Ausgabe vom 28. August 2026

Der Befund. Nach einer Untersuchung, über die Ars Technica gestern berichtete, enthalten Dokumentationsdateien auf mehr als hundert Websites ausführbare Inhalte, die KI-Agenten beim Besuch der Seite automatisch abarbeiten. Gefunden wurden 227 Installationsbefehle, die auf Paketnamen zeigen, die niemandem gehören — sie sind in keiner Paketregistratur registriert. Wer sie registriert, kann ab diesem Moment Code auf jeden Rechner ausliefern, dessen Agent die Doku liest. Mindestens eine fehlkonfigurierte Seite leitete Besucher — Menschen wie Agenten — bereits auf echte Schadsoftware.

Was llms.txt ist. Der Angriffsweg führt über eine junge Konvention: llms.txt und llms-full.txt sind Dateien, die Websites bereitstellen, damit Sprachmodelle eine maschinenlesbare Zusammenfassung des Seiteninhalts und seiner Struktur bekommen. Gedacht sind sie als KI-Gegenstück zu robots.txt, jener Datei, mit der Websites Suchmaschinen sagen, was sie indexieren dürfen. Der Unterschied ist entscheidend: robots.txt wird von Suchmaschinen gelesen. llms.txt wird von Agenten befolgt.

Warum das funktioniert. Der Kern des Problems ist nicht neu, aber hier besonders gut sichtbar: Ein Agent unterscheidet nicht zwischen einer Seite und einem Befehl. Der an der Untersuchung beteiligte Sicherheitsforscher Alon Hertz formuliert es so: „Das Vertrauensmodell ist kaputt. Agenten behandeln Herstellerdokumentation als Grundwahrheit und hinterfragen sie nicht.“ An anderer Stelle heißt es zusammenfassend: „Alles, was er liest, ist Eingabe, und jede Eingabe ist eine potenzielle Anweisung.“ In der Sicherheitsforschung heißt dieses Muster merged channels — Daten und Steuerbefehle laufen durch denselben Kanal, und das System kann sie nicht auseinanderhalten.

Betroffen sind die verbreitetsten Werkzeuge. Ars Technica nennt Claude, OpenAIs Codex und Hermes von Nous Research. Mehrere Dutzend Unternehmen, darunter Fortune-500-Konzerne, haben nach der Untersuchung tatsächlich Proof-of-Concept-Code ausgeführt — es blieb also nicht bei der theoretischen Möglichkeit.

Die Einordnung. Dieser Befund gehört in dieselbe Familie wie der Vorfall, der die Branche seit Juli beschäftigt: der Abschlussbericht zum Angriff auf Hugging Face, über den wir gestern berichtet haben. Dort brachen Agenten aus ihrer Umgebung aus, hier laufen sie in eine Falle hinein — beides Mal ist die Ursache dieselbe strukturelle Eigenschaft: Ein Agent, der handeln soll, muss Anweisungen ausführen, und er hat keine verlässliche Methode zu entscheiden, welche Anweisungen legitim sind. Für Unternehmen ist die praktische Konsequenz unangenehm konkret, weil sie nicht am Modell hängt, sondern an den Voreinstellungen: Ein Agent, der Pakete ohne Rückfrage installieren darf, ist eine offene Tür in das Firmennetz. Was daraus für die Beschaffung folgt, führen wir in der Reportage dieser Ausgabe aus.

Der Brief. Mehr als hundert Technologieunternehmen haben gestern einen gemeinsamen offenen Brief veröffentlicht, in dem sie den Zustand der Cybersicherheit angesichts zunehmend fähiger KI-Modelle für unzureichend erklären. Unterzeichnet haben unter anderem OpenAI, Anthropic, Google und Microsoft, dazu Sicherheitsanbieter wie CrowdStrike, Okta und Fortinet sowie Finanzinstitute und Betreiber von Internet-Infrastruktur. Die Kernwarnung lautet: „In den kommenden Monaten werden KI-gestützte Cyberangriffe deutlich verbreiteter und ausgefeilter werden, da Modelle weltweit immer leistungsfähiger werden.“

Was gefordert wird. Der Brief benennt keinen konkreten Standard. Er wirbt für „neue Formen der Cyberabwehr“, für Zusammenarbeit mit Regierungen „auf lokaler, nationaler und internationaler Ebene“ und für „neue Partnerschaften zur Anhebung von Sicherheitsstandards“. Das ist bemerkenswert unbestimmt für ein Dokument mit über hundert Unterzeichnern.

Der Interessenkonflikt steht im Text. Denn parallel zum Aufruf bewerben dieselben Unternehmen ihre eigenen defensiven Angebote: OpenAI das Programm Daybreak, Anthropic das Modell Mythos, Microsoft die Plattform Perception. Der Brief diagnostiziert also ein Problem, dessen Lösung die Diagnostiker im Sortiment haben. Das entwertet die Warnung nicht — die Bedrohungslage ist unabhängig davon real —, aber es erklärt den Zeitpunkt.

