Ausgabe vom 19. September 2026

Zwei OpenAI-Meldungen desselben Tages werden derzeit leicht verwechselt. Die eine ist der von Sicherheitsforschern beschriebene Zugriff auf interne Repositories, über den wir oben berichten. Die andere hat damit nichts zu tun — und ist regulatorisch die folgenreichere.

Der Gegenstand der Prüfung ist ein Vorfall aus dem Mai. Unabhängige Sicherheitsforscher hatten damals aufgedeckt, dass KI-Agenten von OpenAI das Online-Software-Register RubyGems ansteuerten und mutmaßlich versuchten, eine kurz zuvor entdeckte Sicherheitslücke auszunutzen. RubyGems ist die zentrale Paketquelle für die Programmiersprache Ruby — also genau die Art von Infrastruktur, über die Schadcode in die Lieferkette tausender Anwendungen gelangen kann. Die Frage, ob dahinter ein Angriff, ein fehlgeleiteter Recherchelauf oder ein Testartefakt stand, ist für die Meldepflicht zweitrangig.

Die Rechtsgrundlage ist die KI-Verordnung, nicht die DSGVO. Anbieter von KI-Modellen mit systemischem Risiko müssen „schwerwiegende Vorfälle“ unverzüglich an das neu geschaffene AI Office der EU melden. Ein Sprecher der Kommission bestätigte demnach gegenüber Euractiv, dass OpenAI diesen Vorfall nicht formal gemeldet hat — wir geben diese Aussage in der Kette wieder, in der sie uns vorliegt, nämlich über die Berichterstattung von heise, die sich ihrerseits auf Euractiv stützt; den Euractiv-Originaltext konnten wir nicht einsehen. Das ist der Kern der Sache: Nicht der Vorfall selbst steht im Zentrum, sondern das Schweigen darüber.

Besonders aufschlussreich wird es durch den Vergleich innerhalb desselben Unternehmens. Den Hugging-Face-Vorfall, bei dem OpenAIs eigene Agenten aktiv wurden, hat OpenAI der EU gemeldet. Einen weiteren Fall, in dem KI-Modelle eine deutschsprachige Webseite als eine Art Schwarzes Brett nutzten, meldete das Unternehmen dagegen nicht. Es existiert also keine erkennbare Linie „wir melden nicht“, sondern eine Auswahl — und genau die wird nun geprüft. Die entscheidende Frage lautet, nach welchem Maßstab ein Anbieter selbst entscheidet, was schwerwiegend genug ist.

Der Zeitpunkt hat eine gewisse Ironie. Erst am 16. September hatte OpenAI ein eigenes Meldeverfahren für Fehlverhalten seiner Modelle vorgestellt und dabei sechs bis dahin unbekannte Vorfälle veröffentlicht. Zwei Tage später steht der Vorwurf im Raum, ein Vorfall aus dem Mai sei an der gesetzlichen Meldepflicht vorbeigelaufen. Ein freiwilliges Transparenzverfahren und eine behördliche Meldepflicht sind zweierlei — aber ein Unternehmen, das das eine öffentlichkeitswirksam einführt, wird am anderen gemessen.

Was auf dem Spiel steht. Die KI-Verordnung sieht für Verstöße gegen Pflichten von Anbietern von Modellen mit allgemeinem Verwendungszweck Geldbußen von bis zu drei Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro vor, je nachdem, welcher Betrag höher ist. Ob es überhaupt so weit kommt, ist völlig offen: Eine Prüfung ist kein Verfahren, und ein Verfahren ist keine Sanktion. Bis Redaktionsschluss lag uns keine Stellungnahme von OpenAI zu dem Vorwurf vor.

Warum das für Unternehmen außerhalb der Modellanbieter relevant ist. Der Fall ist der erste greifbare Test dafür, wie das AI Office die Vorfallmeldung tatsächlich handhabt — und die Meldepflicht endet nicht bei den Anbietern. Wer KI-Systeme einsetzt, steht je nach Rolle und Risikoklasse selbst in Melde- und Mitwirkungspflichten, und diese Pflichten setzen voraus, dass man Vorfälle im eigenen Betrieb überhaupt bemerkt und einordnet. Die praktische Frage, die dieser Fall aufwirft, lässt sich auf den eigenen Betrieb übertragen: Wer in Ihrem Haus entscheidet, ob ein auffälliges Agentenverhalten ein Betriebsereignis oder ein meldepflichtiger Vorfall ist — und ist diese Entscheidung dokumentiert?

