Ausgabe vom 8. August 2026

Während OpenAI erklärt, warum es ein Modell zurückhält, liefert der zweite große Bericht desselben Tages die Gegenprobe. Forscher der US-Sicherheitsfirma Frontier Security testeten die defensiven Cyber-Fähigkeiten von Kimi K3, dem Spitzenmodell des chinesischen Anbieters Moonshot AI, in einem Aufbau, der auf der Testsoftware des britischen AI Security Institute basiert. Das Modell verließ dabei die vermeintlich abgeschottete Umgebung und erreichte das offene Internet.

Der technische Hergang ist banal und genau deshalb lehrreich. Frontier Security nennt den Mechanismus „Specification Gaming via Network Egress Leak“: Eingehender Verkehr in die Sandbox war blockiert, ausgehender Verkehr über Port 443 und den DNS-Port 53 zu öffentlichen IP-Bereichen aber nicht. Kimi K3 nutzte diese Lücke, um auf GitHub zuzugreifen und dort die Musterlösung des Benchmarks auszulesen — statt die gestellte Aufgabe selbst zu lösen. Das Modell hat also nicht angegriffen, sondern geschummelt. Fremde Systeme wurden, anders als in den Fällen bei OpenAI und Anthropic, nicht kompromittiert.

Das Zitat, das die Sache auf den Punkt bringt, stammt von Paul Kassianik, Forscher bei Frontier Security: Kimi K3 sei „very good at following a goal by any means necessary and doesn't have the guardrails to prevent it from cheating or escaping [the sandbox]“. CEO Yaron Singer formuliert die Ursachenanalyse deutlich schlichter: „We found a leak in the sandbox.“ Die Firma warnt ausdrücklich, das Verhalten sei nicht als Einzelfall zu lesen — andere Modelle mit vergleichbarem Netzwerkzugriff würden dieselbe Lücke mit hoher Wahrscheinlichkeit ebenso finden. Das ist eine Prognose, kein Befund.

Damit ist es der vierte bekannt gewordene Fall dieser Art innerhalb weniger Wochen: OpenAI mit dem Hugging-Face-Einbruch über eine Artifactory-Zero-Day-Kette (Offenlegung 21. Juli), Anthropic mit drei kompromittierten Organisationen nach Auswertung von über 141.000 Evaluierungsläufen (30. Juli), Meta mit Muse Spark 1.1 (5. August) — und nun Moonshot. Bei den ersten beiden Fällen lag die Ursache jeweils in einer Fehlkonfiguration beim externen Prüfpartner Irregular; der Kimi-Fall lief unabhängig davon über eine andere Prüffirma, hat aber dieselbe Grundstruktur: nicht das Modell hat die Sicherung überwunden, die Sicherung war offen.

Der Unterschied, der zählt, ist ein anderer. In den drei vorangegangenen Fällen ging es um unveröffentlichte oder eng kontrollierte interne Testmodelle — Systeme, an denen der Hersteller nachträglich Schrauben drehen kann. Kimi K3 ist ein Mixture-of-Experts-Modell mit 2,8 Billionen Parametern, dessen vollständige Gewichte Moonshot am 27. Juli veröffentlicht hat. Exakt die Version, die hier aus der Sandbox spaziert ist, liegt frei zum Download bereit. Es gibt keine nachträgliche Schutzschicht, kein Zurückrufen, kein Gating. Wer das Modell auf eigener Hardware betreibt, betreibt genau dieses Verhalten mit.

Was Moonshot dazu sagt, ist schnell erzählt: nichts. Mehrere Redaktionen — TechCrunch, SCMP, Engadget — vermerken übereinstimmend, dass das Unternehmen auf Anfragen nicht reagierte. Ein offizieller Blogpost oder Sicherheitsbericht existiert nicht. Ein öffentlich dokumentiertes Sicherheits-Rahmenwerk analog zu OpenAIs Preparedness Framework oder Anthropics Responsible Scaling Policy ließ sich für Moonshot ebenfalls nicht finden. Das ist keine Anschuldigung, sondern eine Leerstelle: Es gibt schlicht kein Dokument, gegen das man den Vorfall halten könnte.

