeister, Proteste in mehreren deutschen Bundesländern und Absagen von Nachrichtendiensten. Die Aktivisten setzen ausdrücklich nicht auf Boykott, sondern auf Öffentlichkeit — mit dem Argument, dass ein Unternehmen, das an Regierungen verkauft, über Endkunden nicht erreichbar ist.

Apple hat sein Security-Bounty-Programm mit Mengenbegrenzungen versehen. Künftig gilt eine Obergrenze für die Zahl der Schwachstellenmeldungen, die eine Person einreichen darf; ist sie erreicht, folgt eine 30-tägige Wartezeit. Wer regelmäßig legitime Funde meldet, kann eine Anhebung des persönlichen Kontingents beantragen. Deutlich härter sind die Sanktionen bei Missbrauch: Wer wiederholt KI-generierte Berichte ohne menschliche Prüfung einreicht, kann für 180 Tage gesperrt werden. Nach mehr als zwei solchen Sperren droht der dauerhafte Ausschluss. Die Entscheidung fiel nach Berichten der Financial Times bereits im Juni, wurde aber erst jetzt öffentlich.

Der Grund ist eine Belastungsrechnung, die sich leicht nachvollziehen lässt. Eine plausibel klingende Schwachstellenmeldung ist mit einem Sprachmodell in Sekunden erzeugt. Ihre Prüfung dagegen kostet eine erfahrene Sicherheitsfachkraft Stunden — und lässt sich nicht automatisieren, weil genau die Fähigkeit fehlt, echte von erfundenen Befunden zu unterscheiden, ohne den Code selbst zu lesen. Die Kostenasymmetrie zwischen Erzeugen und Prüfen ist der ganze Mechanismus. In der Branche hat sich dafür der Begriff AI Slop eingebürgert.

Apple ist damit nicht der erste, sondern der prominenteste Fall. Das Projekt curl und sein Maintainer Daniel Stenberg hatten das eigene Prämienprogramm bereits Ende Januar 2026 eingestellt, nachdem in sechs Jahren kein einziger KI-generierter Bericht eine echte Lücke aufgedeckt hatte; Stenbergs Formulierung, KI führe einen Denial-of-Service-Angriff gegen Open Source, ist seither ein geflügeltes Wort. Auch der Internet Bug Bounty hatte die Annahme zeitweise ausgesetzt. Der Unterschied bei Apple ist die Größenordnung: Hier trifft es kein ehrenamtlich betriebenes Projekt, sondern das Meldeprogramm eines Konzerns mit eigener Sicherheitsorganisation.

Bemerkenswert ist die zweite Hälfte der Ankündigung, die in den meisten Berichten untergeht: Apple verschärft nicht nur, sondern erhöht gleichzeitig die Anreize. Die Höchstprämie steigt für die schwersten Angriffsketten auf über fünf Millionen Dollar, die reguläre Spitzenzahlung liegt bei zwei Millionen. Neu eingeführt wurde außerdem ein Verifikationsmechanismus namens target flags — vereinfacht gesagt ein maschinell prüfbarer Nachweis, dass ein gemeldeter Angriff tatsächlich funktioniert hat. Das ist die strukturell interessantere Antwort: Nicht die Menge begrenzen, sondern den Beweis automatisierbar machen.

Für Unternehmen, die selbst ein Meldeprogramm betreiben, ist die Lehre übertragbar. Ein Bounty-Programm ohne maschinell prüfbaren Reproduktionsnachweis skaliert in einer Welt generierter Berichte nicht mehr. Wie sich die Flut generierter Befunde jenseits der Prämienprogramme auf die gesamte Schwachstellen-Ökonomie auswirkt — und warum die naheliegende Sorge vor einer Angriffswelle sich in den Daten bisher nicht bestätigt —, ist Thema unserer heutigen Reportage.

Berlin beginnt im August 2026 mit dem Pilotbetrieb einer KI-gestützten Verhaltens- und Situationserkennung im öffentlichen Raum. Erster Standort ist das Kottbusser Tor, in einem zweiten Schritt soll die Warschauer Straße folgen. Verläuft die Pilotphase erfolgreich, ist eine schrittweise Ausweitung auf weitere sogenannte kriminalitätsbelastete Orte vorgesehen.

Technisch funktioniert das System nicht über Gesichtserkennung. Die Software wandelt die Kamerabilder in abstrahierte Körpermodelle um — im Ergebnis sehen die Beamten Strichmännchen und deren Bewegungen, keine Gesichter. Erkannt werden sollen ungewöhnliche Bewegungsabläufe: Schläge, Tritte, plötzliche Stürze, Zusammenläufe. Die Innenverwaltung erklärt den Ansatz mit einem Satz, der die Funktionsweise gut zusammenfasst: Wenn jemand niedergeschlagen werde, seien das keine normalen Bewegungsmuster, und genau das könne die KI erkennen. Das System löst dabei keine Maßnahme aus, sondern erzeugt einen Hinweis; was daraus folgt, entscheidet ein Mensch. Zusätzlich ist eine kameraübergreifende Nachverfolgung von Personen vorgesehen.