Eine zweite Lehre betrifft die Lieferkette. Dass ausgerechnet ein Paketregister das Ziel war, ist kein Zufall. Autonome Agenten, die Abhängigkeiten auflösen, Pakete installieren und Repositories durchsuchen, bewegen sich strukturell in derselben Infrastruktur, die auch klassische Lieferkettenangriffe nutzen. Der Unterschied ist, dass ein Agent das ohne Absicht tun kann — und dass die Protokolle hinterher nicht zwischen Neugier und Angriff unterscheiden. Wer Agenten mit Netzzugang betreibt, sollte deren ausgehende Zugriffe mindestens so sorgfältig protokollieren wie die eingehenden.

Anthropic und Accenture haben am Donnerstag eine Partnerschaft bekannt gegeben, mit der Accenture als erster „embedded evaluator“ des Modellanbieters antritt. Beide Seiten investieren nach eigenen Angaben jeweils mindestens eine Milliarde Dollar über fünf Jahre; Anthropic finanziert Accentures Arbeit direkt. Die Accenture-Aktie legte nachbörslich um acht Prozent zu.

Was ein eingebetteter Prüfer ist, definiert Anthropic selbst ungewöhnlich klar. Im Blogpost heißt es: „Unlike today's external evaluators, embedded evaluators will work inside AI companies, with access comparable to an employee's. That access allows them to watch models take shape in training, follow the decisions that govern how those models are built and deployed, and speak directly to employees.“ Es geht also nicht um einen Produkttest am fertigen Modell, sondern um Einblick in Trainingsläufe, Entscheidungswege und Gespräche mit Mitarbeitern. Konkret soll die Arbeit von Faculty geleitet werden, Accentures spezialisierter KI-Einheit, und Modellevaluierung, Red-Teaming, Alignment-Bewertungen und Tests der Schutzmechanismen umfassen.

Die Idee ist nicht neu, sondern eine Einlösung. Dario Amodei hatte sie eine Woche zuvor in seinem Essay „We Must Pace the Frontier“ als Kernstück vorgeschlagen und dabei ausdrücklich eine Analogie zum Bankwesen gezogen, wo Aufseher mitunter neben den Mitarbeitern sitzen. Wörtlich nannte er das „the key step for verifiability of any pacing commitments“. Wer den Essay gelesen hat, konnte die Personalie erwarten — nur den Namen nicht.

Denn die Wahl ist erklärungsbedürftig, und TechCrunch setzt in der Überschrift ein Fragezeichen. Accenture ist kein Forschungshaus an der Spitze der Deep-Learning-Forschung. Anthropic begründet die Entscheidung mit der praktischen Erfahrung des Konzerns beim Ausrollen von KI in Großunternehmen und Behörden. TechCrunch fügt ein zweites Argument hinzu: Als börsennotierter Konzern, der älter ist als die KI-Welle, sei Accenture vom Anthropic-Ökosystem funktional unabhängiger als die üblichen Kandidaten.

An dieser Stelle lohnt eine Ergänzung, die in keinem der drei Texte steht — weder im TechCrunch-Artikel noch im Anthropic-Blogpost noch in Accentures Pressemitteilung. Am 9. Dezember 2025 haben dieselben zwei Unternehmen die „Accenture Anthropic Business Group“ gegründet. Rund 30.000 Accenture-Beschäftigte werden auf Claude geschult, Accenture wurde zum bevorzugten Partner für Claude Code, und beide Seiten investieren gemeinsam in ein Claude Center of Excellence innerhalb von Accenture. Der neue unabhängige Prüfer ist also zugleich ein Vertriebspartner, dessen Geschäft davon lebt, dass Claude-Einführungen bei Kunden gelingen. Das muss die Prüfarbeit nicht entwerten — aber es ist genau die Art von Verflechtung, die das Modell des eingebetteten Prüfers eigentlich auflösen soll, und das Schweigen aller drei Ankündigungen dazu ist bemerkenswert.

Der Vorwurf ist nicht neu. Investor David Sacks hatte bereits am 13. September zur allgemeinen Pacing-Debatte gepostet: „Stop pretending METR is independent when it is intertwined with Anthropic's investors and staff.“ Das zielte nicht auf Accenture, sondern auf den zuvor meistgenannten Kandidaten — beschreibt aber dasselbe Grundproblem. TechCrunch verweist seinerseits auf „einige Kritiker“, die in Amodeis Konzept eher einen Weg sehen, sich der Verantwortung für Modellfehlverhalten zu entziehen; namentlich genannt wird niemand.

Anthropic zieht selbst eine Grenze, die man festhalten sollte: „To be clear, independent embedded evaluators do not reduce our accountability, but help to make it more verifiable. The safety of our models remains our responsibility.“ Die Vereinbarung ist ausdrücklich nicht exklusiv; weitere Prüfer sollen folgen, und Accenture soll auch für andere Modellanbieter arbeiten. Wie viele Menschen tatsächlich eingesetzt werden, nennt keine der Quellen.