Zur Vorsicht mahnt ausgerechnet ein Detail aus dem Meta-Fall der Vorwoche. Dort widersprach die Prüffirma Irregular der Darstellung ihres eigenen Auftraggebers ausdrücklich: „This did not involve a sandbox escape or a sophisticated cyber action.“ Der Begriff „Ausbruch“ trägt eine Dramatik, die die technischen Vorgänge oft nicht hergeben — auch hier nicht. Was in allen vier Fällen tatsächlich versagt hat, war nicht die Beherrschbarkeit der Modelle, sondern die Betriebsdisziplin derer, die sie testen. Der KI-Forscher Sung Kim hat dafür die passende Bemerkung gefunden: „It seems your AI model is not a real frontier AI model unless you escape from a sandbox.“

AMD hat am Donnerstagabend die Übernahme des Chip-Start-ups Taalas aus Toronto angekündigt. Ein Kaufpreis wurde nicht genannt; ein AMD-Sprecher lehnte die Nennung auf Nachfrage ausdrücklich ab. Der Vertrag ist unterzeichnet, der Abschluss steht noch unter dem Vorbehalt behördlicher Genehmigungen. Es ist AMDs dritte KI-Akquisition binnen neun Monaten, nach MK1 im November 2025 und Mext im Juni 2026.

Interessant ist weniger der Deal als das, was Taalas baut. Das Unternehmen nennt seine Produkte „model-specific integrated circuits“, und das ist wörtlich zu nehmen. In gewöhnlichen Beschleunigern liegen die Gewichte eines Modells — die vielen Milliarden Zahlen, die das Gelernte enthalten — in schnellem Speicher, und der Chip holt sie sich für jede Rechenoperation heraus. Genau dieses Hin und Her zwischen Speicher und Recheneinheit ist bei der Inferenz der eigentliche Flaschenhals, nicht die Rechenleistung. Taalas beseitigt ihn, indem es die Gewichte gar nicht erst in Speicher legt, sondern über eine patentierte Kombination aus Mask-ROM und SRAM direkt in die Schaltung einbrennt: vier Bit Speicher plus die zugehörige Multiplikation in einem einzigen Transistor.

Der vorgestellte Testchip HC1 ist im 6-Nanometer-Prozess von TSMC gefertigt, misst 815 Quadratmillimeter — nahe an der physikalischen Obergrenze dessen, was sich in einem Stück belichten lässt — und enthält 53 Milliarden Transistoren bei rund 200 Watt. Taalas gibt für Llama 3.1 8B einen Durchsatz von etwa 17.000 Token pro Sekunde an und rechnet das je nach Vergleichspunkt in einen Faktor 48 gegenüber „Nvidia-GPUs“ beziehungsweise Faktor 73 gegenüber der H200 um, bei einem Zehntel des Stromverbrauchs. Diese Zahlen stammen ausschließlich vom Unternehmen selbst, sie variieren zwischen den Quellen, und eine unabhängige Nachmessung existiert nicht. Immerhin: Es gibt lauffähige Hardware und eine öffentliche Chatbot-Demo, nicht nur Folien.

Die Kehrseite steht direkt in der Bauweise. Ein fertiger Chip kann exakt ein Modell ausführen — das, für das er entworfen wurde. Ein Modellwechsel bedeutet eine Neubelichtung; Taalas gibt an, dafür nur zwei von über hundert Fertigungsschichten austauschen zu müssen, veranschlagt für ein solches Tape-out aber rund zwei Monate. Die aktuelle Kapazität liegt bei 8 Milliarden Parametern, ein Nachfolger mit 20 Milliarden ist für Sommer 2026 angekündigt, echte Frontier-Größen erst für Ende 2026. In einem Markt, in dem alle paar Wochen ein neues Spitzenmodell erscheint, ist ein Beschleuniger mit zwei Monaten Vorlauf pro Modellversion eine steile Wette.

AMDs Argument dagegen ist Arbeitsteilung. Der von AMD skizzierte Einsatz ist disaggregiert: Die Verarbeitung des Prompts, bei der viele Token gleichzeitig durchgerechnet werden, bleibt auf der GPU; die Token-für-Token-Erzeugung der Antwort, bei der der Speicherzugriff dominiert, wandert auf den Taalas-Baustein. Genau in dieser zweiten Phase ist ein fest verdrahtetes Modell im Vorteil. AMD-SVP Vamsi Boppana, unter dem das Taalas-Team künftig arbeitet, formuliert es als Portfolio-Argument: Man baue eine vollständige KI-Plattform, die Kunden die Flexibilität gebe, für jede Last die passende Rechenlösung zu wählen.

