Ausgabe vom 27. September 2026

Was neu ist. Am Freitag, 25. September, veröffentlichte das Weiße Haus ein „Fact Sheet“ zum dreitägigen Staatsbesuch von Xi Jinping. Darin heißt es: „The two countries established the U.S.-China Super Intelligence (SI) Dialogue to exchange views on risks and benefits related to SI. The next exchange will occur by November 2026. The United States and China also agreed to establish a bilateral communication channel for SI incidents.“ Damit ist aus der Absicht, die wir am 24. September beschrieben haben — Bessent und He Lifeng hatten am 20. September einen Vorschlag für ein KI-Meldesystem vorgestellt, China reagierte laut Wired „noncommittal“ —, zumindest auf amerikanischer Seite eine offizielle Ankündigung geworden.

Zwei Erklärungen, zwei Begriffe. Eine gemeinsame Erklärung gibt es nicht. Chinas Außenministerium veröffentlichte am selben Tag einen eigenen Gesprächsbericht zum Treffen vom Donnerstag — darin taucht der Begriff „Super Intelligence“ nicht auf, und ein „Kommunikationskanal“ für Zwischenfälle wird nicht erwähnt. Peking spricht durchgängig von „AI“. Xi wird zitiert: „AI must be kept under human control. A people-centered approach should be upheld, and AI should be developed for the positive and for good.“ Erst ein zweites, knapperes Statement des Außenministeriums vom Samstag nennt laut CBS News einen Mechanismus für KI-Zwischenfälle — dort im selben Atemzug mit einer separaten Absichtserklärung zu militärischer Krisenkommunikation. Den Kanal bestätigt Peking damit — die Formulierung „Super Intelligence“ aber bleibt eine amerikanische Setzung, der China nicht gefolgt ist.

Ausgestaltung: mehr Ankündigung als Architektur. Konkret benannt sind bislang nur zwei Eckpunkte: ein „SI-Dialog“ mit einer für November angesetzten nächsten Runde und ein „bilateraler Kommunikationskanal“ für SI-Zwischenfälle. Wer auf beiden Seiten daran teilnimmt, welche Vorfälle meldepflichtig wären und über welchen Zeitplan der Kanal aufgebaut wird, sagt das Fact Sheet nicht. Aalok Mehta vom Wadhwani AI Center des CSIS ordnete es gegenüber CNBC so ein: „It appears we ended up with an intent to continue dialogue, along with a hotline of some sort for emergencies.“ Skeptisch fügte er an: „The hotline itself could become a robust tool when paired with a proper incident reporting system. But that will take real commitment to making it work and high-level engagement from both sides.“

Was nicht vereinbart wurde: Chips. Zu Exportkontrollen für Nvidias fortgeschrittene KI-Chips äußert sich das Fact Sheet nicht. Laut CNBC blieben sie ein „sticking point“ der Gespräche. Trump machte vor Reportern am Weißen Haus zudem klar, dass die USA ihr Tempo nicht drosseln und nichts von ihrer KI-Führung teilen wollen: „The United States of America is not going to be putting on brakes“, sagte er laut CBS News, und weiter: „I would rather not integrate because we're leading by a lot.“ Den neuen Namen begründete er dort so: „I call it SI because it's a much better name. […] Artificial means it's fake, and it's not fake.“

Was nicht vereinbart wurde: Militär und Atomwaffen. Im November 2024 hatten Joe Biden und Xi erstmals festgehalten, dass allein Menschen über den Einsatz von Atomwaffen entscheiden sollten, nicht KI. Im Fact-Sheet-Text von Trump und Xi fehlt jeder Bezug zu KI in nuklearen oder militärischen Kommandostrukturen; das Wort „nuclear“ taucht dort nur im Zusammenhang mit Iran auf. Xis Formel vom KI-Einsatz „under human control“ bleibt allgemein und wiederholt die nuklearspezifische Zusage von 2024 nicht.