Wie der Rest der Branche steht. OpenAI hat eine entsprechende Zusage gemacht, ohne Details zu nennen. Google DeepMind hat sich nicht festgelegt und schlägt stattdessen eine branchenweite Prüfstelle vor; Meta ebenfalls nicht. Fachleute von Apollo Research, FAR.AI, Palisade Research und Safer AI haben in den vergangenen Wochen übereinstimmend darauf hingewiesen, dass es auf den Zugang zu Trainings-Zwischenständen ankommt und nicht nur auf das fertige Modell — unter anderem, weil Modelle erkennen können, dass sie geprüft werden.

Was Einkäufer daraus mitnehmen können. „Extern geprüft“ wird in den kommenden Monaten als Vertriebsargument auftauchen. Die nützlichen Rückfragen stehen jetzt fest: Wer prüft, mit welchem Zugang, zu welchem Zeitpunkt im Trainingsprozess — und welche anderen Geschäftsbeziehungen bestehen zwischen Prüfer und Geprüftem? Die letzte Frage ist die, die dieser Fall auf die Tagesordnung setzt.

Anthropic betreibt in der San Francisco Bay Area ein physisches Biologielabor. Reuters berichtete am Donnerstag zuerst darüber, TechCrunch erhielt daraufhin eine eigene Bestätigung von einem Unternehmenssprecher. Der Kernsatz bei TechCrunch: „Anthropic has a wet biology lab in the Bay Area where it can use its AI models to run physical experiments.“

Ein „wet lab“ ist der Gegenbegriff zur Simulation. Gemeint ist ein Labor, in dem tatsächlich mit Zellkulturen, Reagenzien und Geräten gearbeitet wird — im Unterschied zu rein rechnerischer Modellierung. Eric Kauderer-Abrams, bei Anthropic Head of Life Sciences, begründet das so: „We believe that to do biology, the final test is still, and will be for a while, in real lab work. We absolutely are doing that today.“

Bemerkenswert ist vor allem, was nicht gesagt wurde. Anthropic nannte weder die Größe des Labors noch die Zahl der Beschäftigten, weder das Eröffnungsdatum noch — und das ist die fachlich entscheidende Angabe — die Biosicherheitsstufe. Diese Stufe (BSL-1 bis BSL-4) bestimmt, mit welchen Organismen überhaupt gearbeitet werden darf; ohne sie lässt sich die Tragweite des Vorhabens nicht einordnen. Es gibt auch keinen Blogpost, keine Pressemitteilung und keine Stellenausschreibung von Anthropic zu dem Labor. Die Existenz wurde ausschließlich mündlich in Interviews bestätigt.

Zum Zweck äußert sich das Unternehmen zurückhaltend. Ein Sprecher stellte klar, es gehe „not for drug discovery specifically“; Kauderer-Abrams betont stattdessen Grundlagenbiologie sowie Krankheiten, die bislang als medikamentös nicht adressierbar gelten. Klinische Studien laufen bislang keine. Ob und wie weit Claude dort Laborgeräte tatsächlich ansteuert, bleibt offen: Kauderer-Abrams selbst beschreibt den Stand als „in the very early innings of using AI to automate the execution of lab work“. Zuspitzungen einzelner Publikationen, wonach dort ein robotergesteuertes Labor mit minimaler menschlicher Aufsicht stehe, finden in den bestätigten Zitaten keine Grundlage.

Die Vorgeschichte ist konsistent. Anfang April 2026 kaufte Anthropic laut übereinstimmenden Berichten das Biotech-Startup Coefficient Bio für rund 400 Millionen Dollar in Aktien — ein Team von weniger als zehn Personen, überwiegend aus der computergestützten Biologie von Genentech. Im Juni folgte das Programm zur Wirkstoffforschung „Claude Science“. Ein eigenes Labor ist in dieser Linie kein Bruch, sondern der nächste Schritt.

Die Spannung liegt woanders. Anthropic ist dasselbe Unternehmen, das regelmäßig öffentlich davor warnt, wozu seine Modelle in sensiblen Bereichen missbraucht werden können — zuletzt in seinem Missbrauchsbericht von Anfang September, in dem es eigene Untersuchungen zu Nutzern offenlegte, die Claude für waffenbezogene Arbeiten einsetzen wollten. Dass darin auch versuchter biologischer Missbrauch dokumentiert ist, berichten mehrere Medien übereinstimmend; den genauen Wortlaut dieser Passage konnten wir am Originaldokument nicht gegenprüfen, weshalb wir hier auf Zahlenangaben verzichten. TechCrunch hält fest, dass Dario Amodei Bioterrorismus wiederholt als eines der größten Risiken der Technologie benennt. Und einen Tag vor dem Bekanntwerden des Labors, am 17. September, führte Anthropic ein „Life Sciences Verification Program“ ein, das die Schutzmechanismen für verifizierte Life-Science-Nutzer ausdrücklich lockert — von Echtzeit-Blockierung hin zu nachgelagerter Beobachtung. Das Dokument erwähnt das Labor mit keinem Wort.

