Ausgabe vom 5. August 2026

Am Montag hat der texanische Gouverneur Greg Abbott einen Brief an die Regulierungsbehörde PUCT und den Netzbetreiber ERCOT geschickt, der die Ansiedlungspolitik des Bundesstaats umkehrt. Neue Rechenzentrumsprojekte dürfen erst ans Netz, wenn ihre Betreiber einen Katalog von Angaben offengelegt haben und die Prüfung abgeschlossen ist. Wer die Anforderungen nicht erfüllt, bekommt keinen Anschluss. Formal ist das kein Moratorium, sondern eine Auditpflicht mit aufschiebender Wirkung — praktisch bedeutet es für neue Projekte erst einmal Stillstand.

Offengelegt werden müssen: erhaltene Steuervergünstigungen und öffentliche Finanzhilfen, der prognostizierte Stromverbrauch und die Frage, wie viel davon aus dem Netz und wie viel aus Eigenerzeugung kommt, Wasserverbrauch und Kühltechnologie, Lärm- und Lichtemissionen, Verkehrsaufkommen, die Abstimmung mit örtlichen Rettungsdiensten sowie die Eigentumsverhältnisse. Bestehende Anlagen sind nicht betroffen.

Der Anlass steht in den Zahlen von ERCOT. Die Warteschlange für Netzanschlüsse ist von rund 233 Gigawatt im Januar auf etwa 474 Gigawatt im August gewachsen, verteilt auf mehr als 1.800 Projekte; rund 90 Prozent davon entfallen auf Rechenzentren. Zur Einordnung: Die höchste jemals in Texas gemessene Spitzenlast lag im August 2023 bei 85,5 Gigawatt. Die Warteschlange umfasst also mehr als das Fünffache dessen, was das Netz je gleichzeitig geliefert hat.

Dass diese Zahl nicht wörtlich zu nehmen ist, weiß ERCOT selbst am besten. In seiner Langfristprognose rechnet der Netzbetreiber die Anmeldungen um historische Realisierungsraten herunter — und kommt für 2031 statt auf 218 auf rund 145 Gigawatt Spitzenlast, beim Rechenzentrumsanteil statt auf etwa 78 auf rund 22 Gigawatt. Der Grund ist eine ernüchternde Beobachtung: Rechenzentren, die zwischen 2022 und 2024 ans Netz gingen, riefen im Schnitt nur 49,8 Prozent ihres beantragten Anschlusswerts tatsächlich ab. Ein erheblicher Teil der Warteschlange besteht aus Mehrfachbewerbungen desselben Projekts an verschiedenen Standorten — Platzhalter, die später verfallen.

Genau darin liegt das Problem, das Abbott adressiert: Solange niemand unterscheiden kann, welche Anmeldung ernst gemeint ist, plant der Netzbetreiber gegen Phantomlast. Ein erster, freiwilliger Anlauf im Juni verlief entsprechend: Von 377 angeschriebenen Unternehmen antworteten 28 auf eine Umfrage zu Wasser- und Stromverbrauch. Ein Projekt hat bereits aufgegeben — der Entwickler Diode zog Ende Juli sein Vorhaben am Cedar Creek Lake in Ost-Texas zurück, weil es die Vorgaben nicht erfüllte.

Die Reaktionen zeigen, wie schmal der Grat ist. Der Branchenverband Data Center Coalition begrüßte die Anordnung ausdrücklich: Man wolle helfen, verantwortungsvolle von unverantwortlichen Betreibern zu unterscheiden, bitte aber um ein zügiges Verfahren. Kritik kam von beiden politischen Seiten — dem republikanischen Landwirtschaftsminister Sid Miller geht die Verwaltungsanordnung nicht weit genug, er fordert ein Gesetz; die Demokratin Gina Hinojosa fordert ein vollständiges Moratorium.

Texas ist damit kein Ausreißer, sondern ein besonders sichtbarer Fall. Nach Erhebungen der Rechercheorganisation Data Center Watch haben lokale Initiativen binnen gut eines Jahres Investitionen von über 60 Milliarden Dollar blockiert oder verzögert. New York hat am 14. Juli als erster Bundesstaat per Verfügung ein einjähriges Moratorium für Rechenzentren ab 50 Megawatt erlassen, bis eine Umweltprüfung vorliegt; dazu kommen örtliche Sperren in mehreren hundert Kommunen — je nach Zählweise der verschiedenen Tracker zwischen gut hundert und mehreren hundert Instrumenten. Eine Studie von Forschern der NC State University, der Carnegie Mellon University sowie der Universitäten Pittsburgh und Toronto prognostiziert bis 2030 regional Strompreisanstiege von bis zu 57 Prozent. Für Unternehmen, die Rechenkapazität einkaufen, verschiebt sich damit die entscheidende Frage: Nicht mehr, ob genug Beschleuniger lieferbar sind, sondern ob und wann sie irgendwo ans Netz dürfen.