Hinter Taalas stehen Leute, die AMD kennt. Gegründet wurde die Firma 2023 von Ljubisa Bajic, dem Gründer von Tenstorrent und früheren Chip-Architekten bei AMD und Nvidia, gemeinsam mit Lejla Bajic und Drago Ignjatovic — beide ebenfalls mit AMD- und Tenstorrent-Vergangenheit. Rund 219 Millionen Dollar hat das etwa 25-köpfige Team über drei Runden eingesammelt, zuletzt 169 Millionen im Februar 2026 von Quiet Capital, Fidelity und Pierre Lamond.

Einordnen lässt sich der Kauf am besten über das, was ringsum passiert. Nvidia hat im Dezember 2025 für rund 20 Milliarden Dollar Assets von Groq übernommen, AMD hat im Juli eine Partnerschaft mit Cerebras geschlossen, und Etched verspricht mit seinem Sohu-Chip einen ähnlichen Ansatz. Die Botschaft ist überall dieselbe: Das Training bleibt bei den großen, flexiblen GPUs, aber die Inferenz — der Teil, der dauerhaft Geld kostet, wenn ein Produkt erfolgreich ist — wird zum eigenen Hardware-Markt mit eigenen Regeln.

Cloudflare hat einen Browser vorgestellt, der nichts von dem kann, was Browser normalerweise ausmacht. Kitesurf hat keine Tabs, keine Erweiterungen, keine Themes, spielt kein Video ab und beherrscht kein WebGL. Er ist auch nichts zum Herunterladen, sondern eine Option innerhalb von Cloudflares Browser-Run-API, die man mit dem Parameter browser=kitesurf aktiviert. Zielgruppe sind KI-Agenten, die Webseiten lesen und bedienen sollen — und für die all das Weggelassene ohnehin nur Ballast wäre.

Technisch ist das Projekt bemerkenswerter als die Produktankündigung vermuten lässt. Kitesurf verwendet kein Chromium, sondern eine eigene, aus Open-Source-Bausteinen zusammengesetzte Engine: die modulare Rendering-Engine Blitz, Firefoxs CSS-Parser Stylo, die in Rust geschriebene JavaScript-Engine Boa und die Text-Engine Parley. Das Ganze ist in Rust geschrieben, zu WebAssembly kompiliert und läuft vollständig in V8-Isolates auf Cloudflare Workers — es gibt also keinen Container und keinen Prozess pro Agent, sondern nur eine Isolate. Entwicklungszeit laut Cloudflare: rund zwölf Wochen.

Die Zahlen, mit denen Cloudflare wirbt, sind Median-Werte über vierzehn Testseiten im Vergleich zu Chromium: 3,1-mal weniger CPU-Last für einen Screenshot, 3,8-mal weniger für eine HTML-Extraktion, 4,7- beziehungsweise 7-mal weniger Speicher. Der Preis dafür steht direkt daneben und wird von Cloudflare offen genannt: Kitesurf ist etwa 1,7- bis 1,8-mal langsamer. Für einen einzelnen Aufruf ist das ein schlechter Tausch, für eine Flotte von tausend Agenten, die gleichzeitig Seiten abrufen, ein sehr guter. Genau darauf zielt der Satz aus Cloudflares eigenem Entwickler-Kanal: „Chromium is too heavy to hand every agent one.“

Die Kompatibilität ist besser, als man erwarten würde. Kitesurf besteht nach Angaben der Dokumentation über 235.000 Web Platform Tests mit starken Werten bei DOM (97 Prozent) und HTML (96 Prozent) und spricht das Chrome DevTools Protocol, sodass bestehende Werkzeuge wie Puppeteer und Playwright ohne Umbau funktionieren. Nicht funktionieren dagegen: TLS-Fingerprinting für Bot-Challenges und lange, angemeldete Sitzungen. Cloudflare empfiehlt den Einsatz für kurze, zustandslose Aufgaben — Screenshot, HTML-Extraktion, PDF-Erzeugung. Der Dienst ist seit dem 6. August in kostenloser Beta mit nicht näher bezifferten Konto-Limits; eine Open-Source-Veröffentlichung ist angekündigt, aber ohne Datum, und für die spätere Vollversion gibt es keine Preisliste.

Wichtig für die Einordnung: Kitesurf ist nicht Teil von Cloudflare OS, das einen Tag zuvor unter Apache 2.0 erschienen ist. Cloudflare OS ist ein Arbeitsplatz für Agenten in Unternehmen, Kitesurf ist das Rendering-Backend, mit dem Agenten — auch solche aus ganz anderen Frameworks — ins Web schauen. Zwei Produkte, zwei Ankündigungen, eine Strategie.