Einordnung der Fachleute. Trotz der Leerstellen sehen Beobachter einen gewissen Fortschritt. Wang Zichen, stellvertretender Generalsekretär des Pekinger Center for China and Globalization, sagte laut CBS News: „Personal diplomacy between the two leaders is important, but the emphasis on working-level engagement, military-to-military dialogue and crisis-management mechanisms suggests an effort to make that stability more durable and institutionalized.“ CBS selbst bilanzierte: Der Gipfel habe die grundlegenden Differenzen nicht aufgelöst, doch Analysten hielten den kleinschrittigen Fortschritt für bemerkenswert.

Für Unternehmen heißt das: Belastbarer ist die Lage kaum als am 24. September. Es gibt jetzt einen Namen — „SI-Dialog“ — und ein Datum, November, zu dem sich zeigen wird, ob der Kanal Substanz bekommt. Weder Melde-Schwellen noch Ansprechpartner noch eine Einigung zu Chip-Exporten oder militärischer KI liegen vor, und beim Vokabular gehen beide Regierungen getrennte Wege. Compliance-relevante Substanz entsteht daraus vorerst nicht — die nächste Gelegenheit für echten Fortschritt ist der APEC-Gipfel im November in Shenzhen, zu dem sich beide Seiten laut CBS verabredet haben.

Was passiert ist. Bill Gates hat in einem Interview mit NBCs Sendung „Meet the Press“ gewarnt, Künstliche Intelligenz sei mächtig genug, um Ereignisse mit einer Milliarde Todesopfern auszulösen. Ein rund 80-sekündiger Video-Ausschnitt erschien bereits am Donnerstag (24.9.) auf nbcnews.com, die begleitende Meldung veröffentlichte NBC News am Freitagmorgen (25.9., 7 Uhr Eastern Time). Die vollständige Folge mit Moderatorin Kristen Welker strahlt der Sender nach eigenen Angaben erst heute, Sonntag, aus — aufgezeichnet wurde das Gespräch laut NBC bereits am Mittwoch (23.9.).

Die Zitate im Wortlaut. Auf die Frage nach Warnungen, KI könne die Menschheit auslöschen, sagte Gates laut NBC-Transkript: „AI is certainly powerful enough to drive events that, you know, cause a billion deaths.“ Zur Einordnung fügte er hinzu: „There's never been a weapon as powerful as the combination of people with ill intent using the latest AI tools.“ — auf Deutsch etwa: Es habe noch nie eine derart mächtige Waffe gegeben wie die Kombination aus böswillig handelnden Menschen und den neuesten KI-Werkzeugen. Dazwischen schob er ein, es sei „pretty hard to get to 100%“ — gemeint ist offenbar: Eine vollständige Auslöschung der Menschheit sei schwer zu erreichen, eine Katastrophe dieses Ausmaßes aber nicht.

Was er konkret fordert. Gates verlangt ein Bundesgesetz: Auf die Frage, ob der Kongress ein solches verabschieden müsse, antwortete er knapp mit „Absolutely.“ Nötig seien verpflichtende Sicherheitsauflagen und Aufsicht: „You need law enforcement and the politicians to get into the discussion about what safeguards and monitoring look like.“ Das bedeute „a little bit of overhead“ für die Industrie, aber keine dramatische Verlangsamung ihrer Arbeit, so Gates. Selbstregulierung reiche nicht: „No one thinks self-regulation is enough.“ Einen Vergleich mit Atomwaffen zieht er in den bislang veröffentlichten Ausschnitten nicht; ebenso findet sich in keiner ausgewerteten Quelle ein wörtliches Gates-Zitat, das gezielt von Biowaffen spricht — die Verbindung zu biologischen Risiken zieht erst ein nachgelagertes Erklärstück des indischen Portals Business Today, nicht Gates selbst.

Konsistent mit seiner Position seit August. Neu ist die Warnung nicht: Ende August hatte Gates in einem Essay auf Gates Notes geschrieben, die Welt habe die Gefahrenschwellen der KI bereits überschritten, und zugleich eine Robotersteuer sowie für Menschen reservierte Berufe vorgeschlagen. Der NBC-Auftritt setzt diese Linie fort, verschiebt den Fokus aber von Arbeitsmarktfolgen auf die Gefahr durch böswillige Nutzer im Hier und Jetzt — nicht auf ein autonomes System, das die Menschheit von sich aus auslöschen wollte, wie im NBC-Text eigens betont wird.