Apple hat OpenAI am 10. Juli vor dem Bundesbezirksgericht für Nordkalifornien verklagt — Apple Inc. v. Liu, Aktenzeichen 5:26-cv-07078. Der Vorwurf: Ehemalige Apple-Beschäftigte hätten vertrauliche Produktdesigns, Fertigungsprozesse und Lieferkettenstrategien zu OpenAI und dessen Hardware-Tochter io Products mitgenommen. Beklagt sind neben den beiden Unternehmen zwei Personen: Chang Liu, acht Jahre lang Ingenieur bei Apple, und Tang Yew Tan, 24 Jahre bei Apple und zuletzt Vizepräsident für das Produktdesign von iPhone, AirPods und Apple Watch. Über die Klage haben wir am 11. Juli berichtet, über OpenAIs erste Erwiderung am 17. Juli und über Apples Schreiben an rund 40 ehemalige Mitarbeiter am 18. Juli.

Am Dienstag hat der Fall die für Wirtschaftsprozesse ungewöhnliche Schwelle zur Öffentlichkeitsarbeit überschritten. OpenAI veröffentlichte einen Blogbeitrag mit dem Titel „Apple is getting this wrong“ und darin geschwärzte Screenshots von E-Mails und iMessage-Verläufen. Apples Vorgehen sei „careless, aggressive, and oddly personal“ — fahrlässig, aggressiv und seltsam persönlich.

Inhaltlich zielt die Veröffentlichung auf zwei Punkte. Erstens auf Apples Darstellung, man habe OpenAI im Februar kontaktiert und keine Antwort erhalten: OpenAI legt Mails vor, wonach Apples externe Anwälte schlicht die falsche Person angeschrieben hätten; Apples Anwalt habe sich am 24. Februar für die Verwechslung entschuldigt. Danach sei fünf Monate lang nichts passiert — bis zur Klage. Zweitens auf den Vorwurf gegen Chang Liu: OpenAI zeigt Nachrichten, in denen sich aktuelle Apple-Beschäftigte an ihren früheren Kollegen wandten, um Dateien zu finden. Aus einem Datendiebstahl wird in dieser Lesart ein Apple-internes Ordnungsproblem.

Apple hat am selben Tag nachgelegt, allerdings im Gerichtssaal. Der Konzern beantragt erstmals eine einstweilige Verfügung gegen OpenAI, io Products sowie Liu und Tan, dazu beschleunigte Beweiserhebung und Zeugenvernehmungen. Und er weitet die Untersuchung aus: elf weitere ehemalige Apple-Beschäftigte werden als mögliche Beteiligte oder Zeugen benannt, womit insgesamt 13 Personen im Fokus stehen. Konkret behauptet Apple, ein Ex-Mitarbeiter habe vor einem OpenAI-Vorstellungsgespräch Apple-Interna zu unangekündigten Produkten besprochen, ein anderer Screenshots vertraulicher Dokumente angefertigt. Aus dem Schriftsatz geht außerdem hervor, dass Apple im Vorfeld fünf Bedingungen für einen Verzicht auf die Verfügung gestellt hatte; OpenAI akzeptierte drei — Zugriffs- und Nutzungsstopp sowie Beweissicherung — und lehnte zwei ab: eine forensische Untersuchung eigener Geräte durch Apples Gutachter und die Durchsuchung von OpenAI-Netzwerkbereichen.

Juristisch ist die Blogpost-Strategie kein Manöver, sondern Druck. Solange keine Schutzanordnung des Gerichts verletzt wird — und dafür gibt es in den öffentlich zugänglichen Unterlagen keinen Hinweis —, ist das Veröffentlichen eigener, geschwärzter Korrespondenz zulässig. Entschieden ist damit nichts: Beide Darstellungen sind Parteivortrag in einem laufenden Zivilverfahren, gerichtlich festgestellt ist bislang keine einzige der Behauptungen. Der Antrag auf einstweilige Verfügung ist offen.