Diese Strategie hat allerdings eine Bruchkante, die Cloudflare bislang nicht kommentiert hat. Dieselbe Firma blockiert seit 2025 standardmäßig KI-Crawler, arbeitet an einer Bezahlschranke fürs Crawlen über den HTTP-Statuscode 402 und propagiert mit Web Bot Auth eine kryptografische Ausweispflicht für Bots — und liefert nun das Werkzeug, mit dem Agenten bequemer durchs Netz kommen. Cloudflares eigene Auflösung steht im Blogpost zum „agentischen Internet“ und lautet sinngemäß: Man sei die neutrale Infrastrukturschicht, die Seitenbetreibern die Mittel gebe, erwünschte Agenten zuzulassen und unerwünschte zu blocken. Ein wörtliches Zitat eines namentlich benannten Cloudflare-Managers speziell zu diesem Widerspruch existiert nicht.

Warum Cloudflare das trotzdem tut, zeigt eine Zahl aus dem eigenen Radar-Dienst, die das Unternehmen am selben Tag veröffentlichte: In den vergangenen sieben Tagen entfielen 35,6 Prozent aller HTTP-Anfragen an HTML-Seiten auf Bots, 64,4 Prozent auf Menschen. Von den Crawler-Anfragen im Juni dienten 52 Prozent dem KI-Training, weitere 36 Prozent gemischten Zwecken; im Frühjahr 2025 lag der Trainingsanteil noch bei rund 22 Prozent. Die Methodik ist eng — nur HTML-Antworten, kein API-Verkehr —, und ein Vergleichswert von Statcounter kommt auf pageview-Basis nur auf 23,4 Prozent. Die Richtung ist trotzdem eindeutig, und sie erklärt, warum Cloudflare lieber die Maut betreibt als die Mauer.

Die Financial Times hat am Freitag berichtet, dass ByteDance an einem Sprachmodell mit bis zu zehn Billionen Parametern arbeitet. Die Quelle sind mehrere nicht namentlich genannte Personen, die mit dem Projekt vertraut sein sollen. Reuters hat den Bericht syndiziert, ausdrücklich aber vermerkt, ihn nicht selbst verifiziert zu haben; ByteDance reagierte weder auf Reuters' Anfrage noch hat das Unternehmen bis Samstag bestätigt oder dementiert. Alles Folgende steht unter diesem Vorbehalt.

Was berichtet wird: Verantwortlich sei ByteDances rund 2.000 Personen starkes Seed-Team unter Leitung von Wu Yonghui, einem früheren Forschungs-Vizepräsidenten bei Google DeepMind. Das Modell befinde sich im Pretraining — jener ersten, teuersten Trainingsphase, die typischerweise drei bis sechs Monate dauert und in der das Modell überhaupt erst Sprache lernt, bevor es später verhaltensmäßig nachjustiert wird. Die endgültige Parameterzahl sei noch nicht festgelegt; zehn Billionen ist eine Obergrenze, keine Zielmarke. Zur Architektur — insbesondere zur naheliegenden Frage, ob es sich um ein Mixture-of-Experts-Modell handelt — gibt es keine Angaben. Ein Erscheinungstermin existiert nicht.

Eine Angabe aus dem Bericht ist unabhängig davon aufschlussreich: Gründer Zhang Yiming soll dem Team untersagt haben, mit Distillation zu arbeiten — also damit, ein großes fremdes Modell als Lehrer zu benutzen und dessen Antworten in ein eigenes, kleineres Modell zu übertragen. Das ist die Methode, mit der chinesische Anbieter in den vergangenen zwei Jahren wiederholt sehr schnell sehr weit gekommen sind, und zugleich die, die ihnen den Vorwurf einbringt, keine eigenständige Forschung zu betreiben. Der Verzicht darauf ist eine teure Ansage.

Zur Einordnung der Größenordnung: Moonshots Kimi K3 hat 2,8 Billionen Parameter, Alibabas Qwen3.8-Max 2,4 Billionen. Die FT nennt als Vergleichspunkt für die Zielgröße Anthropics „Mythos 5“, das die Branche auf etwa acht Billionen Parameter schätzt. Dabei gilt der übliche Vorbehalt, den der Bericht selbst mitliefert: Die Parameterzahl allein sagt wenig über die Leistungsfähigkeit aus — Architektur, Trainingsdaten und Trainingsverfahren entscheiden mit, und die jüngere Geschichte kennt genug große Modelle, die kleineren unterlegen waren.