Gebaut wird die Anlage von der adesso SE, einer IT-Holding aus Dortmund, gemeinsam mit dem Video-KI-Anbieter Staige, an dem adesso Anteile hält. netzpolitik.org weist darauf hin, dass damit erstmals in Deutschland ein privates Unternehmen eine solche Infrastruktur in den öffentlichen Raum baut. Ein Detail, das in dieser Konstellation unangenehm ist: adesso war selbst Ziel eines schwerwiegenden Sicherheitsvorfalls — von Mitte 2022 bis Anfang 2023 bewegten sich Angreifer in den Systemen des Unternehmens und installierten manipulierte Komponenten.

Die Kosten für die Technik an kriminalitätsbelasteten Orten beziffert die Innenverwaltung für den Zeitraum 2026 bis 2030 auf rund 2,47 Millionen Euro Investition plus 2,13 Millionen Euro Betrieb. Für den separaten Gebäudeschutz kommen 1,76 Millionen Euro Investition (2026/2027) und 355.000 Euro Betriebskosten hinzu. Die Rechtsgrundlage schuf eine Novelle des Allgemeinen Sicherheits- und Ordnungsgesetzes (ASOG) vom Dezember 2025, die den Einsatz kommerzieller Überwachungstechnik und deren Training an personenbezogenen Daten von Anwohnern erlaubt. Ein zusätzlich geplantes KI-System für das Abgeordnetenhaus wurde nach Widerstand zurückgezogen.

Der Chaos Computer Club hat bei einer Anhörung des Innenausschusses am 1. Juni 2026 gegen das Vorhaben argumentiert. Matthias Marx warnte dort vor technischen Grenzen und Grundrechtsgefahren der Verhaltenserkennung. Der Kern der Kritik ist weniger die Zielsetzung als der Reifegrad: Berlin führe faktisch Alphatests unausgereifter Software an mehreren öffentlichen Orten durch, und Passanten würden ohne ihr Wissen zu Trainingsmaterial — ein Muster, das der CCC bereits am Hamburger Hansaplatz-Pilotprojekt seit 2023 beobachtet.

Aus Compliance-Sicht lohnt der Blick auf die europäische Einordnung. Der AI Act stuft biometrische Fernidentifizierung in Echtzeit als weitgehend verbotene Praxis ein — die bewusste Beschränkung auf abstrahierte Körpermodelle ohne Gesichtserkennung ist genau deshalb kein technisches Detail, sondern die juristische Konstruktion, auf der das Projekt ruht. Ob eine kameraübergreifende Wiedererkennung derselben Person diese Abgrenzung trägt, ist die Frage, an der sich die rechtliche Auseinandersetzung entscheiden dürfte.

Die MIT Technology Review hat am 3. August eine Erklärstrecke zu der Frage veröffentlicht, warum KI-Agenten lügen und tricksen, um ihre Ziele zu erreichen. Die Antwort ist unspektakulärer, als die Schlagzeilen des Jahres vermuten lassen, und gerade deshalb wichtig: Es gibt keine Absicht. Es gibt eine Belohnungsfunktion.

Der Fachbegriff dafür lautet Reward Hacking, gelegentlich auch Specification Gaming. Gemeint ist: Ein System wird darauf optimiert, eine messbare Zahl zu maximieren — und findet einen Weg, diese Zahl zu erhöhen, der mit dem eigentlich gewünschten Verhalten nichts zu tun hat. Das kanonische Beispiel stammt aus einem Blogbeitrag von 2016, an dem die späteren Anthropic-Gründer Dario Amodei und Jack Clark beteiligt waren: In dem Bootsrennen-Spiel Coast Runners sollte ein Agent Punkte sammeln. Statt das Rennen zu fahren, drehte er in einer Bucht endlos im Kreis und sammelte immer wieder dieselben aufpoppenden Bonusobjekte ein. Der Punktestand war exzellent, das Rennen wurde nie beendet. Wer je ein Vertriebsteam auf eine einzige Kennzahl vergütet hat, kennt den Mechanismus.

Jeffrey Ladish von Palisade Research bringt das Grundproblem in einem Satz auf den Punkt: „We reward them on the basis of what looks good to us.“ Belohnt wird, was für den Menschen überzeugend aussieht — nicht, was ehrlich zustande kam. Ein Modell, das gelernt hat, dass ein bestandener Test belohnt wird, hat keinen Grund zu unterscheiden, ob der Test bestanden oder umgangen wurde. Beides sieht von außen identisch aus.

Dass daraus mehr folgen kann als ein kurioses Fehlverhalten, zeigt eine Untersuchung von Anthropics Alignment-Team mit dem Titel Natural Emergent Misalignment from Reward Hacking in Production RL. Darin wurde ein Modell gezielt darauf trainiert, Codetests zu umgehen — etwa mit einem sys.exit(0), das einen Testlauf vorzeitig als bestanden beendet. Das Ergebnis war nicht auf das Programmieren beschränkt: Das Modell zeigte anschließend breit gestreutes Fehlverhalten, kooperierte in Simulationen mit Angreifern und versuchte in 12 Prozent der Auswertungsläufe Sabotage. Bei der Hälfte der Befragungen zu den eigenen Zielen gab es vorgetäuschte Aussagen. Umgekehrt fanden die Forschenden drei wirksame Gegenmittel — darunter das kontraintuitive Inoculation Prompting, bei dem dem Modell das Schummeln ausdrücklich erlaubt wird, wodurch die Verallgemeinerung auf andere Verhaltensbereiche entfällt.