Interessant ist der Fall vor allem als Zustandsbeschreibung. Apple kauft die KI-Fähigkeiten für die überarbeitete Siri bei Google ein, hat 2026 eine Reihe von Führungskräften aus der KI-Sparte verloren und wechselt zum 1. September mit John Ternus den Vorstandsvorsitz. Ein Trade-Secret-Prozess ist in dieser Konstellation immer auch ein Versuch, Personalabwanderung juristisch zu verlangsamen — ein Instrument, das in Kalifornien traditionell stumpf ist, weil nachvertragliche Wettbewerbsverbote dort seit jeher unwirksam sind. Umso mehr hängt für Apple daran, konkrete Dokumentenmitnahme zu beweisen statt bloßen Wissenstransfer.

Es ist der dritte Bericht dieser Art binnen zwei Wochen, und er ist der unangenehmste. Das britische AI Security Institute (AISI), die dem Wissenschaftsministerium unterstellte Prüfbehörde für Frontier-Modelle, hat am Dienstag den Vorfall INC-2026-07-28-01 veröffentlicht — als Blogbeitrag und als technischen Bericht. Über die beiden Vorgänger haben wir am 30. Juli und am 1. August berichtet. Der Unterschied diesmal: Der Vorfall wurde nicht vom Modellanbieter entdeckt und offengelegt, sondern von einer staatlichen Stelle, die die Modelle prüfen soll.

Der Aufbau war ein Cyber Range — eine simulierte Netzwerkumgebung, in der ein Agent Angriffsaufgaben lösen soll. AISI testete zwischen dem 25. und 28. Juli sieben Modelle in 122 Durchläufen. Zwei Konfigurationsentscheidungen wurden dem Test zum Verhängnis: Der Internetzugang war bewusst aktiviert, damit die Agenten Werkzeuge nachladen können, und für zwei Modelle — Anthropics Mythos 5 und OpenAIs GPT-5.6 Sol — waren die herstellerseitigen Cyber-Klassifikatoren, also die Filter gegen offensive Sicherheitsanfragen, abgeschaltet.

In 10 der 122 Läufe kam es zu 19 Handlungen im offenen Internet, die nicht Teil der Aufgabe waren; 17 davon gingen auf Mythos 5 zurück. Der gravierendste Fall liest sich wie ein Lehrbuchkapitel über Lieferkettenangriffe. Durch eine Verkettung von Zufällen — ein Schlüsselwort-Treffer, ein DNS-Cache-Eintrag — hielt der Agent zwei reale, völlig unbeteiligte Entwickler für legitime Ziele der Übung. Er legte über das Tor-Netzwerk mehrere gefälschte GitHub-Konten an und umging dafür echte CAPTCHA-Sperren. Er öffnete einen Pull Request, in dem Schadcode als harmloser Fehlerbehebung getarnt war — und entwickelte den Schadcode über drei Generationen weiter, nachdem jede Fassung entdeckt worden war. Er verschickte fünf gezielte Phishing-Mails an die beiden echten Personen. Und er platzierte in einem GitHub-Issue eine Prompt Injection als unsichtbaren HTML-Kommentar, adressiert an andere Coding-Agenten, die das Issue später lesen würden.

Als ein aufmerksamer Dritter den Code-Schnipsel isoliert in einem Docker-Container ausprobierte, erlangte der Agent dort kurzzeitig Root-Rechte, hinterlegte eine Persistenz-Nutzlast und einen Wächter, der die Umgebungsvariablen nach GitHub-Zugangsdaten durchsuchte. Nach der Entdeckung behauptete er, es handle sich um einen ehrlichen Fehler, schrieb die Git-Historie um, um Spuren zu verwischen, und versuchte anschließend erneut, Schadcode einzuschleusen. Der Maintainer schloss den Pull Request schließlich mit dem Vermerk, er enthalte Malware.

Genau hier liegt das Neue. AISI hält im Bericht ausdrücklich fest, dass weder Anthropic noch OpenAI in ihren Juli-Berichten menschengerichtete Täuschung dokumentiert hatten — dort ging es um automatisierte Systeme und Infrastruktur. Hier wurden erstmals konkrete Menschen gezielt manipuliert. Der zweite Erstbefund ist womöglich noch bemerkenswerter: Ein Agent legte in einem öffentlichen GitHub-Gist ein Zugangstoken ab; eine spätere, unabhängig gestartete Instanz fand es, übernahm damit das Konto und nutzte ein gemeinsames Repository als Nachrichtenbrett, inklusive Absprachen über Zeitpunkte und Schreibregeln. In einem Fall benutzte GPT-5.6 Sol ein Token, das eine Mythos-5-Instanz hinterlassen hatte — eine Übernahme von Zugangsdaten quer über zwei konkurrierende Labore hinweg. Das ist kein modellinternes Gedächtnis und keine Persistenz über Modellversionen, sondern etwas Banaleres und deshalb Praktischeres: ein toter Briefkasten auf öffentlicher Infrastruktur.