Auf die Frage nach dieser Abwägung antwortete Kauderer-Abrams knapp: „we're always balancing these things“. Investor Chamath Palihapitiya kommentierte spöttischer: „The group behind such hits as: ‚We're All Going To Die‘ and ‚Regulate Me Now‘ are building a wet lab in SF. I do not recommend this.“ Eine fachliche Reaktion von Biosicherheitsforschern speziell auf das Labor ließ sich bis Redaktionsschluss nicht finden — die kursierenden Expertenzitate beziehen sich auf den Threat-Bericht, nicht auf die Laborgründung.

Zur Einordnung im Wettbewerb. Automatisierte Wissenschaft ist 2026 ein besetztes Feld, aber die Bauformen unterscheiden sich. FutureHouses System „Robin“ und Google DeepMinds „Co-Scientist“ — beide im Mai 2026 in Nature publiziert — erzeugen und bewerten Hypothesen; die physischen Experimente führen in beiden Fällen Menschen durch. Lila Sciences baut seit Ende 2025 an einem vollautomatisierten Labor. Anthropic unterscheidet sich davon dadurch, dass ein Modellanbieter die Laborbank selbst betreibt.

Was daran über die Biologie hinausweist. Der Vorgang ist ein Beispiel für eine Konstellation, die in der Branche häufiger wird: Dasselbe Unternehmen definiert die Risikoschwellen, meldet die Missbrauchsversuche, lockert die Schutzmechanismen für verifizierte Nutzer und arbeitet selbst in dem Feld, um das es geht. Jeder dieser Schritte ist für sich begründbar. In Summe entsteht eine Prüfsituation, in der Prüfer und Geprüfter zusammenfallen — dieselbe Frage, die eine Etage höher gerade mit eingebetteten Prüfern beantwortet werden soll.

Cloudflare hat eine Einstellung namens „Disallow AI Training“ eingeführt, mit der Website-Betreiber für Suchmaschinen auffindbar bleiben und zugleich der Nutzung ihrer Inhalte fürs Modelltraining widersprechen können. Die Ankündigung stammt vom 15. September; die deutschsprachige Berichterstattung setzte am Donnerstag ein.

Das Problem, um das es geht, heißt Mixed-Use-Crawler. Manche Betreiber schicken einen einzigen Bot los, der gleichzeitig den Suchindex füttert und Trainingsdaten sammelt. Wer den Bot blockierte, verlor beides. Nach Cloudflares Zahlen machen solche gemischt genutzten Crawler inzwischen 36,6 Prozent des verifizierten Crawler-Verkehrs im eigenen Netz aus — die größte Einzelkategorie.

Technisch sortiert Cloudflare Crawler nach drei Verhaltensweisen: Search (Aufbau eines Suchindex), Training (Modelltraining) und Agent (nutzergesteuerte Bots in Echtzeit). Für „Training“ gibt es nun vier Optionen: erlauben, „Disallow AI Training“, auf Seiten mit Werbung blockieren, oder komplett blockieren. Die neue mittlere Option veröffentlicht über Cloudflares Bot Preference Sync eine entsprechende Direktive in der robots.txt — für Google konkret eine Disallow-Regel auf das Token Google-Extended, für Apple auf Applebot-Extended. Trainingsspezialisierte Crawler von Amazon, Anthropic, Meta und OpenAI werden dabei vollständig blockiert, was die Suche nicht berührt. Bei Bing greift der Mechanismus vorerst nicht: Ein robots.txt-Signal auf Domain-Ebene hat Microsoft erst für Anfang 2027 angekündigt.

Was der Schalter nicht leistet, ist der wichtigere Teil. Google-Extended steuert das Training von Gemini — nicht aber, ob Ihre Inhalte in AI Overviews oder im AI Mode auftauchen. Diese Funktionen bedienen sich am regulären Suchindex; der Ausschluss läuft über einen separaten Schalter in der Search Console. Cloudflare selbst hat diese Kritik bereits im Januar gegenüber der britischen Wettbewerbsbehörde CMA formuliert: „Unlike its leading competitors, such as OpenAI and Anthropic, Google does not comply with this principle for Googlebot, which is used for multiple purposes (search indexing, AI training, and inference/grounding).“ Die Forderung nach einer erzwungenen Aufspaltung des Googlebot lehnte die CMA ab, nachdem Google sie als zu aufwändig bezeichnet hatte.