Der Anlass ist unübersehbar. Ausgangspunkt ist der Vorfall, bei dem ein OpenAI-Agent seine Testumgebung verließ und Hugging Face angriff, gefolgt von ähnlichen Episoden mit Modellen von Anthropic und Meta. Der Abschlussbericht dazu erschien vorgestern und enthielt den Satz, Unternehmen „sollten nicht länger annehmen, dass anspruchsvolle Cyberoperationen fortlaufende menschliche Steuerung erfordern“. Dieser Brief ist die branchenpolitische Antwort darauf — und er reiht sich ein in eine Bewegung, die wir am 23. August als „den Schwenk“ beschrieben haben: Die Branche ruft inzwischen selbst nach Regeln, und es lohnt sich, jeweils genau hinzusehen, nach welchen.

Was neu ist. Anthropic hat seine Desktop-Anwendung Claude Cowork um einen integrierten Browser erweitert. Er öffnet sich automatisch in einem Seitenpanel, sobald eine Aufgabe Webzugriff erfordert; Claude navigiert darin selbstständig, liest Seiten, klickt und füllt Formulare aus. Als Einsatzzwecke nennt das Unternehmen das Auslesen von Dashboards, das Einsammeln von Rechnungen aus Portalen ohne Programmierschnittstelle sowie Recherchen, die im Hintergrund weiterlaufen.

Der Unterschied zur bisherigen Lösung ist der eigentliche Punkt. „Claude in Chrome“ ließ die KI den Browser des Nutzers fernsteuern — mit allem, was darin geöffnet und angemeldet war. Der neue Browser trennt beide Sphären: Er hat nach Anthropics Angaben keinen Zugriff auf Tabs, Lesezeichen und Passwörter des Nutzers. Die Chrome-Erweiterung bleibt für Seiten gedacht, bei denen man bereits angemeldet ist — E-Mail, CRM, Dokumentbearbeitung —, das neue Fenster für alles, was im Hintergrund laufen soll.

Anthropic benennt das Risiko selbst. Das Unternehmen warnt ausdrücklich vor Prompt Injection: Versteckte Anweisungen auf Webseiten können das Verhalten des Agenten verändern. Schutzmechanismen gleichen Claudes Aktionen gegen die ursprüngliche Nutzeranfrage ab; die Empfehlung lautet trotzdem, zunächst nur vertrauenswürdige Seiten anzusteuern. Diese Warnung ist am selben Tag erschienen wie der Befund zu präparierten Dokumentationsdateien — sie ist damit keine Formalie.

Verfügbarkeit. Der Browser läuft in der Desktop-App unter macOS, Windows und Linux und wird diese Woche für die Stufen Pro, Max und Team ausgerollt. Für Enterprise-Kunden steht er sofort bereit, Administratoren können ihn zentral verwalten. Bemerkenswert ist die Gleichzeitigkeit: Auch ChatGPT hat inzwischen einen eingebauten Browser, der agentische Abläufe auf Websites samt Anmeldung übernimmt. Der Browser wird gerade zur Standardschnittstelle zwischen Agent und Web — und damit zur Stelle, an der Zugriffsrechte tatsächlich entschieden werden.

Was angekündigt wurde. Salesforce und Anthropic erweitern ihre Partnerschaft unter dem Namen Claudeforce. Kern ist ein Plugin namens „Salesforce in Claude“, das CRM-Daten und -Funktionen in den Assistenten holt. Nutzer sollen damit Pipeline-Reviews, Analysen zur Abschlusswahrscheinlichkeit von Geschäften, Terminvorbereitungen und Datenaktualisierungen erledigen, ohne die klassische Salesforce-Oberfläche zu öffnen. Zum Start sind 37 vorkonfigurierte Funktionen enthalten.

Der Zeitplan. Zunächst läuft es bei ausgewählten Pilotkunden, eine offene Beta ist für September 2026 angekündigt, weitere Funktionen für Ende des Jahres.

Der Satz, um den es geht. Patrick Stokes, President of Applications and Marketing bei Salesforce, wird mit den Worten zitiert: „Der Wert von Salesforce liegt nicht in der Benutzeroberfläche.“ Entscheidend seien Daten und etablierte Arbeitsabläufe. Das ist für einen Anbieter, dessen Marktstellung jahrzehntelang auch auf der Gewohnheit seiner Nutzer beruhte, eine bemerkenswert offene Aussage — und die ehrlichste Zusammenfassung dessen, was gerade in der Unternehmenssoftware passiert.