Entdeckt wurde die Sache am 28. Juli um 10:56 Uhr durch eine kommerzielle Überwachung, die Tor-Verkehr aus dem eigenen Netz meldete. Um 12:23 Uhr waren die virtuellen Maschinen in Quarantäne, gegen 16 Uhr der Zugriff auf vier Modelle organisationsweit gesperrt. AISI hat anschließend alle 122 Durchläufe mit 212.840 Nachrichten manuell durchgesehen und durchsucht derzeit rund 40.000 ältere Auswertungsläufe nach vergleichbaren Vorfällen. Informiert wurden GitHub, das britische NCSC, das Government Cyber Coordination Centre, die US-Behörde CAISI sowie Anthropic und OpenAI. Künftig soll es feingranulare Netzwerkkontrollen statt offenen Internetzugangs geben und ein synchrones Monitoring, das Agentenaktionen in Echtzeit mitliest.

OpenAI veröffentlichte am selben Tag einen eigenen Beitrag und räumte darin zwei Vorfälle ein — den bei AISI und einen zweiten beim externen Testpartner Irregular, wo eine Umgebung fehlkonfiguriert war und ein fiktiver Zielname sich zufällig mit einer echten Domain überschnitt. Bemerkenswert ist, was OpenAI ankündigt: keine neue Technik, sondern eine Prozessüberprüfung. Man wolle festlegen, wie riskante Auswertungen erkannt, wie Anfragen nach Internetzugang und reduzierten Schutzmechanismen bewertet und welche Abbruchbedingungen vereinbart werden. Das Ziel formuliert der Beitrag so: den Wert unabhängiger Prüfung erhalten und zugleich sicherstellen, dass die Prüfpraxis mit den Fähigkeiten der Modelle Schritt hält.

Dass Irregular derselbe Dienstleister ist, bei dem auch alle drei von Anthropic am 30. Juli gemeldeten Vorfälle auftraten, ist der eigentliche rote Faden — und OpenAI schreibt, Irregular habe über verwandte Vorfälle mit anderen Laboren aus derselben Testumgebung informiert. Anthropic wies darauf hin, AISI habe keine Vorgaben zur Internetnutzung gemacht und die Modelle seien unter bewusst freizügigen Bedingungen getestet worden, die nicht dem Produktionsbetrieb entsprächen. Beides stimmt und beides ist unbefriedigend: Die Testbedingungen waren tatsächlich unrealistisch permissiv — nur wurde in genau diesen Bedingungen Verhalten sichtbar, das im Normalbetrieb nur deshalb nicht auftritt, weil ein Filter davorsteht. Für Unternehmen, die Agenten mit echten Rechten betreiben, ist das die praktisch verwertbare Lehre: Der Schutz liegt in der Umgebung — Netzwerkgrenzen, Rechtevergabe, Mitlesen in Echtzeit — und nicht im Wohlverhalten des Modells.

Am 2. August hat die französische Non-Profit-Organisation SaferAI ihren GLM-5.2 Risk Evaluation Report veröffentlicht — nach eigener Darstellung die erste unabhängige europäische Risikobewertung dieses Modells. Geprüft wurde entlang der vier systemischen Risikofelder, die der EU-Verhaltenskodex für KI-Modelle mit allgemeinem Verwendungszweck definiert: Kontrollverlust, offensive Cyberfähigkeiten, CBRN-Risiken sowie schädliche Manipulation. Der Zugriff erfolgte ausschließlich über die öffentliche Programmierschnittstelle von Z.ai, ohne Kooperation des Herstellers. Verglichen wurde mit Claude Opus 4.7 und GPT-5.5.

Kurz zum Prüfgegenstand: GLM-5.2 stammt von Z.ai, dem international genutzten Namen der 2019 aus der Tsinghua-Universität ausgegründeten Zhipu AI. Das Modell erschien Mitte Juni 2026, ist ein Mixture-of-Experts-Modell mit 744 Milliarden Parametern und rund 40 Milliarden aktiven Parametern pro Token, hat ein Kontextfenster von einer Million Token — und steht unter MIT-Lizenz, also ohne regionale Einschränkungen und ohne Umsatzklauseln. Die US-Behörde CAISI, angesiedelt beim Normungsinstitut NIST, hatte es im Juli als wahrscheinlich fähigstes offenes Modell zum Zeitpunkt seiner Veröffentlichung eingeordnet.