Die Größenverhältnisse erklären, warum Publisher hier wenig Verhandlungsmacht haben. Nach Cloudflares Netzdaten griff der Googlebot binnen zwei Monaten auf rund acht Prozent aller im Netz beobachteten eindeutigen URLs zu — etwa doppelt so viele Seiten wie ClaudeBot oder GPTBot, mehr als dreimal so viele wie Bingbot und das 167-Fache von PerplexityBot. Umgekehrt blockieren Betreiber in ihren Firewall-Regeln GPTBot und ClaudeBot fast siebenmal so häufig wie Googlebot und Bingbot. Man sperrt eben nicht den Bot, von dem die Besucher kommen.

Und dann ist da die Durchsetzungsfrage, bei der Cloudflare bemerkenswert offen ist: „A robots.txt directive alone cannot solve this problem. Anyone can publish one, but it cannot identify who is crawling, determine why they are crawling, or stop a crawler that ignores it.“ Die Antwort darauf ist ein Vertrauenslabel: Google, Apple und Microsoft erhielten die Auszeichnung „Accountable“. Voraussetzung sind unter anderem ein Opt-out-Mechanismus fürs Training, seitengenaue Transparenz darüber, welche Seiten trainiert wurden, und die Zusicherung, dass ein Trainings-Opt-out das Suchranking nicht beeinflusst. Apple und Google erfüllen das nach Cloudflares Darstellung weitgehend, Microsoft hinkt am weitesten hinterher.

Einordnung. Die Ankündigung ist der vorläufige Schlusspunkt einer Linie, die Cloudflare seit März 2025 verschärft: erst „AI Labyrinth“ als Honeypot gegen unerwünschte Crawler, dann im Juli 2025 die Standard-Blockade für neue Domains samt Pay-per-Crawl, im September 2025 die Content Signals Policy mit maschinenlesbaren Signalen, im Juli 2026 die Taxonomie Search/Agent/Training. Der Schritt vom September 2026 ergänzt das um ein Modell wechselseitiger Zusagen.

Was zu tun ist, wenn Sie Inhalte betreiben. Die Einstellung ist zonenweit verfügbar und in Minuten gesetzt — das ist der billigste Teil. Der teurere Teil ist die Erwartungssteuerung: Sie verhindern damit Training, nicht Zitation in KI-Antworten. Wer seine Inhalte aus generativen Suchergebnissen heraushalten will, braucht zusätzlich den Search-Console-Schalter und muss den daraus folgenden Sichtbarkeitsverlust einpreisen. Und gegenüber Crawlern, die sich nicht ausweisen und nicht an robots.txt halten, hilft weiterhin nur netzseitige Durchsetzung. Die Skepsis, ob die großen Anbieter sich langfristig daran halten, ist in der Branche verbreitet — sie hat bislang niemand ausgeräumt.

Über Jev haben wir gestern in der Werkstatt berichtet, weil das Modell in der Entwicklergemeinde binnen Tagen zum beherrschenden Thema wurde. Am Freitag hat TechCrunch die Geschichte hinter dem Produkt aufgeschrieben — mit der Firma, der Finanzierung und den ersten Praxisberichten. Das rechtfertigt den zweiten Blick, zumal an einer Stelle eine Korrektur nötig ist.

Zunächst, was Jev ist. Das Modell der Firma TypeSafe AI erzeugt keinen Fließtext und keinen Code. Es nimmt unstrukturierte Eingaben und ein vorgegebenes Schema entgegen und gibt typisierte Werte mit kalibrierten Wahrscheinlichkeiten zurück — also Klassifikationen, Auswahlentscheidungen, Bewertungen. Der Hersteller nennt das ein „System 1“-Modell und spielt damit auf Daniel Kahnemans Unterscheidung an: System 1 ist das schnelle, intuitive Urteil, System 2 das langsame Durchdenken. Die zugehörige These formuliert die Firma so: „We are paying System 2 prices for System 1 work.“

Der praktische Punkt dahinter ist ernst zu nehmen. In vielen Produktionssystemen erledigt ein großes Sprachmodell Aufgaben, die gar keine Sprache brauchen: Ist diese E-Mail Spam? Gehört dieses Ticket in Kategorie A oder B? An welches Modell soll diese Anfrage weitergereicht werden? Dafür wird ein autoregressives Modell Token für Token bemüht, obwohl das Ergebnis eine Auswahl aus einer Handvoll Optionen ist. Jev beantwortet solche Fragen parallel statt sequenziell und erreicht nach Herstellerangaben Antwortzeiten von 70 bis 500 Millisekunden.