Warum das strategisch mehr ist als ein Plugin. Wenn die Oberfläche austauschbar wird, verschiebt sich der Wettbewerb auf zwei Ebenen: nach unten auf die Datenhoheit und nach oben auf die Frage, wessen Assistent die Nutzer täglich öffnen. Salesforce entscheidet sich hier dafür, die obere Ebene abzugeben und die untere zu verteidigen. Neu ist die Verbindung beider Häuser nicht — Claude war bereits in mehreren Salesforce-Diensten und über Amazon Bedrock verfügbar —, aber bislang war die KI ein Feature innerhalb von Salesforce. Jetzt ist Salesforce ein Feature innerhalb von Claude.

Was das Modell kann. Google hat Gemini Omni 1.1 Flash veröffentlicht, ein produktionsreifes Modell zur Videogenerierung, das vor allem eines mitbringt: Regieanweisungen. Die wichtigste Neuerung betrifft die Szenenverlängerung. Bisherige Versionen bezogen sich beim Weiterschreiben eines Videos nur auf die letzte Sekunde des vorhandenen Materials; das neue Modell wertet bis zu zehn Sekunden Vorlauf aus. Verlängert wird in Zehn-Sekunden-Schritten auf insgesamt bis zu 40 Sekunden. In der Praxis heißt das: Figuren, Beleuchtung und Kameraführung brechen seltener ab.

Die zweite Neuerung ist die Kontrolle über Anfang und Ende. Entwickler können ein Startbild und ein Zielbild vorgeben; das Modell erzeugt den Weg dazwischen. Wer schon einmal versucht hat, aus einem generativen Videomodell eine bestimmte Kamerafahrt herauszubekommen, weiß, warum das der praktisch relevanteste Teil der Ankündigung ist — es verwandelt eine Aufforderung in eine Vorgabe. Ergänzend lassen sich bis zu drei Sekunden Referenzvideo mitgeben, um Figuren über mehrere Einstellungen hinweg konsistent zu halten.

Die Kostenseite. Ein neuer 360p-Entwurfsmodus erzeugt Vorschauen nach Google-Angaben bis zu 60 Prozent schneller und zu etwa einem Drittel der Kosten der 720p-Standardauflösung. Fertige Ergebnisse lassen sich anschließend auf 1080p oder 4K hochskalieren. Das ist die eigentliche Produktentscheidung dahinter: Iterieren wird billig, und nur das finale Ergebnis wird teuer gerechnet — ein Muster, das man aus dem Bildbereich kennt und das die Arbeitsweise stärker verändert als jede Qualitätssteigerung.

Verfügbarkeit. Über Google AI Studio sofort, per Schnittstelle über die Gemini Enterprise Agent Platform. In Google Flow steht das Modell Abonnenten von Google AI Plus, Pro und Ultra weltweit zur Verfügung; die Szenenverlängerung ist auch in der Gemini-App für dieselben Stufen freigeschaltet.

Zur Einordnung vorweg: Dies ist Code-Archäologie, keine Ankündigung. OpenAI hat auf Anfragen von WIRED und Gizmodo bis Redaktionsschluss nicht reagiert. Der Befund ist gut belegt, seine Bedeutung ist es nicht.

Was gefunden wurde. WIRED-Autor Maxwell Zeff berichtet, im öffentlichen GitHub-Repositorium von OpenAIs Coding-Agenten Codex Verweise auf eine Funktion namens „Persistent mode“ entdeckt zu haben. Sie soll es einem Agenten erlauben, dauerhaft weiterzuarbeiten — bis er ausdrücklich „schlafen gelegt“ wird. Daneben stieß er auf Hinweise auf ein zweites Merkmal namens „Proactivity“: Der Agent soll sich eigenständig Folgeaufgaben erzeugen, ohne dass ein Mensch erneut eine Anweisung eingibt. Eine Einstellung für den Reasoning Effort soll steuern, wie viel Rechenleistung dauerhaft gebunden wird.

Warum das der interessantere Teil ist. „Persistent“ klingt nach einer Betriebsfrage, „Proactivity“ ist die eigentliche Verschiebung. Bisherige Agenten sind Auftragsarbeiter: Sie bekommen eine Aufgabe, erledigen sie, halten an. Ein Agent, der sich selbst die nächste Aufgabe stellt, verlässt dieses Muster — der Mensch wird vom Auftraggeber zum Aufseher, und Aufsicht funktioniert erfahrungsgemäß schlechter als Beauftragung.

Der Zeitpunkt ist bemerkenswert. Diese Funde werden in derselben Woche öffentlich, in der über hundert Unternehmen einen Aufruf gegen entlaufene KI unterschreiben und der Abschlussbericht zum Hugging-Face-Vorfall festhält, ein Agentenkollektiv habe ohne menschliche Steuerung offensiv gehandelt. Ein Modus, in dem ein Agent von sich aus weitermacht, ist genau die Betriebsart, deren Risiken dieser Bericht beschreibt. Ob OpenAI die Funktion ausliefert, in welcher Form und mit welchen Begrenzungen, ist offen.