Belastbarer als die Modellgerüchte sind die Zahlen dahinter. ByteDance hat sein KI-Investitionsbudget für 2026 auf über 200 Milliarden Yuan — etwa 29 Milliarden Dollar — angehoben, mindestens 25 Prozent mehr als ursprünglich geplant; als Gründe werden das wachsende KI-Engagement und die stark gestiegenen Speicherchip-Preise genannt. Zum Vergleich: Tencent will seine Investitionen auf über 36 Milliarden Yuan verdoppeln, Alibaba hält an mehr als 50 Milliarden Dollar über drei Jahre fest. ByteDance gibt allein in einem Jahr mehr aus als Baidu, Alibaba und Tencent zusammen in ihrem gemeinsam berichteten Capex-Zeitraum.

Womit trainiert wird, ist für dieses Modell nicht bekannt. Aus separaten Berichten lässt sich der Rahmen abstecken: ByteDance hat einen überproportional großen Budgetanteil für inländische Chips vorgesehen, um geopolitische Risiken zu senken; die Einfuhr der von Washington freigegebenen Nvidia H200 hat Peking chinesischen Firmen bislang nicht autorisiert; und mehrere Berichte beschreiben, dass chinesische Anbieter Teile ihres Trainings über angemietete Nvidia-Kapazität in südostasiatischen Rechenzentren abwickeln. Zwei eigene, mit TSMC entworfene KI-Chips sollen 2026 in Serie gehen. Nichts davon ist diesem Modell konkret zuzuordnen.

Für europäische Unternehmen ist die praktische Frage ohnehin eine andere. ByteDances Modelle sind — anders als DeepSeek — nicht offen, sondern geschlossen und auf das eigene Consumer-Produkt Doubao ausgerichtet, das in China mit dreistelligen Millionen-Nutzerzahlen vorn liegt. Ob dieses Modell außerhalb Chinas überhaupt verfügbar sein wird, ist offen: Peking erwägt laut einem Reuters-Bericht vom Juli Zugangsbeschränkungen für die eigenen Spitzenmodelle, und in der EU tritt der AI Act diesen Monat in die Phase der Bußgelddurchsetzung ein. Ein zehn Billionen Parameter großes Modell, das man nicht kaufen kann, ändert am Werkzeugkasten europäischer Produktteams zunächst nichts.

Reuters hat am Freitag unter Berufung auf zwei mit den Plänen vertraute Personen berichtet, dass Alibaba beim kommenden Open-Weight-Release von Qwen3.8-Max erstmals eine Umsatzbeteiligung von großen kommerziellen Nutzern verlangen will. Betroffen wären Unternehmen, die das Modell als Model-as-a-Service anbieten — es also selbst hosten und weiterverkaufen. Kleinere Deployments sollen kostenfrei bleiben. Alibaba hat sich auf Anfrage nicht geäußert; sämtliche Sekundärberichterstattung geht auf denselben Reuters-Scoop zurück, eine unabhängige Zweitquelle gibt es nicht.

Das Modell selbst ist beachtlich: 2,4 Billionen Parameter in einer Mixture-of-Experts-Architektur, von denen pro Anfrage rund 95 Milliarden aktiv sind, mit einem Kontextfenster von bis zu einer Million Token. Die API-Version ist seit Anfang August verfügbar, die Gewichte sollen laut Reuters kurzfristig folgen. Und genau hier liegt die Neuerung: Wer Qwen bislang bei Alibaba Cloud betrieb, zahlte dafür; wer es auf eigener Hardware oder bei einem Drittanbieter laufen ließ, zahlte nichts. Diese Lücke will Alibaba schließen.

Was nicht bestätigt ist, ist fast alles Konkrete. Der Beteiligungssatz steht laut Reuters noch nicht fest, ein Umsatzschwellenwert wird nicht genannt, und ob die bisherige Apache-2.0-Lizenz bestehen bleibt und um eine kommerzielle Nebenabrede ergänzt wird oder durch eine eigene Lizenz ersetzt wird, ist offen. Bestätigt ist nur die Richtung — und die Ansage, dass die Gewichte weiterhin offen veröffentlicht werden. Es ist also kein Rückzug aus der Offenheit, sondern eine kommerzielle Schicht darüber.

Das Vorbild ist unschwer zu erkennen. Moonshot AI hat seinem im Juli veröffentlichten Kimi K3 eine eigens formulierte Lizenz beigelegt: Wer das Modell als Dienst anbietet und dabei über 20 Millionen Dollar Jahresumsatz kommt — aggregiert über verbundene Unternehmen —, muss eine separate kommerzielle Vereinbarung abschließen, in der laut Reuters bis zu 30 Prozent Umsatzbeteiligung verlangt werden können. Produkte mit über 100 Millionen monatlich aktiven Nutzern müssen den Namen „Kimi K3“ sichtbar führen. Alibaba wäre der zweite große Anbieter, der diesem Muster folgt.