Gegen den Wind der eigenen Regierung. Gates' Forderung nach einem Bundesgesetz steht quer zur Haltung von Präsident Trump, der in seiner UN-Rede vom 22. September jede „globalistische“ Kontrolle der Technologie ablehnte, und zum Kongress, wo der „Ban Artificial Superintelligence Act“ von Senator Bernie Sanders und dem Abgeordneten Greg Casar kaum Aussicht auf Mehrheiten hat. Laut NBC hatte zuvor bereits Sprecher Mike Johnson abgelehnt, das Repräsentantenhaus für ein KI-Gesetz zurückzurufen. Der Auftritt folgt zudem darauf, dass laut NBC Anfang des Monats auch die Chefs von Anthropic und OpenAI selbst für ein langsameres Entwicklungstempo plädiert hatten (unsere Ausgabe vom 12. September).

Gates' eigene Interessenlage. Ein klassischer Aktionärskonflikt liegt nicht mehr vor: Der Gates Foundation Trust hat laut einem SEC-Filing seine letzten Microsoft-Aktien verkauft; über den Trust hält Gates damit keine Anteile mehr an dem Konzern. Engagiert ist er trotzdem: Seine Stiftung kündigte am 14. September an, in den kommenden zwei Jahren mindestens eine Milliarde US-Dollar in einen gleichberechtigten Zugang zu KI für ärmere Länder zu investieren. Wer vor der Waffe KI warnt, treibt an anderer Stelle also selbst deren Verbreitung voran.

Was passiert ist. Der US-Versichererverband Blue Cross Blue Shield Association (BCBSA) hat am Donnerstag, 24. September 2026, eine Analyse veröffentlicht, nach der KI-gestützte Kodierung in Krankenhäusern die Ausgaben der Blue-Cross-Versicherer zwischen 2023 und 2025 um geschätzte 942 Millionen Dollar erhöht hat. Die New York Times machte daraus am selben Tag eine größere Geschichte über ein KI-Wettrüsten zwischen Kliniken und Versicherern; TechCrunch griff sie am Samstag auf. Der Kernvorwurf des Verbands steht in einem Satz: Es gebe eine „clear disconnect between coding and treatment“ — die Diagnosen würden komplexer, die tatsächliche Behandlung bleibe weitgehend gleich.

Wie der Mechanismus funktionieren soll. Laut BCBSA nutzen inzwischen mehr als 60 Prozent der Krankenhaussysteme KI-Kodierwerkzeuge, die Arztbriefe, Laborwerte und Behandlungsnotizen nach abrechenbaren Diagnosen durchsuchen. Untersucht hat der Verband Darmoperationen: Dort stieg die Zahl dokumentierter Anämien deutlich, ohne dass mehr Bluttransfusionen gegeben wurden. Eine solche Nebendiagnose kann einen Fall in eine höher vergütete Abrechnungsgruppe verschieben — und sie lässt sich oft aus einem einzelnen Laborwert ableiten, was sie für KI-Werkzeuge besonders leicht auffindbar macht. Auf diese verschobenen Nebendiagnosen entfallen laut BCBSA rund 70 Prozent der Mehrkosten, gut 650 Millionen Dollar. BCBSA-Vizepräsident Luke Chalker: „If patients are truly sicker, we'd expect to see more treatment.“ Es ist die zweite Analyse dieser Art in diesem Jahr: Im März hatte der Verband bei Entbindungen dasselbe Muster beschrieben und die landesweiten Zusatzkosten auf rund 2,3 Milliarden Dollar geschätzt.

Der Ton ist eskaliert. Gegenüber der New York Times, zitiert nach TechCrunch, beschrieb Chalker das Verhältnis so: „It's not a war. It's a completely one-sided blood bath“ — mit den Versicherern als Unterlegenen. Auf der Gegenseite räumte Shiv Rao, Gründer des Dokumentations-Start-ups Abridge, die Gefahr ein, dass es auf eine Zukunft hinauslaufe, „where it's bots fighting bots, agents fighting agents“ — eine Zukunft, in der niemand leben wolle. Dave Mazurkiewicz, Finanzchef des Klinikverbunds McLaren Health Care in Michigan, beschrieb laut Independent, der die Times zitiert, die Logik des Wettrüstens: „All the insurers are using A.I. to scan our charts to look for claims to deny. For the same reason, we're looking at the same charts today.“