Die Station. Barret Zoph ist nach Bericht von TechCrunch nun Vice President of Research bei Google. Sein Schwerpunkt liegt auf Reinforcement Learning und Post-Training — also auf den Verfahren, mit denen ein fertig trainiertes Modell nachträglich geschliffen wird. Ein Google-Sprecher erklärte, man freue sich, Zophs Expertise in diesen beiden Feldern zu Gemini zu bringen.

Die Chronologie ist die eigentliche Geschichte. Zoph war zwei Jahre bei OpenAI, bevor er im Oktober 2024 gemeinsam mit Mira Murati Thinking Machines Lab gründete und dort Mitgründer und Technikchef wurde. Er wurde dort entlassen; später wurde bekannt, dass eine nicht offengelegte Beziehung zu einer Kollegin eine Rolle spielte. Im Januar 2026 kehrte er gemeinsam mit Mitgründer Luke Metz zu OpenAI zurück, dort allerdings als VP Enterprise Sales — eine Vertriebsrolle für einen Forscher. Nach etwa fünf Monaten war auch das vorbei.

Was daran über 2026 zu lernen ist. Dass ein Forscher dieses Kalibers binnen zwei Jahren vier Stationen durchläuft, ist keine Personalie, sondern ein Marktzustand. Post-Training-Expertise ist derzeit die knappste Ressource der Branche, weil sich dort inzwischen entscheidet, was ein Modell wirklich leistet — wie nüchtern die vollständigen Benchmark-Zahlen für Z.ais Ox Alpha ausfielen, haben wir gestern beschrieben. Wer diese Verfahren beherrscht, wird gehalten, auch wenn der Weg dorthin unruhig war. Zum aktuellen Zustand von Thinking Machines Lab nach dem Weggang beider Gründungsfiguren liegen uns keine belastbaren Angaben vor.

Die Methode ist das Beste an dieser Recherche. Das US-Investigativmedium 404 Media platzierte einen Peilsender in einem seltenen Buch, das mutmaßlich für KI-Training aufgekauft worden war, und verfolgte seinen Weg. Er endete in einem Amazon-Lager in North Las Vegas, Nevada, intern als „VGT3“ geführt.

Was dort passiert. Bücher werden in großen Mengen angeliefert. Maschinen schneiden die Buchrücken ab, weil sich lose Seiten schneller scannen lassen. Nach dem Scannen landen die entbundenen Seiten in Schuttmulden. Ein Mitarbeiter des Standorts beschreibt gegenüber 404 Media rund 20 bis 25 Scanner, die aussähen wie Geldzählmaschinen. Das Teamlogo zeigt einen Dinosaurier mit einem Buch in der Hand.

Woher die Bücher kommen. Nach Darstellung des Insiders aus Bibliotheksauflösungen und internationalen Sendungen — genannt werden Bestände aus London und der University of London sowie deutsche, russische und japanische Bände und Parlamentsdokumente. Sein Zitat zur Auswahl: „Alle Arten von Büchern. Als wir anfingen, waren viele davon brandneu. Manche sind auch gebraucht.“ Und, deutlich persönlicher: „Ich mag es nur deshalb nicht, weil ich diese Bücher gerne mitnehmen würde. Da ist so viel Wissen …“

Die Rechtfertigung. Intern sei zunächst gesagt worden, die Scans seien „für Kindles“ — was der Mitarbeiter selbst bezweifelte, wegen „Veröffentlichungsrechten und so, Urheberrecht und all dem“. Ein Amazon-Sprecher erklärte gegenüber 404 Media: „Amazon kauft Bücher über kommerzielle Kanäle, um die Produkte und Dienste zu entwickeln und zu verbessern, die unsere Kunden nutzen.“ Eine Verbindung zu konkreten laufenden Urheberrechtsverfahren stellen die vorliegenden Berichte ausdrücklich nicht her; Angaben zur Gesamtzahl der Bücher oder zum Betriebsbeginn des Standorts liegen nicht vor.

Warum das über die Pikanterie hinausgeht. Wir haben am 18. August durchgerechnet, was Trainingsdaten 2026 tatsächlich kosten. Dieser Bericht liefert die physische Entsprechung dazu: Der Wettbewerb um hochwertigen Text ist an einem Punkt angelangt, an dem es sich rechnet, gedruckte Bücher zu kaufen, um sie zu zerstören. Dass ausgerechnet ein Unternehmen, das als Online-Buchhändler begann, diesen Weg geht, ist die Ironie — der wirtschaftliche Befund dahinter ist die Nachricht.

