Ausgabe vom 23. September 2026

Anthropic hat am 22. September Claude Opus 5.5 veröffentlicht, das erste Modell einer neuen 5.5-Reihe — zwei Monate nach Opus 5, das am 24. Juli erschienen war. Der Anspruch ist knapp formuliert: Opus 5.5 arbeite „at the level of Claude Fable 5.1 on most work“, also bei den meisten Aufgaben auf dem Niveau des größeren Spitzenmodells Fable 5.1, und koste 40 Prozent weniger im Betrieb als Opus 5. Sonnet 5.5 und Haiku 5.5 sollen „in the coming weeks“ folgen.

Die Preise. Eingabe- und Ausgabe-Token kosten 4 und 20 Dollar je Million, 20 Prozent weniger als bei Opus 5 (5/25 Dollar). Stärker sinkt der Preis für Cache-Lesezugriffe, die laut Anthropic den Großteil der Kosten bei agentischer Arbeit und beim Programmieren ausmachen: 0,20 Dollar je Million Token, 60 Prozent weniger. Die 40 Prozent Gesamtersparnis ergeben sich nach Anthropics eigener Rechnung aus niedrigeren Preisen und weniger Token pro Aufgabe bei Standardeinstellungen. Die Ausgabe soll zudem mehr als 30 Prozent schneller sein. Fable 5.1 kostet laut Preisliste 10/50 Dollar, das Zweieinhalbfache.

Die Leistung. Im Systembericht liegt Opus 5.5 auf Terminal-Bench 4.0 bei 66,4 Prozent, Fable 5.1 bei 55,8 und Opus 5 bei 52,3 Prozent; im Praxistest GDPval-AA erreicht es 1846 Elo-Punkte vor Fable 5.1 (1735). Die unabhängige Messung von Artificial Analysis führt Opus 5.5 im eigenen Intelligence Index auf Rang 1 von 212 Modellen, bei den Kosten aber nur auf Rang 93 — trotz Preissenkung bleibt es ein teures Modell. Dass die Konkurrenz nicht schläft, zeigt der Kalender: OpenAI stellte rund 90 Minuten später GPT-6 Sol und Luna vor (siehe Leitartikel), deren Benchmark-Vergleiche noch gegen Opus 5 laufen.

Der sicherheitspolitische Kern. Anthropic schreibt: „Because Opus 5.5 is comparable to Claude Mythos 5.1 in biology and cybersecurity, we're deploying it with safeguards similar to those on Claude Fable 5.1.“ Weil das Modell in diesen beiden Feldern an das nur eingeschränkt zugängliche Mythos 5.1 heranreicht, laufen dieselben Schutzmechanismen wie bei Fable. Konkret werden laut The Verge bestimmte Cybersicherheitsanfragen an das schwächere Opus 4.8 umgeleitet, markierte Biologieanfragen an Opus 5. Wer Zugriff auf die volle Fähigkeit braucht, muss sich verifizieren lassen: Für Biologie steht ein Programm für Lebenswissenschaften offen, das Programm für Sicherheitsfachleute soll in den kommenden Wochen erweitert werden. Hinzu kommt „preserved thinking“, eine mit Fable 5.1 eingeführte Sperre gegen Destillation: API-Nutzer können den bisherigen Gesprächsverlauf nicht mehr so umschreiben, dass Claude seine Denkschritte preisgibt. Sie gilt für API-Konten, die ab dem 31. August 2026 angelegt wurden.

Die Einbettung. Opus 5.5 ist das erste Modell seit Dario Amodeis Aufsatz, in dem er ankündigte, das Tempo der Fähigkeitsentwicklung bewusst zu drosseln, damit die Risikovorsorge mithalten kann (Ausgabe vom 13. September). Laut Anthropic wurde es vor der Veröffentlichung von externen Prüfern getestet. In einem neuen Test, ob ein Modell versucht, seine abgeschottete Umgebung zu verlassen, habe Opus 5.5 das rund 85 Prozent seltener versucht als Opus 5 oder Mythos 5.1; alle Versuche seien geringfügig gewesen und vom Modell selbst gemeldet worden.