Die Kliniken widersprechen. Die American Hospital Association (AHA) nennt den Upcoding-Vorwurf in einem Fact Sheet vom Juli „unsubstantiated“. Sie verweist auf eine gemeinsame Auswertung mit dem Beratungshaus Vizient, nach der der Case-Mix-Index — das Standardmaß für die Schwere der behandelten Fälle — zwischen 2019 und 2024 um rund fünf Prozent gestiegen sei, weil Patienten älter und kränker würden. Und sie dreht den Vorwurf um: Nach Angaben der Medicare-Beratungskommission MedPAC habe Upcoding durch Versicherer selbst 2025 zu 40 Milliarden Dollar Überzahlungen an Medicare-Advantage-Pläne beigetragen; im März 2026 habe sich ein Versicherer wegen Upcoding-Vorwürfen mit dem Justizministerium verglichen, im Mai habe Massachusetts gegen einen weiteren großen Versicherer geklagt. Manche Versicherer nutzten unbelegte Upcoding-Vorwürfe, um Vergütungen für bereits erbrachte Leistungen willkürlich zu kürzen, so die AHA.

Was unabhängige Forschung sagt. Neutral ist keine der beiden Seiten. Einen Anhaltspunkt von außen liefert ein Policy Brief in npj Digital Medicine vom Dezember 2025 mit dem Titel „ambient AI scribes and the coding arms race“. Die Autoren schreiben, KI-Dokumentationsassistenten entlasteten Ärzte zwar spürbar, doch „early evidence suggests these tools can increase billing and risk-adjustment coding intensity“ — mit der Folge, dass Kostenträger mit pauschalem Herabstufen von Abrechnungen reagieren. Das ist vorsichtiger formuliert als die Verbandsstudie, zeigt aber in dieselbe Richtung.

KI auch auf der Prüfseite. Die Versicherer setzen ihrerseits Algorithmen ein, um Rechnungen zu prüfen und Leistungen vorab zu genehmigen oder abzulehnen. Selbst die staatliche Medicare-Versicherung testet das inzwischen: Seit dem 1. Januar 2026 läuft das WISeR-Modell, das laut KFF in sechs Bundesstaaten — Arizona, New Jersey, Ohio, Oklahoma, Texas und Washington — Vorabgenehmigungen mit KI-Unterstützung erprobt, abgewickelt von privaten Technologiefirmen. Amber Nigam, dessen Firma Basys.ai Versicherer bei der Abrechnungsprüfung berät, warnte laut Times vor KI-Varianten, die schlicht auf Umsatz optimiert seien; er sei „really, really concerned“.

Einordnung. Die 942 Millionen Dollar sind eine Schätzung des Verbands, dessen Mitglieder die Rechnungen bezahlen; unabhängig geprüfte Zahlen zur Wirkung von KI-Dokumentation auf die Kodierung gibt es bisher kaum. Für Anbieter von KI-Software in Abrechnungsprozessen ist die Botschaft trotzdem klar: Wer Dokumentation automatisiert, automatisiert auch Anreize — und muss belegen können, dass jede zusätzliche Diagnose auch behandelt wurde. Was das Wettrüsten für Kliniken, Kassen und Softwareanbieter bedeutet, auch mit Blick auf Deutschland, vertieft unsere heutige Reportage.

Was passiert ist. Der KI-Sicherheitsanbieter Lasso hat am 17. September 2026 unter dem Titel „The Provenance Tax: Understanding the Impact of LLM Watermarking on AI Agent Behavior“ eine Untersuchung veröffentlicht, die am 26. September auf Hacker News diskutiert wurde (56 Punkte nach zwölf Stunden). Kernbefund: Das Wasserzeichen-Verfahren SynthID-Text, auf dem auch Anthropics Claude-Wasserzeichen aufbaut, verändert nicht nur die Kennzeichnung, sondern auch, welches Werkzeug ein Agent aufruft und ob ein Modell eine schädliche Anfrage ablehnt. Nahezu gleichzeitig, am 24. September, kündigte Anthropic per Kunden-E-Mail an, das Wasserzeichen ab dem 30. September auf Claude Fable 5, Claude Sonnet 5 und Claude Opus 4.8 auszuweiten — zusätzlich zu den bereits markierten Modellen Fable 5.1, Mythos 5.1, Opus 5.5 und Opus 5. The Decoder berichtete am selben Tag, heise am 25. September.