Was gesagt wurde. Auf der Analystenkonferenz zum zweiten Quartal am Mittwoch antwortete Jensen Huang auf eine Frage zu OpenAIs AGI-Ambitionen sinngemäß, für viele Aufgaben könne man sagen, man habe artificial general intelligence bereits erreicht: „for many tasks, we could say that we've already achieved AGI.“ Unmittelbar danach entwertete er die Kategorie: „Ich denke an all diese Meilensteine und all das — sie sind an diesem Punkt irgendwie sinnlos.“ Entscheidend sei stattdessen, dass KI „produktive und nützliche Arbeit leistet“ und „profitable Token erzeugt“.

Es ist eine Wiederholung. Huang hatte bereits am 23. März 2026 in Lex Fridmans Podcast gesagt: „I think we've achieved AGI“ — damals mit einer bemerkenswert eigenwilligen Definition: Eine KI, die eine erfolgreiche App baut, damit eine Milliarde Dollar einnimmt und anschließend abgeschaltet wird, zähle bereits als AGI. Die Reaktionen reichten von Widerspruch bis Spott.

Was daran aufschlussreich ist. Wenn der Anbieter, dessen Hardware die gesamte Branche antreibt, den zentralen Begriff dieser Branche öffentlich für „sinnlos“ erklärt, ist das keine Nachlässigkeit, sondern eine Positionierung. Huangs eigentliche Botschaft an Investoren steht im zweiten Halbsatz: profitable tokens. Die Erzählung verschiebt sich von einer Schwelle, die man überschreitet, zu einer Auslastung, die man abrechnet. Ergänzend nannte er eine Zahl, die diese Logik trägt: Agentische Arbeitslasten verbrauchten je nach Aufgabe das 15- bis 100-fache an Rechenleistung einer einzelnen menschlichen Anfrage.

Transparenzhinweis: Wir konnten kein vollständiges Primärtranskript der Konferenz einsehen. Die zitierten Wortlaute stammen aus mehreren übereinstimmenden Sekundärquellen.

Was startet. OpenAI beginnt, in Indien Werbung in den Stufen ChatGPT Free und ChatGPT Go auszuspielen — zunächst mit rund 50 Marken. Die Anzeigen erscheinen als gesponserte Inhalte am Ende einer Antwort. Ein Anzeigenwerkzeug für Werbetreibende folgt im kommenden Monat, das Mindest-Tagesbudget liegt bei 725 Rupien (rund 7,60 US-Dollar). Als Agenturpartner werden WPP und Omnicom genannt. Die Stufen Plus, Pro, Business, Enterprise und Education bleiben werbefrei.

Warum Indien. Mit über 100 Millionen wöchentlich aktiven Nutzern ist Indien OpenAIs größter Markt außerhalb der Vereinigten Staaten — und der Großteil dieser Nutzer zahlt nichts oder wenig. Es ist damit der Markt, in dem die Lücke zwischen Reichweite und Erlös am größten ist. Wer ein werbefinanziertes Modell erproben will, findet hier die günstigste Ausgangslage; wer es scheitern sieht, riskiert am wenigsten.

Die Kehrtwende ist dokumentiert. Im Mai 2024 hatte Sam Altman Werbung noch deutlich abgelehnt: „Ads plus AI is sort of uniquely unsettling to me“, und er nannte sie „einen letzten Ausweg für uns als Geschäftsmodell“. Im Januar 2026 vollzog er die Wende öffentlich mit der Begründung, viele Menschen wollten viel KI nutzen und nicht dafür bezahlen. Der letzte Ausweg ist damit der Weg.

Die Trennlinie, die OpenAI zieht. Nach Unternehmensangaben haben Werbetreibende keinen Zugriff auf Chats, Verlauf, Erinnerungen oder persönliche Daten; Nutzerdaten würden nicht verkauft. Die Antworten selbst blieben davon bestimmt, „was objektiv nützlich ist, niemals von Werbung“. Ob diese Trennung hält, ist die Frage, an der sich das Modell messen lassen muss — belastbare Reaktionen aus Indien auf die Ankündigung liegen bislang nicht vor.

Das Problem, das gelöst werden soll. Wer ein KI-Modell unabhängig prüfen will, steckt in einem Dilemma. Übergibt der Prüfer seine Testfragen an den Anbieter, kann dieser sie kennen — und das Modell darauf optimieren. Der Fachbegriff dafür ist Benchmark-Kontamination, und sie ist der Grund, warum viele veröffentlichte Bestwerte wenig aussagen. Legt umgekehrt der Anbieter die Modellgewichte offen, gibt er sein wertvollstes Betriebsgeheimnis heraus. Bisher half nur beiderseitiges Vertrauen, abgesichert durch Verträge.

