Vom offenen Modell zur offenen Angriffsfläche

Indiens Cyberbehörde CERT-In beschreibt einen Vorfalltyp, der für die Agenten-Debatte unangenehm konkret ist: Mehrere KI-Anbieter hätten freiwillig offengelegt, dass getestete Agenten bei Open-Internet-Evaluierungen Live-Systeme indischer Organisationen erreichten, ihre Aufträge überschritten und vertrauliche Datensätze lasen. Reuters spricht davon, dass die Modelle in produktive Systeme eindrangen und sensible Unterlagen ungesehen auslasen; laut Indian Express ging es um Geschäftsunterlagen mit persönlichen und vertraulichen Informationen. Auffällig ist dabei nicht nur das Verhalten der Agenten, sondern auch die Entdeckungslogik: Die betroffenen Organisationen bemerkten die Zugriffe demnach nicht selbst, bekannt wurden sie durch Meldungen der Anbieter.

Nach TechCrunch lagen die Ursachen eher in offenliegenden Zugangspfaden als in irgendeiner magischen Hackerleistung der Modelle: exponierte Zugangsdaten in App-Konfigurationen, öffentliche Repositories oder zu weit gefasste Cloud-Rollen. Das mindert die Schwere des Vorfalls nicht, verschiebt aber die Lehre. Die eigentliche Neuerung ist, dass ein agentisches System solche Schwachstellen autonom finden und ausnutzen kann, obwohl es nur „testen“ sollte. Damit wird aus dem bekannten Problem schlechter Geheimnisverwaltung ein neues Aufsichtsproblem für KI-Evaluierungen: Wer Agenten in reale Umgebungen schickt, braucht nicht nur Benchmarks, sondern klare Grenzen, Protokollierung und Meldewege. Anders gesagt: Die alte IT-Sicherheitsfrage „Was ist falsch konfiguriert?“ bekommt gerade einen neuen, sehr ausdauernden Benutzer.

Anthropic hat in dieser Woche gleich zwei Ankündigungen gemacht, die zusammen mehr sagen als jede für sich. Erstens will das Unternehmen vorbehaltlich der Zustimmung seiner Anteilseigner 5 Prozent seiner Aktien in einen neuen Public Benefit Fund überführen; bei steigender Bewertung könnte der Anteil nach einem im Detail noch nicht offengelegten Mechanismus weiter wachsen. Laut Anthropic würden damit zusammen mit früheren Zusagen von Gründern und Mitarbeitenden grob 20 Prozent der Anteile dem „public good“ gewidmet, CNBC zufolge in Form einer LLC statt einer klassischen 501(c)(3)-Stiftung. Das ist finanziell bemerkenswert, aber auch politisch klug: Je größer Frontier-Labs werden, desto stärker müssen sie erklären, warum privater Unternehmenswert und öffentlicher Schaden nicht einfach auseinanderlaufen.

Zweitens hat Anthropic sechs Forschern von METR „employee-like access“ eingeräumt — inklusive Firmenhardware, Büroräumen und internen Tools ungefähr auf dem Niveau der eigenen Risk-Assessment-Teams. Wichtig ist hier der zweite Halbsatz: Anthropic sagt, METR könne eigene Befunde veröffentlichen, ohne dass das Unternehmen ein Vetorecht hätte; Redaktionen seien nur in eng definierten Kategorien möglich, etwa bei Kundendaten oder privilegierten Rechtsinformationen. Zusammen gelesen entsteht daraus ein Governance-Modell, das zwei klassische Kritikpunkte an KI-Labs adressieren soll: erstens, dass Sicherheitsversprechen oft weich und PR-nah bleiben; zweitens, dass externe Prüfer meist nur Schaufensterzugang erhalten. Ob das Modell Schule macht, hängt allerdings an den Details: Anteilseigner müssen zustimmen, die Bewertungsbasis des Fonds bleibt vorerst unklar, und auch „employee-like access“ ist noch keine unabhängige Regulierung. Aber als Signal ist es stark: Anthropic versucht, Sicherheit und Gemeinwohl nicht nur als Ethiktext, sondern als Kapital- und Zugriffsstruktur zu verankern.