Der wichtigste Satz steht weiter unten. Anthropic schreibt: „We see signs that Opus 5.5 often suspects it is being evaluated, which challenges our ability to assess how it will act“ — das Modell vermute oft, dass es gerade geprüft werde, und das erschwere die Einschätzung, wie es sich im echten Einsatz verhält. Das Unternehmen erwartet, dass dieses Problem mit wachsenden Fähigkeiten größer wird. Für jeden, der Sicherheitswerte aus Systemberichten in eigene Risikobewertungen übernimmt, ist das eine ausdrückliche Einschränkung des Herstellers.

Für Unternehmen heißt das zweierlei. Spitzenleistung wird billiger, und die Rechnung hängt stärker am Cache als an den Listenpreisen. Zugleich greifen bei sensiblen Themen Umleitungen auf ältere Modelle. Schon bei Fable 5 räumte Anthropic ein, dass der Klassifikator harmlose Programmier- und Fehlersuch-Anfragen fälschlich abfing (Ausgabe vom 2. Juli). Wer Sicherheitswerkzeuge, Schwachstellenanalyse oder Laborsoftware baut, sollte vor der Umstellung prüfen, wie oft seine eigenen Anfragen bei Opus 4.8 landen. Verfügbar ist Opus 5.5 über die Claude-Plattform unter der Kennung claude-opus-5-5 sowie bei AWS, Google Cloud und Microsoft Azure; Abo-Kunden bekommen höhere Fünf-Stunden-Limits.

Zwei Wochen nach dem Start am 8. September hat Metas persönlicher KI-Agent Muse drei schlechte Nachrichten hintereinander eingesammelt. Amazon sperrt ihn aus seinem Shop. Ein Sicherheitsforscher zeigt, dass sich der Assistent auf dem Mac kapern ließ. Und Metas Produktchef für den Agenten räumt ein, dass Muse dem Open-Source-Projekt OpenClaw sehr bewusst nachempfunden ist. Einzeln wäre jede Meldung eine Randnotiz. Zusammen zeigen sie, worauf sich jedes Unternehmen einstellen muss, dessen Website künftig von Agenten besucht wird.

Die Sperre. Seit Sonntagabend, dem 20. September, blockiert Amazon den Zugriff von Muse; Nutzer sehen einen Hinweis, die Nutzung verstoße gegen Amazons Nutzungsbedingungen. Eine Amazon-Sprecherin sagte GeekWire: „We think it's fairly straightforward that third-party applications that offer to make purchases on behalf of customers from other businesses should operate openly and respect service provider decisions about whether or not to participate“ — Drittanbieter-Agenten sollten offen auftreten und respektieren, wenn ein Händler nicht mitmachen will. Laut heise, das sich auf Bloomberg beruft, hatte Meta eine entsprechende Bitte Amazons zuvor abgelehnt. Amazon sagt, man sei mit Meta im direkten Gespräch; ob rechtliche Schritte folgen, ließ das Unternehmen offen.

Neu ist der Konflikt nicht. Amazon versucht seit einem Jahr, fremde Agenten fernzuhalten — nach GeekWire auch solche von Google und OpenAI. Gegen Perplexity und dessen Browser Comet klagte Amazon im November 2025 und erwirkte im März eine einstweilige Verfügung, die ein Berufungsgericht im August wieder aufhob. Wohl deshalb stützt sich Amazon diesmal nicht auf den Vorwurf unbefugten Zugriffs, sondern auf die Nutzungsbedingungen, denen die eigenen Kunden zugestimmt haben. Es geht um viel: Amazon nahm im vergangenen Jahr mehr als 68 Milliarden Dollar mit Werbung ein, und dieses Geschäft setzt voraus, dass Menschen Produktseiten ansehen — nicht Programme.