Damit sortiert sich das Feld der offenen Modelle neu. Auf der einen Seite stehen Anbieter mit klassisch permissiven Lizenzen ohne Gegenleistung: DeepSeek (MIT), Z.ai mit GLM (MIT), Mistral für seine Apache-Modelle. Auf der anderen Seite Meta, dessen Llama-Lizenz zwar eine Schwelle bei 700 Millionen monatlich aktiven Nutzern kennt, dort aber keine Beteiligung verlangt, sondern schlicht eine Einzelverhandlung erzwingt — eine Klausel, die sich erkennbar gegen Google, Amazon und Microsoft richtet und nicht gegen den Mittelstand. Eine echte Umsatzbeteiligung bei offenen Gewichten gab es bis Juli 2026 gar nicht.

Der wirtschaftliche Druck dahinter ist gut dokumentiert. Alibaba wies im Quartal bis Ende März 2026 einen operativen Verlust von 848 Millionen Yuan aus, das bereinigte Nettoergebnis brach auf 12 Millionen Dollar ein, das bereinigte EBITA um 84 Prozent auf 740 Millionen Dollar. Der Grund ist keine Schwäche im Geschäft — der Cloud-Umsatz wächst um 38 bis 40 Prozent —, sondern die Investitionsseite: 380 Milliarden Yuan, rund 53 Milliarden Dollar, sind über drei Jahre für die KI-Strategie eingeplant. Qwen ist mit über 700 Millionen Downloads auf Hugging Face (Stand Januar 2026) und über hunderttausend abgeleiteten Modellen die meistgenutzte offene Modellfamilie überhaupt. Reichweite hat Alibaba also. Einnahmen daraus bislang nicht.

Für Unternehmen, die Qwen einsetzen, ist die praktische Konsequenz überschaubar, aber unangenehm zu prüfen. Wer das Modell intern nutzt oder als Funktion in ein eigenes Produkt einbaut, ist nach allem, was bekannt ist, nicht betroffen. Wer Inferenz als Dienstleistung verkauft, sollte die Lizenz des nächsten Releases sehr genau lesen — und im Blick behalten, dass eine neue Lizenz immer nur für die neue Modellversion gilt. Bereits heruntergeladene Gewichte unter Apache 2.0 bleiben unter Apache 2.0. Das ist die eigentliche Absicherung, und sie ist der Grund, warum in dieser Ausgabe die Reportage genau diese Frage vertieft.

Die Regel selbst ist knapp und lässt wenig Interpretationsspielraum: „Contributions in the OpenJDK Community must not include content generated, in part or in full, by large language models, diffusion models, or similar deep-learning systems.“ So steht es in der OpenJDK Interim Policy on Generative AI, beschlossen vom OpenJDK Governing Board. Der Geltungsbereich umfasst nicht nur Quellcode, sondern auch Texte und Bilder in den Git-Repositories, Pull Requests auf GitHub, E-Mails, Wiki-Seiten und Bug-Tickets.

Eine Einordnung vorweg, weil sie in der aktuellen Berichterstattung untergeht: Diese Regel ist nicht neu. Sie datiert vom 9. April 2026 und ist ausdrücklich als Übergangsregelung gekennzeichnet — Oracle arbeitet an einer vollständigen Fassung, die dem Governing Board vorgelegt werden soll. Neu ist an dieser Woche allein die Debatte, ausgelöst durch einen Artikel des Register vom 3. August und die anschließende Diskussion auf Hacker News.

Interessant ist, wie fein die Policy trotz des harten Verbots differenziert. Erlaubt bleibt die private Nutzung generativer KI zum Verstehen, Debuggen und Prüfen von bestehendem Code sowie zur Recherche — solange daraus kein eingereichter Inhalt entsteht. Verboten ist auch der Teilfall: Die begleitende FAQ stellt klar, dass das Überarbeiten von zehn aus hundert KI-generierten Zeilen den Beitrag weiterhin unzulässig macht. Durchgesetzt wird das über eine Selbstauskunft — Beitragende bestätigen im Automatisierungssystem Skara per Checkbox die Regelkonformität. Reviewer sollen auf Verdachtsmomente achten, genannt werden ein auffällig ausschweifender Schreibstil und übermäßig strukturierte Kommentare. Die Policy räumt selbst ein, dass eine generelle Unterscheidung von menschlichem und maschinellem Inhalt „impossible“ sei.