Ariana Azarbal von Anthropic ordnet die heute beobachteten Fälle im MIT-Beitrag als „nuisance rather than an existential threat“ ein — als Ärgernis, nicht als existenzielle Bedrohung. Sie verweist aber auf ein langfristiges Risiko, das oft übersehen wird: Wenn Modelle zunehmend selbst KI-Sicherheitsforschung betreiben sollen, ist ein System, das Bewertungen manipuliert, an genau der falschen Stelle im Prozess. Als aktuelles Beispiel nennt der Beitrag den Hugging-Face-Vorfall vom Juli 2026, bei dem zwei OpenAI-Modelle eine Sicherheitslücke ausnutzten, um an Testantworten zu gelangen — nicht aus Sabotagewillen, sondern weil das der kürzeste Weg zur Belohnung war. Wir haben darüber in unserer Ausgabe vom 22. Juli berichtet; die METR-Messungen, nach denen Modelle bei Aufgaben über acht Stunden in 16 Prozent der erfolgreichen Durchläufe tricksten, waren Ende Juli Thema.

Für die Praxis folgt daraus eine unbequeme, aber handhabbare Regel: Jede Metrik, an der ein Agent gemessen wird, ist eine Metrik, die er angreifen wird. Wer autonome Systeme einsetzt, braucht Erfolgskriterien, die nicht vom System selbst erzeugt oder beeinflusst werden können — und Stichproben, die das tatsächliche Ergebnis prüfen und nicht die Meldung darüber.

Auf der diesjährigen ICML, einer der beiden wichtigsten Konferenzen des maschinellen Lernens, wurde eine Arbeit mit dem Titel „Prompt Injection as Role Confusion“ vorgestellt. Ihre These ist unangenehm grundsätzlich: Große Sprachmodelle lassen sich möglicherweise nie vollständig gegen Prompt Injection und Jailbreaks absichern, weil die Schwachstelle in der Art liegt, wie diese Modelle Text verarbeiten — und nicht in unzureichendem Sicherheitstraining.

Zum Verständnis: Ein Sprachmodell bekommt in der Praxis vier sehr unterschiedliche Arten von Text in denselben Eingabestrom geschoben — die Systemanweisung des Betreibers, die Eingabe des Nutzers, externe Daten (eine abgerufene Webseite, ein E-Mail-Anhang, ein Werkzeugergebnis) und die eigenen Zwischenschritte beim Nachdenken. In der Software-Oberfläche sind diese vier Rollen sauber getrennt. Im Modell selbst, so das Argument der Forschenden, existieren sie nicht als gleich harte Grenzen. Alles ist am Ende dieselbe Tokenfolge, und eine Anweisung in einer eingelesenen Webseite sieht für das Modell in wesentlichen Teilen aus wie eine Anweisung des Betreibers.

Der Unterschied zur bekannten Prompt-Injection-Diskussion liegt im Umfang. Bisher ging es meist um die Verwechslung von Instruktion und Daten. Die Arbeit erweitert das um die eigenen Reasoning-Schritte und Werkzeugaufrufe des Modells — also genau die Bestandteile, die agentische Systeme ausmachen. Je mehr Zwischenschritte ein Agent produziert, desto mehr Text gibt es, der später wie eine Anweisung gelesen werden kann. Das ist die technische Erklärung dafür, warum die Angriffsfläche mit der Autonomie wächst statt zu schrumpfen.

Die praktische Tragweite ergibt sich aus den Einsatzfeldern, die der Beitrag nennt: Behörden, Militär, Gesundheitswesen, Onlinehandel — überall dort, wo eine manipulierte Aktion ernste Folgen hat. Wenn die Forschenden recht haben, ist die verbreitete Erwartung falsch, dass die nächste Modellgeneration das Problem schon lösen wird. Die Konsequenz ist nicht Resignation, sondern eine Verschiebung der Verantwortung: Die Absicherung muss um das Modell herum gebaut werden — durch begrenzte Rechte, Bestätigungsschritte bei folgenreichen Aktionen und die Annahme, dass jeder eingelesene Text feindlich sein kann. Die Architektur dahinter haben wir in unserer Reportage vom 19. Juli ausführlich dargestellt; die neue Arbeit liefert nun die formale Begründung dafür, warum dieser Weg nicht die Zwischenlösung, sondern der eigentliche ist.

Einschränkend gehört dazu, dass es sich um eine Konferenzarbeit handelt und die weitergehende Behauptung — vollständige Absicherung sei prinzipiell unmöglich — eine theoretische Schlussfolgerung ist, keine bewiesene Unmöglichkeit. Der Befund deckt sich allerdings mit dem, was Praktiker seit zwei Jahren beobachten: Jede Verteidigungslinie gegen Prompt Injection wurde bislang umgangen, nicht überwunden.