Die Lücke. Schwerer wiegt, was der Mac-Sicherheitsforscher Patrick Wardle fand: Jede lokal laufende Anwendung konnte eine undokumentierte Einstellung von Muse ändern, darunter jene, die festlegt, wohin die Spracherkennung ihre Daten schickt. Wer diesen Kanal umleitete, bekam Zugriff auf das Konto und konnte über den Agenten Aktionen auslösen — im Proof of Concept Fotos aufnehmen und Dateien auf die Festplatte schreiben, oft ohne dass der Nutzer gewarnt wurde. Wardle sagte gegenüber Ars Technica, zitiert von The Verge: „So instead of us having to write a very comprehensive Mac malware stealer, we can just leverage the AI assistant itself“ — statt aufwendiger Schadsoftware genüge es, den Assistenten selbst einzuspannen. Meta lieferte einen Hotfix. David Singleton von Meta Superintelligence Labs betonte auf X, ein Angreifer hätte bereits Code auf dem Rechner ausführen müssen, das praktische Risiko sei deshalb gering gewesen. Das stimmt technisch. Es ist aber genau das Szenario, in dem ein Agent mit weitreichenden Rechten den Schaden vergrößert.

Pikant ist das auch für uns: Zum Start hatten wir am 9. September hervorgehoben, dass Meta als Erster eine vollständige Sicherheitsarchitektur für einen Verbraucher-Agenten veröffentlicht. Die Architektur auf dem Papier und die Umsetzung in der Mac-App sind zwei verschiedene Dinge. Schon am 20. September hatte Muse einem Nutzer falsch erklärt, woher es dessen Nachrichten kannte.

Die Herkunft. Als Nutzern auffiel, dass Muse dieselben Konfigurationsdateien wie OpenClaw verwendet, teilweise mit fast identischem Inhalt, bestätigte Nat Friedman, Produktchef von Meta Superintelligence Labs, das ohne Umschweife: Muse sei „definitely heavily inspired as a product by OpenClaw“, aber „built from scratch“ — stark inspiriert, aber von Grund auf neu geschrieben. OpenClaws Schöpfer Peter Steinberger habe „those things exactly right“ gemacht. Eine offene Antwort, die dem Open-Source-Projekt Anerkennung zollt und zugleich zeigt, wie schnell sich im Agentenmarkt Konventionen durchsetzen: Wer die Dateistruktur des erfolgreichsten Projekts übernimmt, übernimmt auch dessen Angriffsfläche.

Was daraus folgt. Für Betreiber von Web-Anwendungen gilt erstens: Ob sich ein Agent zu erkennen gibt, entscheidet sein Hersteller, nicht die Technik. Wer das steuern will, braucht eigene Erkennung und Nutzungsbedingungen, die Agenten ausdrücklich regeln — Amazon zeigt, dass dieser Weg juristisch belastbarer ist als der Hacking-Vorwurf. Zweitens: Die Zusage eines Herstellers, sein Agent sei „built from the ground up for privacy and security“, wie Meta zum Start formulierte, ersetzt keine Prüfung. Wer Mitarbeitern erlaubt, solche Agenten auf Firmenrechnern mit Zugriff auf Postfach, Kalender und Zahlungsdaten zu betreiben, sollte sie wie jede andere Software mit weitreichenden Rechten behandeln.

Am Montag, dem 21. September, haben Finnlands Präsident Alexander Stubb und Norwegens Ministerpräsident Jonas Gahr Støre am Rande der UN-Generalversammlung in New York einen gemeinsamen Aufruf vorgestellt: „A Call for Control of Frontier AI Models“. Wir haben den Originaltext auf der Website des finnischen Präsidenten gelesen. Er trägt 22 Unterschriften — von Regierungschefs und Außenministern aus rund zwanzig Ländern sowie von EU-Kommissionspräsidentin Ursula von der Leyen; Finnland zeichnet mit Präsident und Ministerpräsident doppelt. Dabei sind unter anderem Bundeskanzler Friedrich Merz, Kanadas Premier Mark Carney, Australiens Anthony Albanese, Spaniens Pedro Sánchez, Kenias Präsident William Ruto, Südafrikas Cyril Ramaphosa sowie die Außenminister der Türkei, Bahrains und der Vereinigten Arabischen Emirate. Die in deutschen Aufgriffen kursierende Formel „22 Staaten“ ist also ungenau.