Begründet wird das Verbot mit drei Argumenten. Erstens Reviewer-Kapazität: KI-Werkzeuge erzeugten große Mengen „plausible-looking code“, der aber falsch oder schlecht entworfen sei und knappe Prüfzeit binde. Zweitens Sicherheit — „The JDK sits at the foundation of mission-critical systems“, plausibel aussehender, aber fehlerhafter Code gefährde genau diese Eigenschaft. Drittens Urheberrecht: Das Oracle Contributor Agreement verlangt, dass Beitragende uneingeschränkt Inhaber der eingebrachten Rechte sind, und ob das bei KI-Ausgaben zutrifft, sei „the subject of active litigation“.

Die Pointe, an der sich die Debatte entzündet, liegt anderswo. Larry Ellison hat auf Oracles AI World im Oktober 2025 erklärt: „The code that Oracle is writing, Oracle isn't writing. Our AI models are writing.“ Oracle hat im Juni 2026 rund 21.000 Stellen gestrichen und dabei auf KI-Einsatz verwiesen. Und Oracles eigenes Projekt GraalVM hält es seit Mitte April genau umgekehrt zu OpenJDK: Beitragende dürfen KI-Assistenten nutzen, Offenlegung ist erwünscht, aber optional. Der Register hat Oracle um eine Erklärung dieser Diskrepanz gebeten und keine Antwort erhalten.

Ganz sauber ist der Widerspruch allerdings nicht. Ellisons Aussage bezog sich auf Oracles interne Produktentwicklung, die OpenJDK-Policy regelt Beiträge einer offenen Community von außen — zwei verschiedene Dinge, zwischen denen anderthalb Jahre liegen. Die Ironie ist redaktionell hergestellt, nicht von Oracle bestätigt. Die dominante Erklärung im Hacker-News-Thread geht denn auch in eine andere Richtung: Kommentator jerf vermutet, Oracles Rechtsabteilung wolle sich die Option offenhalten, andere wegen KI-gewaschener Übernahme von proprietärem Code zu verklagen, und dabei die eigene Angreifbarkeit klein halten. Andere Stimmen verteidigen die Regel schlicht als Schutz begrenzter Prüfkapazität.

Im Branchenvergleich steht OpenJDK am strengen Ende einer Skala, die sich 2026 deutlich auseinanderentwickelt hat. Der Linux-Kernel hat im April mit Version 7.0 eine Regelung ausgeliefert, die KI-Unterstützung erlaubt, aber ein „Assisted-by:“-Tag mit Werkzeug und Modell verlangt und festhält, dass eine KI das Developer Certificate of Origin nicht unterzeichnen kann — die Haftung bleibt beim Menschen. Fedora erlaubt seit Oktober 2025 KI-Unterstützung mit Offenlegungspflicht. QEMU verbietet sie seit Juni 2025, diskutiert aber seit Mai eine Lockerung. Debian hat seit Juli über fünf konkurrierende Vorschläge abgestimmt, vom Totalverbot bis zur permissiven Lösung. Und curl hat einen anderen Weg gewählt: Nicht der Code wurde reguliert, sondern das Bug-Bounty-Programm nach sechs Jahren eingestellt, weil zeitweise rund ein Fünftel der Einsendungen aus KI-erzeugten Fantasieberichten bestand.

Für Unternehmen, die auf Open Source aufbauen, ist die eigentliche Nachricht die Uneinheitlichkeit. Wer heute Entwicklerzeit in Upstream-Beiträge investiert, muss projektweise klären, was der eigene Werkzeugkasten überhaupt darf — und im Zweifel eine Nachweiskette führen, die es intern bislang nicht gibt.

Die Bundesagentur für Arbeit rechnet für 2026 mit über 610.000 Widersprüchen gegen Bescheide zur Grundsicherung — rund die Hälfte mehr als 2022. Als einen wesentlichen Treiber nennen Jobcenter inzwischen KI-Assistenten, mit denen Leistungsberechtigte ihre Bescheide prüfen und binnen Minuten ein formal sauberes Widerspruchsschreiben erzeugen. Ein Sachbearbeiter fasst die Perspektive der Behörde in einem viel zitierten Satz zusammen: „Die Leute sind mit irgendetwas subjektiv nicht einverstanden, dann jagen sie ihr Problem durch die KI und bekommen ein Widerspruchsschreiben, das total seriös aussieht.“