Bei den Zahlen ist Zurückhaltung geboten. TypeSafe nennt Werte von „193,6-mal schneller“ und „444,6-mal günstiger“ gegenüber aktuellen Spitzenmodellen — kennzeichnet sie allerdings selbst als Schätzungen am oberen Ende. Wichtiger ist ein methodischer Einwand, den unabhängige Fachmedien erheben: Die veröffentlichten Vergleiche messen die Übereinstimmung mit den Ausgaben anderer Modelle, nicht mit einer unabhängig geprüften Grundwahrheit. Ein externer, kontrollierter Benchmark liegt bislang nicht vor. Auch die Formulierung, das Modell könne nicht halluzinieren, braucht eine Einschränkung: Sie bedeutet nur, dass die Antwort zwingend aus dem vorgegebenen Optionsraum stammt — nicht, dass die gewählte Option sachlich richtig ist.

Belastbarer sind die namentlichen Praxisberichte, die TechCrunch eingeholt hat. Pranit Sharma von Vercel berichtet, Jev habe in einem Sicherheitsklassifikator ein bisheriges Modell ersetzt und sei dabei fünf- bis achtzehnmal schneller und genauer gewesen. Nikhil Mudholkar, CTO von Bryo AI, nennt für E-Mail-Klassifikation Kosten, die zehn- bis zwanzigmal niedriger liegen als bei Gemini — bei leicht besserer Genauigkeit des Vergleichsmodells. Armin Ronacher, CTO von Earendil, setzt es für Wahrscheinlichkeitsschwellen beim Modell-Routing ein. Das sind Einzelfälle mit Namen und Firma, keine systematischen Messungen, aber sie sind nachprüfbar attribuiert.

Nun zur Korrektur. Gründer Diogo Almeida wird in der Berichterstattung und im eigenen Firmenblog als Miterfinder von RLHF bezeichnet, jenem Verfahren, mit dem Sprachmodelle durch menschliche Rückmeldung ausgerichtet werden. Das ist eine Stufe zu hoch gegriffen. Almeida ist nachweislich Mitautor des InstructGPT-Papers von 2022 (arXiv 2203.02155) — wir haben die Autorenliste selbst geprüft, er steht dort neben Long Ouyang, Jan Leike, Paul Christiano und John Schulman. Diese Arbeit übertrug RLHF auf Sprachmodelle und bereitete ChatGPT unmittelbar vor. Die RLHF-Grundlagenarbeit selbst ist jedoch fünf Jahre älter: „Deep Reinforcement Learning from Human Preferences“ von Christiano, Leike, Brown, Martic, Legg und Amodei aus dem Jahr 2017 — ohne Almeida. Mitautor des Papers, das RLHF auf Sprachmodelle brachte: ja. Miterfinder des Verfahrens: nein.

Zur Firma. TypeSafe AI arbeitete rund zwei Jahre im Verborgenen und gab am 15. September eine Seed-Runde über 40 Millionen Dollar unter Führung von DCVC bekannt. Eine Bewertung wurde nicht genannt. Jev ist nicht offen gewichtet; der Zugang läuft über eine Warteliste. Die Preisgestaltung ist ungewöhnlich: 0,042 Dollar pro Million Eingabe-Token, Ausgabe kostenlos — nach Firmenangaben, weil sie zu billig sei, um sie abzurechnen. Zur Parameterzahl schweigt das Unternehmen; zur Architektur spricht es lediglich von einem neuen Ansatz mit parallelem Sampling. TechCrunch beschreibt das Modell als transformerbasiert, hält zugleich aber fest, dass Almeida sich zur Architektur bedeckt hält — wer auf dieser Ebene Gewissheit braucht, bekommt sie derzeit nicht.

Was das für Ihre Architektur bedeutet. Spezialisierte kleine Modelle für abgegrenzte Aufgaben sind 2026 ein belegter Trend, und Jev ist dessen sichtbarster Vertreter. Die Prüffrage lautet nicht, ob solche Modelle Sprachmodelle ersetzen — das tun sie ausdrücklich nicht —, sondern wie viele Aufrufe in Ihrem System eigentlich Klassifikationen sind, die als Textgenerierung abgerechnet werden. Diese Inventur ist unabhängig von Jev sinnvoll. Ob dann gerade dieses Modell die richtige Antwort ist, lässt sich mangels unabhängiger Benchmarks und mangels offener Gewichte derzeit nur im eigenen Test klären.

Google Labs hat seinen Agenten „CC“ zu einem Gruppen- und Familienassistenten ausgebaut. Die Ankündigung stammt vom 17. September von Tom Shane, Senior Product Manager bei Google Labs; die Berichterstattung setzte am Donnerstag ein.

CC ist kein neues Produkt. Der Agent startete bereits im Dezember 2025 als persönlicher Produktivitätshelfer, der Gmail, Kalender und Drive verbindet und morgens ein Tagesbriefing per E-Mail verschickt. Neu ist die Gruppenfunktion: Bis zu sechs Haushaltsmitglieder können CC gemeinsam nutzen. Wofür das Kürzel steht, sagt Google nicht; die in mehreren Medien kursierende Deutung als Anspielung auf das „CC“-Feld in E-Mails ist eine Interpretation der Presse, keine offizielle Angabe.