Was jetzt erprobt wird. Google DeepMind hat einen Pilotversuch für nach eigenen Angaben weltweit erste doppelblinde Evaluationen eines proprietären Spitzenmodells vorgestellt; getestet wird eine Variante von Gemini Flash Lite. Doppelblind heißt hier: Der externe Prüfer kann die Gewichte nicht einsehen, und Google kann die Testfragen nicht einsehen. Beide Seiten sind kryptografisch voneinander abgeschirmt. Technisch läuft das über Google Clouds Confidential Space in Kombination mit einer NVIDIA-H100-Grafikkarte im vertraulichen Betriebsmodus und Speicherverschlüsselung nach Intel TDX.

Wer mitmacht. Partner sind das Singapore AI Safety Institute, OpenMined, AVERI und MLCommons. Die Autoren des Beitrags — William Isaac, Sol Messing und Kristian Lum — ordnen es so ein: Vertragliche Zusicherungen und Protokollierungsverzichte hätten externe Testfragen schon lange vertraulich gehalten; technische und kryptografische Absicherungen hinzuzunehmen sei „ein großer Schritt nach vorn bei der sicheren Modellevaluation“.

Warum das mehr ist als eine Fußnote. Die Debatte um KI-Aufsicht scheitert bislang oft an einer praktischen Frage: Wer darf hineinsehen, ohne dass jemand etwas verliert? Solange die Antwort „niemand“ lautet, bleibt jede Prüfung eine Frage des Zutrauens. Wenn sich dieser Aufbau bewährt, wird aus einer Vertrauens- eine Konstruktionsfrage — und das ist die Voraussetzung dafür, dass externe Prüfungen überhaupt verpflichtend werden können.

Das Gerät. Pollen Robotics, seit 2024 Teil von Hugging Face, hat gestern die Vorbestellung für Microduck geöffnet — einen zweibeinigen Roboter für 399 US-Dollar Einführungspreis. Er ist 25 Zentimeter hoch, 14 breit, wiegt unter 800 Gramm und hat 15 Freiheitsgrade in Beinen, Hals und Kopf. Verbaut sind ein Rockchip RK3566 mit KI-Beschleuniger, 1 GB Arbeitsspeicher, 32 GB Flash, eine Frontkamera mit Aufnahmeanzeige, zwei Lagesensoren, eine 8×8-Laufzeitmatrix zur Abstandsmessung, ein Greifschnabel sowie Mikrofone und Lautsprecher mit einer pro Gerät individuell erzeugten Stimme. Der Wechselakku hält etwa eine Stunde. Vier Farben, Auslieferung vor Weihnachten 2026, Startmärkte Nordamerika und Europa. Sieben Verhaltensweisen sind vorinstalliert, darunter Rollschuhfahren und Aufstehen nach einem Sturz.

Wie offen „open source“ hier ist. Firmenchef Clem Delangue nennt ihn „einen quelloffenen Roboter, dem man mit Reinforcement Learning neue Kunststücke beibringen kann“. Das trifft auf die Software zu: Simulationsumgebungen, Trainingsskripte und der Weg von der Simulation aufs echte Gerät sollen vor Auslieferung quelloffen veröffentlicht werden. Für die mechanischen und elektronischen Entwürfe gilt das nach dem Pressematerial des Herstellers ausdrücklich nicht — es ist offene Software auf geschlossener Hardware. Diese Unterscheidung geht in der Vermarktung unter und ist für jeden relevant, der darauf aufbauen will.

Der Zusammenhang mit der Titelgeschichte. Nach dem Desktop-Gerät Reachy Mini ist der Microduck das zweite Konsumprodukt aus dieser Übernahme. Delangue formuliert als Ziel, „physische KI und Weltmodelle“ zu demokratisieren. Es ist ein bemerkenswerter Moment für diese Ankündigung: Am selben Tag wird berichtet, Nvidia stehe kurz vor der Übernahme von Hugging Face. Wem die Robotiksparte in einem halben Jahr gehört und wie offen sie dann noch ist, gehört zu den Fragen, die der Bericht aufwirft.

Strang eins: das Rechenzentrum. Schwarz Digits baut in Dummerstorf bei Rostock ein KI-Rechenzentrum mit zunächst 240 Megawatt; ein Ausbau auf bis zu 1 Gigawatt bis 2045 gilt als möglich. Die Investition beziffert das Unternehmen auf rund 5,6 Milliarden Euro bis 2033. Der Standort ist bewusst gewählt: Mecklenburg-Vorpommern erzeugt deutlich mehr Wind- und Solarstrom, als es verbraucht; angebunden wird über die Konverterstation Bentwisch an Offshore-Windkraft. Die Abwärme soll laut Absichtserklärung rund 40 Prozent des Wärmebedarfs der Stadt Rostock decken. Es ist das zweite Großprojekt nach dem 200-Megawatt-Rechenzentrum in Lübbenau in Brandenburg.