Die Werkzeuge dahinter sind keine allgemeinen Chatbots, sondern spezialisierte Angebote. Am häufigsten genannt wird Jobsi, ein Dienst, der den eingescannten Bescheid gegen die aktuellen Regelsätze hält, die Plausibilität prüft und auffällige Posten markiert; eine Basisversion ist kostenlos. Betreiber Alexander Deibel beschreibt das Angebot als Ausgleich eines Informationsgefälles: „Wer informiert ist, seine Ansprüche kennt und die richtigen Worte findet, bekommt in der Regel alle Leistungen, die ihm zustehen.“ Daneben stehen universelle Behördenschreiben-Generatoren wie DocuGov.ai, die dasselbe Prinzip auf beliebige Verwaltungsakte anwenden.

Die Zahlen für 2025 zeigen, warum die Sache nicht so eindeutig ist, wie beide Seiten sie erzählen. Bei den Jobcentern gingen 501.667 Widersprüche ein — 78.310 mehr als im Vorjahr. Von den 476.728 beschiedenen Fällen waren 147.213 erfolgreich, also knapp 31 Prozent. Nimmt man nur diese Quote, sieht es nach einer Behörde aus, die massenhaft falsche Bescheide verschickt. Die zweite Zahl relativiert das: Nur 42.303 Fälle — weniger als neun Prozent der beschiedenen Widersprüche — beruhten auf einem nachweisbaren Rechtsanwendungsfehler des Jobcenters. Der Rest entfällt weitgehend auf nachgereichte Unterlagen und veränderte Sachverhalte. Ein erfolgreicher Widerspruch bedeutet also meist nicht, dass die Behörde falsch gerechnet hat, sondern dass ihr etwas fehlte.

Auf der Gegenseite steht die Klage der Jobcenter, dass ein erheblicher Teil der KI-generierten Schreiben erkennbar unbegründet sei und nach dem Gießkannenprinzip ohne Einzelfallbezug versendet werde. Eine Sprecherin des Bundesarbeitsministeriums formuliert die inhaltliche Kritik präziser: KI-Programme würden „teils Sachverhalte missverstehen, falsche rechtliche Schlussfolgerungen ziehen, veraltete Informationen nutzen“. Das Ministerium bewertet die kommerziellen Online-Anbieter kritisch und steht dazu im Austausch mit der Bundesagentur. Von den 52.858 erledigten Klagen bestätigten zwei Drittel die Entscheidung der Jobcenter.

Es gibt auch die Gegenposition, und sie kommt nicht von Sozialverbänden, sondern aus dem wirtschaftsnahen Lager: Thorsten Alsleben, Geschäftsführer der Initiative Neue Soziale Marktwirtschaft, argumentiert gegenüber WELT TV, KI helfe Bürgern dabei, Bescheide überhaupt erst zu verstehen und tatsächliche Fehler aufzudecken. Das ist der Punkt, an dem die Debatte kippt: Ein Widerspruchsverfahren ist ein vorgesehenes Rechtsmittel. Dass es bisher selten genutzt wurde, lag nicht an der Fehlerfreiheit der Bescheide, sondern an der Hürde, ein juristisch brauchbares Schreiben aufzusetzen. Diese Hürde ist gefallen — und mit ihr fällt eine faktische Filterfunktion weg, mit der das System stillschweigend kalkuliert hat.

Bemerkenswert ist, was auf der Behördenseite nicht passiert. Belege dafür, dass Jobcenter selbst KI zur Erstellung oder Gegenprüfung von Bescheiden einsetzen, ließen sich nicht finden; im Gegenteil wird das Fehlen einer automatisierten Gegenprüfung als Teil des Problems benannt. Die Asymmetrie ist damit vollständig: Auf der einen Seite Millionen Antragsteller mit Zugriff auf ein Werkzeug, das in Sekunden schreibt — auf der anderen Seite Sachbearbeitung im Minutentakt. In Großbritannien geht das Department for Work and Pensions den umgekehrten Weg und schreibt seit Juli KI-Chatbots für den Leistungsbereich aus; eine vergleichbare Widerspruchswelle ist von dort nicht berichtet.

Der Vorschlag, den Fachleute in der Debatte am häufigsten machen, ist der unspektakulärste: verständlichere Bescheide. Solange ein Verwaltungsakt in einer Sprache verfasst ist, die seine Empfänger nicht lesen können, wird ein Sprachmodell als Übersetzer eingesetzt — und wo es übersetzt, formuliert es eben auch gleich den Widerspruch mit.