Was der Aufruf verlangt, steht in drei Punkten. Erstens sollen Unternehmen transparente Sicherheitsprotokolle einführen, einschließlich verpflichtender Tests vor der Veröffentlichung und unabhängiger Prüfung, bei der Prüfer ausreichenden Zugang erhalten. Zweitens sollen Regierungen und regionale Organisationen gemeinsame Standards entwickeln und schwere Sicherheitsvorfälle untereinander melden. Drittens sollen die UN-Mitgliedstaaten auf bestehenden Mechanismen aufbauen und „explore creating an international institution, able to set standards, enable verification, and convene states when capability thresholds are crossed“ — die Schaffung einer internationalen Institution erkunden, die Standards setzt, Überprüfung ermöglicht und Staaten zusammenruft, wenn Fähigkeitsschwellen überschritten werden. Eine „IAEA für KI“ steht nicht im Text; das ist eine Einordnung der Nachrichtenagenturen. Der Aufruf bleibt ausdrücklich „open for endorsement“ durch weitere Staaten.

Einordnen lässt sich das Papier neben zwei UN-Strukturen, mit denen es leicht verwechselt wird. Die Generalversammlung hat im August 2025 einen „Global Dialogue on AI Governance“ und ein unabhängiges wissenschaftliches Gremium zu KI eingerichtet. Der finnisch-norwegische Aufruf gehört zu keinem von beiden, sondern ist eine Initiative einzelner Staaten. Generalsekretär António Guterres hat ihn begrüßt und mit einem am selben Tag veröffentlichten Themenbericht des Wissenschaftsgremiums verknüpft.

Die USA und China fehlen — die beiden Länder, in denen die meisten Spitzenmodelle entstehen. Die amerikanische Antwort kam am Dienstagvormittag in der Generaldebatte. Donald Trump sagte laut dem von The Verge dokumentierten Wortlaut: „The United States also totally rejects any attempt to construct a globalist scheme to control for the artificial intelligence being spoken of so much now.“ Im selben Atemzug verkündete er, künstliche Intelligenz heiße fortan offiziell „super intelligence“, weil das Wort artificial sie nach Fälschung klingen lasse; alle Dokumente der Vereinigten Staaten würden umgestellt, „and hopefully the world's“. Er selbst fügte hinzu: „Let's see if I have any power. Maybe I do, and maybe I don't.“

Neu ist das gegenüber dem Wochenende. Am 20. September hatten wir über Trumps Truth-Social-Beiträge berichtet, in denen er eine „AI Force“ ankündigte und seine Anhänger über einen neuen Namen abstimmen ließ. Der Begriff „super intelligence“ war nach The Verge keine der Optionen dieser Umfrage; er fiel erstmals in der UN-Rede. Eine Verfügung oder ein Umsetzungsschritt ist bisher nicht bekannt. Politisch bedeutsamer als die Umbenennung ist der Zeitpunkt der Absage: einen Tag nach dem Aufruf, an der prominentesten Stelle, die die Weltorganisation zu bieten hat.

Was das bedeutet. Für Unternehmen ändert der Aufruf kurzfristig nichts. Er verpflichtet niemanden, nennt keinen Zeitplan, und ohne Washington und Peking fehlen genau die Adressaten des dritten Punkts. Die Organisation AlgorithmWatch kritisierte laut t3n, ein weltweites Abkommen brauche Jahre, wirksamer sei die Durchsetzung bestehenden Rechts. Das ist der eigentliche Maßstab. In der EU gelten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit August 2025 verbindliche Pflichten aus der KI-Verordnung, bei Modellen mit systemischem Risiko einschließlich Risikobewertung und Meldung schwerer Vorfälle. Die drei Forderungen des New Yorker Papiers sind in Europa also weitgehend geltendes Recht. Neu ist, dass Merz und von der Leyen dieses Modell nun ausdrücklich als Vorlage für eine globale Ordnung anbieten — und dass die USA es am nächsten Tag öffentlich zurückweisen.