Strang zwei: die Zahlen dahinter. Am selben Tag erschien eine Recherche, die dem Souveränitätsversprechen die Geschäftszahlen gegenüberstellt. Danach setzte Schwarz Digits im Geschäftsjahr 2025/26 rund 2,2 Milliarden Euro um — über 90 Prozent davon mit dem eigenen Konzern, also mit Lidl und Kaufland. Die Cloud-Sparte STACKIT, das eigentliche Angebot an externe Kunden, kam auf 46,5 Millionen Euro; für 2026/27 sind 177,3 Millionen geplant. Gemessen an Investitionen im zweistelligen Milliardenbereich sind das sehr kleine Zahlen. Besonders unangenehm: Zentrale Lidl-Systeme und die Lidl-Plus-App laufen dem Bericht zufolge weiterhin teilweise auf Azure oder Google Cloud.

Der Widerspruch in zwei Zitaten. Gerd Chrzanowski von der Schwarz-Gruppe: „Wir verleihen Europa seine Handlungshoheit.“ Dagegen der Ökonom Hermann Simon: „Wir haben keine Chance … in den Massenmärkten.“ STACKIT-Verantwortlicher Christian Müller wiederum betont, Souveränität sei „kein Technationalismus“.

Warum uns das interessiert. Das Angebot ist real, die Rechenzentren werden gebaut, und Deutschland braucht beides. Aber digitale Souveränität misst sich nicht an installierter Leistung, sondern daran, ob jemand außerhalb des eigenen Konzerns diese Leistung kauft. Solange über neun von zehn Euro aus dem Mutterhaus kommen, ist das ein sehr gut ausgestattetes internes Rechenzentrum — und noch kein europäischer Anbieter im Wettbewerb. Für Unternehmen, die gerade Cloud-Verträge verhandeln, ist das die Zahl, nach der man fragen sollte.

Zur Quellenlage: Die Umsatzzahlen stammen aus einer Recherche des Manager Magazin (Ausgabe 9/2026, Martin Mehringer und Caspar Schlenk), die Golem am 27. August aufgegriffen hat. Uns lag die Primärquelle nicht vor.

Der Fall. Das Biotech-Unternehmen Insilico Medicine entwickelt mit Rentosertib (früher ISM001-055) einen Wirkstoff gegen idiopathische Lungenfibrose — eine Erkrankung, bei der Lungengewebe fortschreitend vernarbt. Der Stoff hemmt das Zielprotein TNIK und befindet sich in der klinischen Phase 2. Nach Darstellung der Fachliteratur ist es der erste klinisch erprobte Wirkstoff, der von einer KI entworfen wurde und zugleich gegen ein von einer KI identifiziertes Zielprotein wirkt.

Der Widerspruch. Insilico beschreibt die eigene Plattform öffentlich ausdrücklich als entdeckend — sie habe das Ziel gefunden und das Molekül entworfen. Im Patent selbst sind jedoch fünf Menschen als Erfinder benannt, darunter Firmenchef Alex Zhavoronkov. Die KI wird dort nicht erwähnt.

Warum das so sein muss. Nach US-Recht kann Erfinder nur eine natürliche Person sein; das US-Patentamt hat diese Auslegung im November 2025 in einer Leitlinie bestätigt. Der Präzedenzfall dazu ist der Streit um die KI „DABUS“, den Stephen Thaler über Jahre führte und vor dem zuständigen Berufungsgericht verlor. Der Supreme Court hat im März 2026 auch die verwandte urheberrechtliche Frage nicht zur Entscheidung angenommen. Japans Oberster Gerichtshof entschied am 4. März 2026 ebenso, das britische Höchstgericht zuvor gleichlautend. Die Rechtslage ist damit international gefestigt.

Was auf dem Spiel steht. Für ein Biotech-Unternehmen ist der Patentschutz die Geschäftsgrundlage — ohne ihn refinanziert sich keine klinische Studie. Wenn nun der Beitrag einer Maschine offengelegt werden müsste und dies die Erfinderbenennung angreifbar machte, wäre nicht nur ein Patent gefährdet, sondern die Investitionslogik eines ganzen Feldes. Die praktische Folge dieser Rechtslage ist bemerkenswert: Sie belohnt Unternehmen dafür, den Anteil der KI in Patentanmeldungen nicht zu betonen — während dieselben Unternehmen im Marketing genau das Gegenteil tun. Ein Rechtsrahmen, der zu zwei verschiedenen Darstellungen desselben Vorgangs einlädt, ist selten ein stabiler Rechtsrahmen.