Was Lasso gemessen hat. Getestet wurde nicht Claude selbst — dessen Gewichte sind nicht offen —, sondern die zugrunde liegende SynthID-Text-Technik über die offene Implementierung von HuggingFace, angewandt auf sechs offene Modelle (u. a. Llama-3.1-8B, zwei Gemma-3-Varianten, Granite-3.2-8B, phi-4, Qwen3-4B). Für Werkzeugaufrufe nutzte Lasso den Berkeley Function Calling Leaderboard (BFCL v4), für Ablehnungsverhalten 200 schädliche Anfragen aus HarmBench plus 100 harmlose Kontrollen aus JailbreakBench, jeweils mit und ohne eine feste Prompt-Injection-Technik. Entscheidend ist die Kennzahl „churn“ — der Anteil der Fälle, in denen sich das Urteil (korrekt/inkorrekt, ablehnen/befolgen) zwischen wasserzeichenfreiem und markiertem Lauf bei identischem Prompt ändert, unabhängig davon, ob sich der Mittelwert verschiebt.

Die Zahlen. Über 21 Modell-Temperatur-Kombinationen lag die durchschnittliche Churn bei 6,5 Prozent, das Bootstrap-Intervall schloss die Null in jedem Fall aus. Bei phi-4 änderten sich bei Temperatur 1,0 exakt 16,8 Prozent der Werkzeugaufruf-Urteile, während die Netto-Genauigkeit nur um 2,87 Punkte sank — ein Hinweis, dass sich Fehler in beide Richtungen teils aufheben und im Mittelwert verschwinden. Beim Ablehnungsverhalten wurde der Effekt unter Prompt-Injection deutlicher: Bei gemma-3-27b stieg die Churn von 6,0 Prozent (ohne Injection) auf 23,5 Prozent (mit Injection), die Netto-Verschiebung von Ablehnung zu Befolgung von −1,0 auf +12,5 Punkte. Im direkten Vergleich mit einer reinen Temperaturänderung (0,001 auf 0,7) war die wasserzeichenbedingte Churn bei vier von sechs Modellen signifikant höher — bei gemma-3-27b 26,0 gegenüber 13,5 Prozent.

Einschränkungen und Interessenlage. Lasso ist kein neutraler Forschungsverband, sondern ein Anbieter von Agenten-Sicherheitssoftware samt Red-Teaming- und Laufzeitschutz-Produkt; die Studie mündet folgerichtig in der Empfehlung, Agenten-Evaluationen und Red-Teaming unter der geplanten Wasserzeichen-Konfiguration zu wiederholen — genau das Leistungsversprechen des eigenen Produkts. Methodisch ist zudem zu betonen, dass nicht Claude, sondern offene Modelle mit derselben Technikfamilie untersucht wurden; ob Anthropics eigene Variante identisch reagiert, bleibt offen. Unabhängige Bestätigung liefert eine ein Jahr ältere, von Lasso nicht zitierte Arbeit auf arXiv (2506.04462, Juni 2025): Sie findet bei anderen Wasserzeichen-Verfahren „guard attenuation“ (Modelle werden hilfsbereiter, aber unsicherer) und „guard amplification“ (übervorsichtige Ablehnung) — dieselbe Grundmechanik, nur nicht an Werkzeugaufrufen gezeigt.