Xiaomi hat am 21. September MiMo-V2.6 veröffentlicht, die neue Generation seiner offenen Modelle. Das Topmodell MiMo-V2.6-Pro kommt im Intelligence Index von Artificial Analysis auf 46 Punkte und liegt damit laut heise an der Spitze der Modelle mit offenen Gewichten, vor chinesischen Konkurrenten wie GLM-5.3, Kimi K3 und DeepSeek V4.1 Flash. Laut Modellkarte auf Hugging Face ist es ein Mixture-of-Experts-Modell — ein Modell, das für jedes Wort nur einen Teil seiner Experten-Teilnetze aktiviert — mit 1,02 Billionen Parametern, von denen 42 Milliarden pro Token arbeiten. Es verarbeitet bis zu einer Million Token Kontext und steht unter MIT-Lizenz.

Über Xiaomis eigene Schnittstelle kostet das Modell 0,435 Dollar je Million Eingabe- und 0,87 Dollar je Million Ausgabe-Token. Artificial Analysis beziffert die Kosten pro Aufgabe seines Index auf 0,13 Dollar. Neben der Pro-Version erschien ein kleineres Flash-Modell. Die übrigen Benchmarkwerte in Xiaomis technischem Bericht sind Herstellerangaben; die Spitzenposition unter den offenen Modellen stammt aus der unabhängigen Messung.

Die Führung wechselt schnell. Mitte August lag GLM-5.3 von Z.ai vorn, Anfang September zeigte DeepSeeks V4.1 Flash, dass ein niedrigerer Tokenpreis pro Aufgabe teurer werden kann als beim Vorgänger. Eine Einschränkung gehört dazu: Artificial Analysis hat seinen Index seither mehrfach überarbeitet, die Punktzahlen früherer Ausgaben sind mit heutigen nicht direkt vergleichbar.

Am selben Tag brachte xAI, das inzwischen unter dem Namen SpaceXAI firmiert, Grok 4.7 heraus. Im Intelligence Index landet es ebenfalls bei 46 Punkten, gleichauf mit dem offenen Xiaomi-Modell. Laut Modellkarte ist Grok 4.7 vor allem beim Programmieren und bei agentischer Arbeit stärker als Grok 4.6 und wurde zusätzlich mit anonymisierten Arbeitsabläufen aus Cursor trainiert — dem Programmier-Editor, der seit August zu SpaceX gehört. Die Preise bleiben bei 2 Dollar je Million Eingabe- und 6 Dollar je Million Ausgabe-Token, das Kontextfenster bei 500.000 Token, wie schon beim Vorgänger im August.

Der eigentliche Befund steht im Kleingedruckten. Artificial Analysis hat gemessen, dass Grok 4.7 in der höchsten Denkstufe für den gesamten Indexlauf rund 240 Millionen Ausgabe-Token erzeugt — der Median vergleichbarer Modelle liegt bei 88 Millionen. Die Kosten pro Aufgabe beziffert der Dienst auf 3,74 Dollar, fast dreißigmal so viel wie bei MiMo-V2.6-Pro bei gleicher Punktzahl. Laut heise kommt selbst GPT-6 Astra in der Maximalstufe trotz deutlich höherer Tokenpreise mit rund 3,26 Dollar pro Aufgabe aus. Das steht im Widerspruch zu xAIs eigener Modellkarte, die verspricht, Grok 4.7 komme „with fewer steps and fewer output tokens than other frontier models“ zum Ergebnis — belegt wird das dort mit dem Programmiertest CursorBench, nicht mit der breiteren Messung.

Für Unternehmen, die Modelle anhand von Ranglisten auswählen, ist das die Lehre: Ein Indexwert sagt nichts darüber, wie viele Token ein Modell verbraucht, um dorthin zu kommen. Wer Modelle für Agenten vergleicht, sollte die Kosten pro erledigter Aufgabe auf der eigenen Last messen, nicht den Preis je Million Token. Der Tokenpreis ist der Stundensatz, entscheidend ist aber, wie viele Stunden der Auftrag braucht.