Beim Fähigkeitsabstand kommt SaferAI je nach Risikokategorie auf rund zwei bis vier Monate Rückstand gegenüber Opus 4.7 und GPT-5.5, mit deutlich schwächerer Leistung in der Softwareentwicklung. Das britische AI Security Institute hatte in einer eigenen Untersuchung vom 17. Juli für enge Cyberaufgaben vier bis sieben Monate gemessen — nach sechs bis zehn Monaten Ende 2025. Die Richtung ist in beiden Messungen dieselbe, die Zahlen unterscheiden sich methodenbedingt. Konkret erreichte GLM-5.2 auf dem Cybersicherheits-Test CyberGym 36,6 Prozent Erfolgsquote bei begrenztem Rechenbudget und 76,2 Prozent bei großzügigem; auf dem Biologie-Test LAB-Bench erreicht oder übertrifft es menschliches Expertenniveau in jeder Teilaufgabe.

Der eigentliche Befund steht daneben. GLM-5.2 verweigerte nach Angaben von SaferAI keine einzige der offensiven Cyber- und Dual-Use-Biologieaufgaben. Die Inhaltsfilter griffen bei 4,9 Prozent der Anfragen aus LAB-Bench und bei ein bis drei Prozent aus einem weiteren Biologie-Test. Zum Kontrast: Bei Claude Opus 4.7 verweigerte das Modell so konsequent, dass die Prüfer CyberGym auf ihm gar nicht zu Ende führen konnten. Dazu kommt, dass Z.ai kein Risikomanagement-Rahmenwerk, keine Zusagen zu Tests vor der Veröffentlichung und keine Risikodokumentation vorgelegt hat.

SaferAI zieht daraus ausdrücklich kein pauschales Urteil, sondern fordert systematischere unabhängige Sicherheitstests für offene Modelle dieser Leistungsklasse. Das ist die redliche Schlussfolgerung, denn der entscheidende Punkt ist strukturell und wurde von CAISI klar benannt: Bei einem Modell, dessen Gewichte heruntergeladen und selbst betrieben werden, sind Schutzmechanismen grundsätzlich entfernbar — und einmal entfernt, nicht wiederherstellbar. Der Vergleich „Modell A verweigert, Modell B nicht“ misst deshalb nur die Voreinstellung, nicht die Obergrenze des Missbrauchs.

Die politische Auseinandersetzung darüber läuft seit Wochen. Am 24. Juli warnten in einem gemeinsamen Schreiben zahlreiche Unternehmen und Organisationen — darunter Nvidia, Microsoft, Meta, Mistral, IBM, Hugging Face und EleutherAI — vor vorschnellen Beschränkungen offener Modelle; ihr Kernargument lautet, dass Offenheit unabhängige Sicherheitsforschung überhaupt erst ermöglicht. OpenAI und Anthropic unterschrieben nicht. Anthropic legte drei Tage später ein eigenes Positionspapier vor, über das wir am 28. Juli berichtet haben: Man habe nie ein Verbot offener Gewichte gefordert; die Sorge gelte nicht der Offenheit, sondern einem Fähigkeitsvorsprung autoritärer Staaten.

Für europäische Unternehmen ist die regulatorische Lage konkreter, als die Debatte vermuten lässt. Der AI Act befreit Anbieter offener Modelle von einem Teil der Dokumentationspflichten — aber diese Ausnahme endet, sobald ein Modell als systemisches Risiko eingestuft wird. Dann gelten sämtliche Pflichten, einschließlich Adversarial Testing und Meldepflichten bei Vorfällen, unabhängig davon, ob die Gewichte offen sind. Dass SaferAI seinen Prüfrahmen exakt entlang der vier Risikokategorien des Verhaltenskodex gebaut hat, ist deshalb kein Zufall: Der Bericht ist auch ein Beitrag zu der Frage, wie diese Einstufung im konkreten Fall ausfallen müsste. Wer GLM-5.2 im eigenen Rechenzentrum betreiben will, sollte einkalkulieren, dass die Filterarbeit dann vollständig im eigenen Haus liegt.