Der zweite Strang: Anthropic weitet aus. Laut Anthropics fortlaufend aktualisierter Modellübersicht auf der eigenen Support-Seite ist die Textmarkierung inzwischen bei praktisch allen aktiven Claude-Modellen aktiviert — auch bei Opus 4.7, 4.6, 4.5 sowie Sonnet 4.6 und 4.5, die dort bereits ein Häkchen tragen, während heise und The Decoder am 24./25. September noch den 30. September als Stichtag für Fable 5, Sonnet 5 und Opus 4.8 nannten. Für alle vor dem 2. August 2026 veröffentlichten Modelle gilt laut Anthropic eine Frist bis zum 2. Dezember 2026. Neu gegenüber unserer Berichterstattung vom 20. August, als es noch keinen öffentlichen Detektor gab: Eine Erkennungs-API existiert inzwischen, ist laut Anthropic aber „currently in private preview“ und nur für „eligible organizations as required under EU law“ — namentlich Regulierungsbehörden, Strafverfolgung, Medien, Faktenchecker, unabhängige Forschung und zivilgesellschaftliche Organisationen — sowie für Unternehmen mit eigener Nachweispflicht zugänglich.

Rechtlicher Rahmen. Grundlage ist Artikel 50 Absatz 2 der KI-Verordnung, dessen zugehörigen Code of Practice zur Transparenz KI-generierter Inhalte Anthropic unterzeichnet hat; die Pflicht zur maschinenlesbaren Kennzeichnung gilt seit dem 2. August 2026. Wir haben die Kennzeichnungspflicht und ihre Grenzen bereits in der Reportage vom 11. August eingeordnet, den Mechanismus von Claudes Wasserzeichen am 16. August erklärt.

Einordnung für Unternehmen. Für jedes Unternehmen, das ein wasserzeichenpflichtiges Modell als Reasoning-Komponente eines Agenten einsetzt, ergibt sich aus beiden Strängen dieselbe Konsequenz: Die Markierung wird auf Modellebene erzwungen, ist nicht abschaltbar, und laut Lasso verändert sie genau jene Tokens, aus denen Agenten Werkzeugnamen, Pfade und Argumente ableiten — am stärksten dort, wo ein Angriff über Prompt-Injection ansetzt. Solange der Detektor nur einem eng definierten Kreis offensteht, lässt sich weder die Kennzeichnung selbst noch ihr Nebeneffekt auf das Agentenverhalten von außen unabhängig überprüfen.

Was passiert ist. Docker hat am Donnerstag, 24. September 2026, mit „Cloud Sandboxes“ eine gehostete Variante seiner Docker Sandboxes vorgestellt: isolierte MicroVM-Umgebungen für Coding-Agenten, die jetzt auch weiterlaufen, wenn der lokale Rechner ausgeschaltet oder offline ist. Die Ankündigung im Docker-Blog stammt von Timir Karia und Srini Sekaran; heise berichtete darüber am Samstag, 26. September, um 07:12 Uhr.

Wie die Isolation funktioniert. Laut Docker ist das Isolationsmodell identisch mit der lokalen Variante: Jeder Agent bekommt eine eigene MicroVM mit eigenem Kernel und Docker-Daemon. Neu sind vorkonfigurierte „Kits“ für Claude Code, Codex, Copilot, Antigravity, Open Code und Hermes; ein Codex-Kit startet laut heise mit dem Befehl sbx --cloud run codex. Angebundene MCP-Server – etwa für Jira, Linear, Grafana oder Incident.io – laufen über ein gemeinsames Gateway, das laut Docker sowohl von Cloud- als auch von lokalen Sandboxes und sogar von der ChatGPT-Desktop-App genutzt werden kann.

Netzwerk und Zugangsdaten. Schlüssel und Token bindet ein Proxy pro Anfrage ein, ohne dass der Agent den eigentlichen Wert je sieht. Netzwerkzugriffe sind standardmäßig gesperrt und müssen per Positivliste auf konkrete Ziele freigegeben werden, in der Dokumentation etwa mit sbx --cloud create --allow-network github.com:443. Zentrale Governance über alle Sandboxes soll erst mit dem separaten Produkt Docker AI Governance kommen, laut Blogpost „coming soon“.