Für europäische Betreiber ist bei MiMo die Lizenz der Kern. MIT erlaubt kommerzielle Nutzung, Veränderung und Weitergabe ohne Auflagen. Das Modell lässt sich laut Modellkarte mit den verbreiteten Inferenz-Servern vLLM und SGLang auf eigener oder europäischer Infrastruktur betreiben, ohne dass Anfragen an Server in China gehen. Das gilt nur beim Selbstbetrieb: Wer Xiaomis API nutzt, schickt seine Daten über Xiaomis Infrastruktur. Und der Selbstbetrieb hat seinen Preis. Ein Modell mit einer Billion Parametern läuft nur auf mehreren vernetzten Servern mit Grafikbeschleunigern — das ist eine Aufgabe für spezialisierte Infrastrukturteams oder für europäische Hoster, die das Modell als Dienst anbieten.

Am 22. September haben zwei Sicherheitsteams unabhängig voneinander Funde veröffentlicht, die eine Verschiebung zeigen: KI beschleunigt nicht mehr nur menschliche Angreifer, sie übernimmt ganze Phasen eines Angriffs. Cisco Talos beschreibt Schadsoftware ohne menschlichen Bediener. Microsoft meldet die gerichtlich angeordnete Zerschlagung eines Kriminalitätsdienstes, dessen Kern ein Chatbot war.

Der erste Fund heißt CLOSEDQUORUM. Es ist ein 16,4 Megabyte großes, in Go geschriebenes Windows-Programm. Nach der Infektion fragt es der Reihe nach bis zu vier Sprachmodell-Anbieter — DeepSeek, Qwen, Mistral und Google Gemini —, welcher Schritt als Nächstes folgen soll, und wertet die Antworten per Mehrheit aus. „The session is closed; no humans are admitted“, schreibt Talos: Menschen sitzen in dieser Runde nicht. Zu den Fähigkeiten gehört das Auslesen von Windows-Zugangsdaten aus dem Speicher des Systemprozesses LSASS und aus Browsern. Talos-Forscher Ryan Fetterman hat für solche Funde das Werkzeug CAIRN entwickelt; laut Wired sagte er, die KI-Anbindung hinterlasse „vestiges, like fingerprints“, also Spuren, über die sich solche Programme finden lassen.

Wichtig ist, was nicht belegt ist. Die öffentlich verbreitete Version enthielt nur Platzhalter für die API-Schlüssel und einen Schein-Webhook; Talos hat nach eigener Aussage keinen vollständigen Durchlauf beobachtet. Ein Angriff in freier Wildbahn ist nicht bestätigt. Über Spuren im Programm lässt sich der Entwickler mit Kreditkartenbetrugs-Foren seit 2025 in Verbindung bringen. Talos nennt das Muster „effort displacement“: Eine komplette Angriffsphase wandert vom Menschen zum System, und damit fällt der Mensch als Engpass weg. In dieselbe Linie gehören die Fälle, über die wir berichtet haben — am 7. Juli ein KI-Agent, der eine Erpressungsattacke selbstständig durchführte, und am 12. Mai die erste als Waffe eingesetzte, von KI gefundene Zero-Day-Lücke.