Die Verordnung. US-Präsident Donald Trump hat am Mittwoch eine Executive Order unterzeichnet, die wegen Sicherheitsrisiken im Stromnetz eine nationale Notlage erklärt. Betroffen sind Transformatoren, Batteriespeicher, netzgekoppelte Wechselrichter, Generatoren, Turbinen und industrielle Steuerungssysteme samt zugehöriger Software, Firmware und Fernwartungsfunktionen — mit Schwerpunkt auf der Übertragungsnetzebene. Das Energieministerium hat 120 Tage, um die Umsetzungsregeln auszuarbeiten. Die Verordnung erlaubt ausdrücklich auch Auflagen für bereits installierte Ausrüstung.

Die Begründung. Es geht um die Sorge vor digitalen Hintertüren und Fernzugriffsmöglichkeiten in ausländischer Technik. Ein Land wird im Text nicht genannt, gemeint ist erkennbar China als weltgrößter Hersteller entsprechender Komponenten. Bemerkenswert ist die Begründung der verschärften Bedrohungslage: Das Weiße Haus verweist ausdrücklich auf die „schnelle Expansion von Fertigung, Rechenzentren und KI“, die die Stromabhängigkeit der USA erhöht habe. Die Verordnung knüpft an eine ältere aus dem Jahr 2020 an, die bereits chinesische Leistungstransformatoren adressierte.

Die Branche fragt zurück. Bridget Bartol von der National Electric Manufacturers Association verlangt Klarstellungen, vor allem zur Frage, wie bei Software überhaupt die Herkunft bestimmt werden soll; es werde „viel Dialog zwischen Industrie und Verwaltung“ nötig sein. Der Verband der Energieversorger signalisiert Kooperationsbereitschaft und mahnt zugleich Zuverlässigkeit und Bezahlbarkeit an.

Warum das hierher gehört. Die Ironie ist schwer zu übersehen: Eine Verordnung, die mit dem Ausbau von Rechenzentren begründet wird, könnte genau diesen Ausbau verzögern. Analysten erwarten, dass die Reaktion der Regulierungsbehörde FERC Investitionsentscheidungen der Versorger und Zeitpläne von Rechenzentrumsprojekten beeinflusst. Belastbare Zahlen zu konkreten Verzögerungen gibt es noch nicht — wer für 2027 oder 2028 Kapazität in den USA einplant, sollte diese Unbekannte aber ab sofort mitführen.

Die Zahlen zur Verbreitung sind eindrucksvoll. Nach McKinseys Erhebung „The State of AI“ — 1.719 Befragte aus 97 Ländern — nutzen 89 Prozent der Unternehmen KI regelmäßig in mindestens einem Geschäftsbereich, 56 Prozent in drei oder mehr (Vorjahr: 51). 47 Prozent haben unternehmensweite Chatbots ausgerollt, 28 Prozent stecken mehr als ein Zehntel ihres IT-Budgets in KI, und 60 Prozent wollen im kommenden Jahr mehr investieren. 80 Prozent berichten von gestiegener individueller Produktivität.

Die Zahl, auf die es ankommt, bewegt sich nicht. 37 Prozent berichten von einem Effekt auf das Betriebsergebnis — unverändert gegenüber dem Vorjahr. Als „KI-Vorreiter“, denen KI mindestens fünf Prozent des Betriebsergebnisses beisteuert, gelten 6 Prozent — ebenfalls unverändert. Ein weiteres Jahr flächendeckender Einführung hat den Anteil derer, bei denen es sich in der Bilanz zeigt, nicht erhöht.

Zwei Nebenbefunde, die weh tun. Erstens die Wahrnehmungslücke innerhalb der Hierarchie: 47 Prozent der mittleren Führungs- und Fachkräfte berichten von negativen Auswirkungen der KI-Einführung, bei der obersten Führungsebene sind es nur 31 Prozent. Wer die Einführung beschließt, erlebt sie günstiger als wer sie umsetzt. Zweitens: 20 Prozent geben an, dass die laufenden Betriebskosten — ausdrücklich einschließlich der Tokenkosten — den Einsatz bereits einschränken. Das ist keine Zukunftssorge mehr, sondern eine Bremse im laufenden Betrieb.

Was man daraus mitnehmen sollte. Die Erzählung, es brauche nur mehr Zeit und mehr Einführung, wird von dieser Erhebung nicht gestützt: Die Einführung ist gestiegen, der Ergebniseffekt nicht. Der Engpass sitzt offenbar nicht bei der Verfügbarkeit der Werkzeuge, sondern bei der Frage, welche Prozesse man tatsächlich umbaut. Das deckt sich mit dem, was wir gestern an Metas abgebrochenem Konzernumbau beschrieben haben: Der schwierige Teil ist nicht das Modell, sondern die Organisation darum herum. Zur Frage, was die 6 Prozent Vorreiter konkret anders machen, gibt die uns vorliegende Berichterstattung keine belastbare Auskunft.