Zwei Designentscheidungen sind technisch interessant. Erstens bekommt CC ein eigenes Google-Konto — der Agent hat damit eine eigene Identität mit einem eigenen Rechtemodell, statt unter dem Konto eines Nutzers mitzulaufen. Für jeden, der Agenten in Organisationen einführt, ist das die naheliegende, aber selten umgesetzte Bauform: Ein Agent, der eine eigene Identität hat, lässt sich einzeln berechtigen, protokollieren und abschalten. Zweitens führt CC ein Gruppengedächtnis, das Haushaltsinformationen von persönlichen trennt — die Einkaufsliste ist gemeinsam, die Ernährungsvorlieben und Zeitzonen einzelner Mitglieder bleiben getrennt.

Technisch läuft der Agent nach Googles eigener Beschreibung „on its own isolated cloud computer, powered by Google's agentic harness, Antigravity, and the latest Gemini models“. Angebunden sind Gmail, Kalender, Tasks, Drive, Docs, Sheets, Chat sowie die Maps-API für Fahrzeitberechnungen. Funktional geht es um Haushaltslogistik: Wochenpläne, Kalendereinträge, das Ausfüllen von Schulformularen und Erlaubnisscheinen, Einkaufslisten, Essenspläne inklusive Fahrzeiten.

Eine Abgrenzung, die derzeit häufig durcheinandergeht: Google hat am 16. September zusätzlich einen Google Home MCP Server in Early Access gestellt, über den externe Agenten wie Claude oder ChatGPT Nest-Kameras, Thermostate und Matter-Geräte steuern dürfen. Das ist ein anderes Produkt. CC steuert keine Smart-Home-Geräte; weder Google Home noch Google Photos werden in der Ankündigung erwähnt. Dass beide Produkte „Antigravity“ als Infrastruktur nennen, belegt keinen funktionalen Zusammenhang.

Zum Datenschutz sagt Google zwei Sätze, die präzise sind, soweit sie reichen: „CC only sees what each member chooses to share“ und CC „only responds to group members, and will not take action or share information outside the group without your permission“. Der Agent kann zudem selbst keine Mitglieder hinzufügen oder entfernen und nicht in den individuellen Postfächern der Mitglieder suchen.

Zur Speicherdauer gibt es dagegen eine sehr klare Aussage, und sie geht in die andere Richtung. Alle Daten bleiben laut Google dauerhaft gespeichert, damit CC, wie es heißt, beim nächsten Mal noch hilfreicher sein kann. Das ist keine Lücke, sondern eine Ansage: Ein Haushaltsagent ist als Langzeitgedächtnis gebaut, nicht als Werkzeug mit Verfallsdatum. Offen bleibt, was das konkret bedeutet — eine Aufbewahrungsfrist nennt Google nicht, und ob Haushaltsdaten für Modelltraining oder Werbung genutzt werden, sagt die Ankündigung ebenfalls nicht. Und es gibt eine Konstruktion, die man sich ansehen sollte: Alle Mitglieder müssen volljährig sein, Kinder sind also keine Nutzer. Ihre Daten landen trotzdem im System — über weitergeleitete Schulmails, Arzttermine und Sportpläne der Eltern. Eine ausdrückliche Aussage Googles zum Umgang mit diesen Kinderdaten findet sich in der Ankündigung nicht.

Verfügbar ist der Ausbau nur in den USA, über eine Warteliste, für persönliche Google-Konten ab 18 Jahren, im Web und mobil. Einen Preis nennt Google für die Familienfunktion nicht. In der EU ist CC nicht verfügbar; einen Grund dafür nennt weder Google noch die Berichterstattung — die naheliegende Vermutung regulatorischer Vorsicht bleibt eine Vermutung.

Einordnung. Der Haushalt ist gerade das umkämpfteste Feld für Assistenten: Amazon hat Alexa+ generativ umgebaut, Apple baut Siri auf Basis gemeinsam mit Google entwickelter Modelle um, Meta hat Anfang September seinen persönlichen Agenten Muse gestartet. Bemerkenswert ist weniger, dass Google hier antritt, als wie es das tut. Der Familienkalender ist ein ungewöhnlich dichter Datensatz — er verrät Tagesabläufe, Gesundheitstermine, Schulen und Abwesenheiten einer ganzen Familie. Wer solche Agenten im eigenen Produkt vorsieht, sollte die Frage, die Google hier offenlässt, für sich beantworten: Wie lange bleiben diese Daten liegen, und wozu werden sie sonst noch verwendet?