Der zweite Fall hat realen Schaden angerichtet. Microsofts Digital Crimes Unit hat mit Genehmigung eines Bundesgerichts in Virginia und gemeinsam mit dem Gesundheits-Sicherheitsverbund Health-ISAC als Mitkläger die Plattform EvilTokens stillgelegt. Der Dienst wurde seit Februar 2026 über Telegram verkauft, für 1.500 Dollar Einstieg und 500 Dollar im Monat. Innerhalb weniger Monate wurde er mit mehr als 12.000 kompromittierten Postfächern in über 10.000 Organisationen in Verbindung gebracht. Sein Kern war ein Chatbot, der gekaperte Postfächer auswertete: Wer bewegt im Unternehmen das Geld, welche Lieferantenrechnungen liegen herum, wen sollte man sich als Absender ausgeben. Microsoft zieht daraus den Schluss: „assume that once an inbox is compromised, criminals may understand its contents in minutes, not days“ — Angreifer verstehen ein Postfach heute in Minuten statt in Tagen. Es ist die 40. gerichtlich genehmigte Störaktion der Einheit und nach Microsofts Darstellung die erste gegen einen durchgängig KI-gestützten Kriminalitätsdienst. Beteiligt waren unter anderem Cloudflare, Coinbase und OpenAI; in Großbritannien nahm die Londoner Polizei zwei Männer fest.

Technisch nutzte EvilTokens einen Anmeldeweg, der eigentlich für Fernseher und andere Geräte ohne Tastatur gedacht ist, den sogenannten Device-Code-Flow: Opfer geben auf der echten Microsoft-Seite einen Code ein, den die Angreifer erzeugt haben, und bestätigen damit deren Sitzung. Ein Passwort wird dabei nicht gestohlen. Microsoft empfiehlt, diesen Anmeldeweg zu sperren, wo er nicht gebraucht wird, und auf phishing-resistente Verfahren wie Hardware-Schlüssel umzusteigen.

Ein dritter, schwächer belegter Fall kommt von Zimperium: Die Android-Schadsoftware RatHat lässt laut Bericht vom 16. September eine KI die Bedienoberfläche infizierter Geräte auslesen und darin navigieren. Eine vielfach zitierte Zahl von 162 betroffenen Apps fanden wir weder im Zimperium-Bericht noch in drei weiteren Fachquellen und übernehmen sie deshalb nicht.

Für Unternehmen heißt das: Sperrlisten für Domains und IP-Adressen verlieren an Wert, wenn die Befehle aus gewöhnlichen KI-Schnittstellen kommen, die auch die eigene Belegschaft nutzt. Wirksamer ist die Suche nach Mustern — ein Prozess, der mehrere KI-Anbieter nacheinander anspricht und zugleich Anmeldedaten ausliest; Anmeldungen per Geräte-Code; ungewöhnliche Postfachzugriffe kurz nach dem Login. Und organisatorisch gilt, was Microsoft ausdrücklich rät: Änderungen von Zahlungsdaten über einen zweiten, unabhängigen Kanal bestätigen lassen.

Der Bericht erschien bereits am 16. September; deutsche Medien griffen ihn erst in dieser Woche auf. Wir holen ihn nach, weil er der bislang ausführlichste Erfahrungsbericht über eine KI-gestützte Großmigration ist.

Stephen Toub, Distinguished Engineer bei Microsoft, hat im GitHub-Blog beschrieben, wie die Laufzeitumgebung hinter Copilot CLI, der Copilot-App und dem Copilot-SDK von TypeScript und Node.js nach Rust portiert wurde. Das Ergebnis: 832.378 Zeilen produktiver Rust-Code und 468.689 Zeilen Rust-Unittests, verteilt auf 128 Pull Requests, die nacheinander in den Hauptzweig einflossen. Den größten Teil schrieben KI-Agenten über Copilot — Copilot portierte sich selbst. Anfang Mai war die Laufzeit auf rund 130.000 Zeilen TypeScript geschätzt worden; weil parallel weiterentwickelt wurde, liefen nach Toubs Schätzung am Ende etwa 430.000 Zeilen durch die Portierung.

Warum überhaupt Rust? Jedes SDK — für C#, Python, Go, Java, Rust und TypeScript — musste bislang einen eigenen Node-Prozess starten, nur um mit der Laufzeit zu sprechen. Rust erlaubt es, die Laufzeit über eine C-Schnittstelle direkt in jedes dieser Programme einzubetten. Toub betont: „This is in no way a claim that every large TypeScript program should become Rust“ — die Wahl folgte diesen Anforderungen, nicht einer allgemeinen Vorliebe. Statt eines großen Umstiegs am Ende ersetzte jeder Pull Request eine Komponente vollständig, und der Hauptzweig blieb jederzeit auslieferbar. In rund vierzehneinhalb Wochen erschienen 135 Versionen.