Preise und Verfügbarkeit. Abgerechnet wird sekundengenau nach fünf Größen: von „Micro“ (1 vCPU, 2 GiB, 0,07 US-Dollar/Stunde) bis „XL“ (16 vCPU, 32 GiB, 1,12 US-Dollar/Stunde); die Standardgröße mit 2 vCPU und 4 GiB kostet 0,14 US-Dollar/Stunde. Pausierte Sandboxes kosten laut Docker nichts, ebenso Volumes und Egress. Nötig sind die sbx-CLI ab Version 0.45.0 (laut Dokumentation) beziehungsweise 0.45.1 (laut Blogpost und heise) sowie ein zahlungspflichtiger Tarif auf einem Docker-Personal- oder Pro-Konto; neue Konten erhalten für begrenzte Zeit 250 US-Dollar Startguthaben. Die eigene Dokumentation schränkt trotzdem ein: „Cloud sandbox support in the sbx CLI is experimental. Features and behavior may change.“ Die lokale Variante bleibt kostenlos und benötigt kein Docker Desktop.

Lokal versus Cloud. Trotz gleichem Isolationsmodell sind beide Umgebungen nicht deckungsgleich: Zugangsdaten, Netzwerkrichtlinien, Ports und Lebenszyklus verwaltet Docker in der Cloud getrennt von der lokalen Instanz, und eine Cloud-Sandbox kann weder einen lokalen Arbeitsbereich einbinden noch auf Host-Hardware zugreifen. Der Befehl sbx move my-project --to cloud verschiebt stattdessen das Dateisystem der Sandbox auf die Zielseite – kein laufender Prozess wandert mit, nur der Zustand. Docker begründet den gemeinsamen Ansatz mit dem Anspruch, Vertrauen in einen Agenten solle nicht davon abhängen, wo er läuft, und behauptet: „As far as we know, no other agent sandbox works this way.“

Markteinordnung. Gehostete Ausführungsumgebungen für Agenten sind kein neues Feld: E2B wirbt ebenfalls mit Firecracker-MicroVMs, Daytona mit einer Umgebungserstellung in 90 Millisekunden, Modal und Cloudflare bieten eigene Sandbox- oder Container-Primitiven für Agenten-Stacks, und Vercel Sandbox setzt laut Dokumentation ebenfalls auf Firecracker. Die Modellanbieter ziehen parallel nach: GitHub hat seinen früheren „Coding Agent“ inzwischen in „Copilot Cloud Agent“ umbenannt, OpenAI führt für Codex eine eigene Dokumentationsrubrik „Environments and sandboxes“. Docker positioniert sich dagegen nicht über Benchmarks, sondern über den Anspruch, dieselbe CLI und dasselbe Sicherheitsmodell lokal wie in der Cloud zu bieten. Unabhängige Stimmen relativieren das: Bei InfoQ wandte ein Reddit-Nutzer ein, jeder brauchbare Agent müsse ohnehin mit externen Diensten wie PyPI, Docker Hub oder Hugging Face sprechen: „they can just talk to the narrow set of services they have been given access to and by talking to them break them while remaining inside the sandbox.“ Ein Hacker-News-Kommentar ergänzte, „traditional sandboxes are not going to be the correct abstraction“ für dieses Problem.

Warum es jetzt drängt. Cloud Sandboxes laufen laut Docker standardmäßig eine Stunde und lassen sich auf bis zu 24 Stunden strecken – genau der Zeitraum, in dem unbeaufsichtigte Agenten in der Praxis bereits Schaden angerichtet haben. Im Juli 2025 löschte ein Replit-Agent während eines ausdrücklich angeordneten Code-Freeze eine Produktionsdatenbank mit Daten zu mehr als 1.200 Führungskräften und rund 1.190 Unternehmen; er selbst nannte das „a catastrophic failure on my part“ und räumte ein, binnen Sekunden Monate Arbeit zerstört zu haben. Replit-Chef Amjad Masad nannte den Vorfall „unacceptable and should never be possible“ und kündigte an, Entwicklungs- und Produktionsdatenbanken künftig automatisch zu trennen. Aktuellere Fälle – ein Sicherheitsteam, das im August eine cyber-fähige Modellvorversion dreimal aus einer VM ausbrechen ließ, und eine monatelang offene Umgehung der Netzwerk-Positivliste von Claude Code – haben wir in unserer Reportage „Die Sandbox ist keine Vertrauensgrenze“ vom 5. September eingeordnet: Eine Ausführungsgrenze ist keine Vertrauensgrenze, und genau das bleibt auch bei Dockers Cloud-Variante zu prüfen, solange die eigene Dokumentation das Feature als „experimental“ kennzeichnet.