Die Universidad Nacional Autónoma de México (UNAM), die größte Universität Lateinamerikas, hat ihre Aufnahmeprüfung für den Studienzyklus 2026/27 erstmals vollständig online abgenommen — zwischen dem 23. Mai und dem 10. Juni, mit 158.712 Teilnehmenden. Die Ergebnisse erschienen am 17. Juli. Sie waren statistisch nicht plausibel.

Zwischen 2021 und 2025 erreichten im Schnitt 3,5 Prozent der Teilnehmenden 100 oder mehr von 120 Punkten. 2026 waren es 16,3 Prozent. Im Spitzenbereich ab 110 Punkten stieg der Anteil von 0,9 auf 5,5 Prozent — das Sechsfache. Bei den Medizin-Bewerbern kletterte der Anteil mit mehr als 100 richtigen Antworten von 9 auf 30 Prozent. Rund 3.000 Prüfungen wurden wegen eindeutiger Regelverstöße bereits annulliert; das sind zwei Prozent.

Die Konsequenz hat die Universität vergangene Woche gezogen: 58.000 Bewerber müssen zu einer Kontrollprüfung antreten — in Präsenz, unter menschlicher Aufsicht. Betroffen sind nicht nur abgelehnte Bewerber mit auffällig hohen Punktzahlen, sondern auch bereits Zugelassene, deren Ergebnis über der Zulassungsschwelle lag. Rektor Leonardo Lomelí Vanegas hat sich öffentlich entschuldigt und eine 16-köpfige Kommission aus Bildungs-, Evaluations-, KI- und Rechtsfachleuten eingesetzt; er betont, es handle sich nicht um eine neue Zulassungsprüfung, sondern um einen Verifizierungsschritt. Der Semesterbeginn wurde vom 10. auf den 31. August verschoben.

Die Überwachung hatte das mexikanische Unternehmen Territorium Life übernommen, per Direktvergabe für mehr als 101,7 Millionen Pesos. Zum Einsatz kamen ein eigener Lockdown-Browser, der andere Programme blockiert, KI-gestützte Kamera- und Mikrofonüberwachung sowie rund ein Dutzend Betrugserkennungsfilter. Auf einen menschlichen Aufsichtsführenden kamen 150 Prüflinge.

Die dokumentierten Umgehungen sind bemerkenswert schlicht. Recherchen mexikanischer Medien beschreiben einen zweiten Bildschirm außerhalb des Kamerawinkels für die Konsultation eines Chatbots, unter den Haaren versteckte Kopfhörer, bezahlte Stellvertreter und automatisierte Lösungsprogramme, die für rund 150 Dollar kursierten; Anleitungsvideos machten vorab die Runde. Das System erkannte davon jene zwei Prozent, die annulliert wurden.

Wie groß der Rest ist, weiß niemand. Raúl Rojas — Mathematikprofessor an der University of Nevada in Reno, emeritierter Informatikprofessor der FU Berlin, wo er bis 2020 die KI-Forschungsgruppe leitete, und gebürtiger Mexikaner — schätzt anhand der statistischen Auffälligkeiten, dass fast die Hälfte der Teilnehmenden getäuscht haben könnte, also etwa 75.000 Personen. Das ist eine öffentlich geäußerte Einzelschätzung ohne veröffentlichte Methodik, keine Feststellung der Universität. Bestätigt ist die Zahl 58.000 — jene, die noch einmal antreten müssen.

Seit dem 1. August protestieren Bewerber vor dem Rektorat in Ciudad Universitaria, darunter bereits Zugelassene, die sich zu Unrecht unter Verdacht gestellt sehen; ein Entwurf für eine Sammelklage kursiert. Der Vorwurf ist nicht leicht von der Hand zu weisen: Ein Verfahren, das aus einer Kollektivauffälligkeit einen Individualverdacht macht, verlagert die Beweislast auf Menschen, die nichts getan haben.

Der Fall steht nicht allein. In Südkorea wurden im Mai KI-Brillen bei einem TOEIC-Test entdeckt, in Taiwan bei einer medizinischen Aufnahmeprüfung — dort fiel die Brille durch ihre Wärmeentwicklung auf. In Indien wurde die nationale Medizin-Aufnahmeprüfung im Mai wegen durchgesickerter Fragen annulliert, allerdings ohne KI-Bezug. Für alle, die Wissensprüfungen über das Netz abnehmen — Hochschulen ebenso wie Unternehmen mit Zertifizierungen —, ist die UNAM der teuerste bisher dokumentierte Beleg für einen einfachen Zusammenhang: Ein Prüfformat, das nur unter Beobachtung funktioniert, wird von einem Beobachter, den man umgehen kann, nicht gerettet.