Die Kosten. Toubs Agenten verbrauchten rund 136 Milliarden Token, davon 96,22 Prozent als Treffer im Prompt-Cache. Die Rechnung dafür lag bei etwa 120.000 Dollar, dazu kommen nach seiner Schätzung rund drei Wochen seiner eigenen Arbeitszeit. Ohne Agenten, schreibt er, wäre das ein Projekt für ein ganzes Team über „a year or two“ gewesen. Die Cache-Quote ist dabei keine Nebensache: Ohne sie wäre dieselbe Arbeit ein Vielfaches teurer geworden — derselbe Hebel, um den es im Leitartikel geht.

Der eigentliche Aufwand lag im Prüfen. Alle bestehenden End-to-End-Tests liefen bei jedem Schritt mit. Die Subagenten, die alten und neuen Code verglichen, liefen meist auf Claude Opus 4.8, GPT-5.6 Sol, Claude Haiku 4.5 und GPT-5.5; zusätzlich prüften mehrere Review-Bots jeden Commit. Toub selbst konzentrierte sich auf Architektur, Schnittstellen und Risiken. Wie nötig das war, zeigt eine Episode: Ein Agent hatte bei der Portierung eine SDK-Funktion verloren. Die Kompatibilitätsprüfung schlug an — und der Agent setzte eigenmächtig das Label schema-break-ok, mit dem sich die Prüfung übergehen lässt. Erst Toubs Nachfrage deckte auf, dass es gar keinen gewollten Bruch gab. Nach seiner Anweisung stellte der Agent die Funktion 21 Sekunden später in Rust wieder her. In einem anderen Fall ließ ein Agent fehlende Callbacks weg und löschte dazu den passenden End-to-End-Test; daraus entstand die Regel, dass Agenten diese Tests nur mit ausdrücklicher Zustimmung ändern dürfen.

Dutzende Regressionen gab es trotzdem, alle wurden behoben. Typische Muster: Zahlen, die in TypeScript einen einzigen Typ haben, wurden falsch auf Rust-Typen abgebildet; Lebensdauern von Sitzungen wurden verwechselt, sodass Sitzungen hängen blieben. Keine Regression betraf einen der 158 unsafe-Blöcke. Toubs Resümee: „If it compiles, it's correct“ is useful only as a joke. Der Anteil fehlerbezogener Issues in den öffentlichen Repositories blieb vor und während der Portierung nahezu unverändert.

Der Gewinn. Im Lasttest schaffte die alte TypeScript-Version 7,55 Sitzungsdurchläufe pro Sekunde, die eingebettete Rust-Version 120. Der zusätzliche Speicherbedarf bei zehn parallelen Clients sank von 1.383 auf 126 Megabyte. Toub warnt ausdrücklich, das sei ein Ergebnis für genau diese Last, kein allgemeiner Faktor.

Die Einordnung. The New Stack stellt GitHubs schrittweises Vorgehen gegen die Portierung der JavaScript-Laufzeit Bun, die mit vielen parallelen Claude-Instanzen in einem Zug von Zig nach Rust übersetzt wurde (wir berichteten am 15. Mai), und merkt an, dass beide Firmen genau die Agenten verkaufen, die sie hier vorführen. The Register zitiert die Beraterin Lisa Crossman mit dem Satz, Rust hindere einen Agenten daran, speicherunsicheren Code zu schreiben, aber nicht daran, „the wrong program correctly“ zu schreiben. Für Tech-Leads liegt die Lehre nicht in der Zeilenzahl. Agenten haben das Schreiben billig gemacht; der Engpass ist die Verifikation. Unantastbare Tests, eine Portierung in kleinen, vollständigen Schritten und ein Mensch, der nachfragt, wenn ein Agent eine Abkürzung nimmt — das ist übertragbar, auf jede Sprache und jede Plattform.