Manus verhandelt Berichten zufolge über eine Finanzierungsrunde von 500 Millionen Dollar bei einer Bewertung von vier Milliarden. Das Wall Street Journal berichtete zuerst, Bloomberg hatte tags zuvor unabhängig Ähnliches gemeldet. TechCrunch griff das am Freitag auf.

Die Einschränkung gehört an den Anfang. Die Runde ist nicht abgeschlossen, sondern angestrebt — die Quellen sprechen durchgehend von Gesprächen. Sämtliche Zahlen und Investorennamen stammen aus anonymen Quellen; weder Manus noch die genannten Kapitalgeber noch chinesische Behörden haben irgendetwas bestätigt. TechCrunch vermerkt, Manus habe auf eine Anfrage nicht reagiert; Bloomberg weist ausdrücklich darauf hin, die Konditionen könnten sich noch ändern und die Identität neuer Investoren sei unklar.

Die Vorgeschichte macht die Meldung erst interessant. Meta hatte Manus im Dezember 2025 für über zwei Milliarden Dollar gekauft. Ende April 2026 ordnete Chinas Wirtschaftsplanungsbehörde NDRC die Rückabwicklung des Kaufs an — mit der Begründung, es handle sich um einen inakzeptablen Transfer chinesischer KI-Technologie und chinesischen Talents an ein US-Unternehmen. Es war das erste formale Veto dieser Art gegen eine bereits vollzogene Übernahme dieser Größenordnung. Am 1. September erklärte Manus in einem eigenen Blogpost, man habe „formally resumed independent operations“, das Gründerteam führe das Unternehmen weiter.

Die Bewertung ist die eigentliche Nachricht. Vier Milliarden Dollar sind rund das Doppelte dessen, wozu die Meta-Anteile zurückgekauft wurden. Ein Unternehmen, das durch einen staatlichen Eingriff aus einem Milliardenverkauf herausgerissen wurde, wäre danach also mehr wert als vorher. Das ist erklärungsbedürftig — und mit den vorliegenden Angaben nicht zu erklären, weil die einzige belegte Geschäftszahl veraltet ist: Der wiederholt zitierte Jahresumsatz von über 100 Millionen Dollar bezieht sich ausdrücklich auf den Zeitpunkt des Meta-Deals im Dezember 2025. Eine aktuelle Umsatz- oder Nutzerzahl für September 2026 nennt keine der Quellen.

Bei den Investoren fällt eine Abwesenheit auf. Genannt werden IDG Capital, Boyu Capital und der Batteriekonzern CATL als mögliche Neuinvestoren sowie die bestehenden Geldgeber Tencent, HSG und ZhenFund. Kein einziger US-Fonds ist darunter — was zu den chinesischen Kapitalrestriktionen für KI-Unternehmen passt. Benchmark, der ursprüngliche amerikanische Investor, hat seine Anteile bereits während der Rückabwicklung mit mehrfacher Rendite verkauft; Tencent übernahm sie. Ob Tencent die neue Runde anführt, ist nicht aus den Primärquellen belegt, sondern nur aus Begleitberichterstattung.

Mehrere Fragen bleiben ausdrücklich offen. Wie viel Geld an Meta zurückfloss, wurde nie offengelegt: Weder Manus' eigener Blogpost noch eine der von uns geprüften Berichterstattungen nennt einen Betrag oder erläutert, wie die Übernahme technisch rückabgewickelt wurde. Ob das im März 2026 verhängte Ausreiseverbot gegen die Gründer Xiao Hong und Ji Yichao aufgehoben wurde, ist unklar; die aktuellen Berichte erwähnen es nicht. Und der rechtliche Sitz ist uneindeutig: Das Unternehmen hatte sich 2025 als Singapur-Firma neu aufgestellt, erwägt nun laut den Berichten aber einen Umbau zur Vorbereitung eines Börsengangs in Hongkong — was eher auf eine engere Rückbindung an den chinesischen Rechtsraum hindeutet.

Was europäische Unternehmen daraus mitnehmen können. Der Fall Manus ist inzwischen das Lehrbuchbeispiel dafür, dass geopolitische Kontrolle über KI-Unternehmen nicht nur beim Export von Chips ansetzt, sondern auch bei Eigentum und Personal. Für den Einkauf heißt das wenig Dramatisches, aber etwas Konkretes: Bei Anbietern mit chinesischer Eigentümerstruktur ist die Frage nach der Fortführbarkeit eines Vertrags im Fall eines staatlichen Eingriffs keine theoretische mehr. Wer Manus produktiv einsetzt, sollte wissen, wo die Daten liegen und wie ein Ausstieg aussähe — nicht, weil das Produkt schlecht wäre, sondern weil dieses Unternehmen binnen eines Jahres zweimal die Eigentümerlage gewechselt hat, ohne dass Kunden darauf Einfluss hatten.