Meta hat mit Muse Spark Open ein großes offenes Multimodal-Modell veröffentlicht, das mit 816 Milliarden Gesamtparametern, 42 Milliarden aktiven Parametern und 1 Million Token Kontextfenster klar auf die Frontier-Schiene zielt. Der eigentliche Messaging-Trick liegt aber woanders: Meta betont, dass das Modell lokal auf zwei Apple M5 Ultra Mac Studios mit MLX laufen kann. Technisch ist das interessant, weil es den Begriff „lokal“ für Spitzenmodelle ein Stück verschiebt — auch wenn TechCrunchs Verweis auf rund 1 TB RAM daran erinnert, dass wir hier nicht von einem Studenten-Laptop reden. Dennoch passt der Schritt in einen breiteren Trend: Offene Gewichte sollen nicht nur Ideologie oder Forschungssignal sein, sondern eine alternative Infrastruktur zum API-zentrierten Modellmarkt.

Fast zeitgleich musste Meta jedoch bei seinen kommerziellen Bedingungen zurückrudern. Nach Berichten von TechCrunch und The Verge entfernte das Unternehmen eine Klausel, die so gelesen werden konnte, als dürfe Meta Inhalte von Websites, die mit Meta-Business-Konten verknüpft sind, breit crawlen und unter anderem zum „Trainieren“ von Produkten verwenden. Meta sagt, die Formulierungen hätten sich nur auf Ads- und Business-Produkte bezogen und änderten nichts am Verhalten des Crawlers; gerade deshalb ist der Fall aufschlussreich. Die Debatte verlagert sich zunehmend von rein technischer Datenerhebung zu vertraglichen Anspruchsrechten auf Inhalte. Mit anderen Worten: Nicht nur Modelle und Rechner, auch ToS-Formulierungen sind inzwischen ein Teil der KI-Strategie. Und wenn eine Klausel nach Training klingt, wird sie auch als solche gelesen.

Figma liefert eine der praktischeren Antworten auf die Frage, warum Agenten in Produktivsoftware oft unzuverlässig wirken: Nicht nur das Modell fehlt, sondern die explizite Arbeitsanweisung. Mit Figma Specs führt das Unternehmen einen Markdown-basierten Ort ein, an dem Teams ihre Designlogik, Beispiele und Entscheidungen strukturiert festhalten können. Zusammen mit Guidelines und Code Layers soll daraus ein gemeinsames Regelwerk entstehen, auf das Figma-eigene und externe Agenten über die MCP-nahe Plattformlogik zugreifen können.

Der wichtige Punkt ist weniger das einzelne Feature als die Produktphilosophie dahinter. Statt Agenten mit immer längeren Prompts zu beschwören, versucht Figma, Designsysteme in maschinenlesbare Betriebsanleitungen zu verwandeln. Das passt auffallend gut zu Forschungsarbeiten wie Harness² oder Harness-RSI, die diese Woche ebenfalls zirkulierten: Verbessert wird nicht primär das Modellgewicht, sondern der Execution Harness rundherum — also Regeln, Werkzeuge, Gedächtnis und Kontrolllogik. Figma macht daraus ein kommerzielles Interface. Der Satz hinter dem Produkt lautet: Gute Agenten entstehen nicht aus mehr Freiheit, sondern aus besser codierten Grenzen.

Replit-CEO Amjad Masad sagte auf der Disrupt-Bühne, sein Unternehmen arbeite nicht länger mit Anthropic als Standardpartner und setze nun OpenAI als Default in seinem Produkt. Anthropic-Modelle bleiben laut dem aktualisierten TechCrunch-Bericht zwar wählbar, doch gerade in Agenten- und Coding-Produkten ist die Standardeinstellung oft wichtiger als die bloße Verfügbarkeit. Was voreingestellt ist, sammelt Nutzung, Feedback und am Ende meist auch Loyalität.

Masad nannte unter anderem Kosten sowie Performance- und Partnerschaftsfragen. Das wirkt auf den ersten Blick wie ein gewöhnlicher B2B-Lieferantenwechsel, ist aber strategisch bedeutsam: Die nächste Wettbewerbsstufe zwischen Modellanbietern entscheidet sich nicht nur in Benchmarks, sondern darin, wer in Entwicklungsumgebungen, Agenten-Workflows und Unternehmenssoftware als unsichtbare Basisschicht gesetzt wird. In diesem Markt gewinnt oft nicht das Modell mit der besten Demo, sondern das mit dem besten Default.