18. Juli 2026 · Lesezeit ~9 Min.

Drei Anbieter, drei Sicherheitslücken, eine Woche

Drei unabhängige Vorfälle innerhalb knapp einer Woche zeigen dasselbe Muster: Coding-Agenten bekommen mehr Vertrauen zugesprochen, als sie verdienen — und niemand hat das vorher bemerkt.

Grok Build lud komplette Repositories hoch. xAIs Coding-Agent Grok Build hat in Version 0.2.93 unbemerkt Inhalte eines 12-Gigabyte-Testrepositorys inklusive .env-Dateien und SSH-Schlüsseln in einen Google-Cloud-Speicher hochgeladen — mindestens 5,1 Gigabyte sind nachweislich angekommen. Ein „Improve the model”-Schalter, der genau das hätte verhindern sollen, stoppte den Upload nicht. Eine Wire-Level-Analyse (eine Untersuchung des tatsächlichen Netzwerkverkehrs) machte den Fund am 14. Juli publik; einen Tag später veröffentlichte xAI den kompletten Grok-Build-Code — 844.530 Zeilen Rust — als Open Source unter Apache 2.0, nachdem es die automatische Datenübertragung per Server-Flag deaktiviert hatte. Der problematische Upload-Code selbst blieb im Quellbaum stehen.

Cursor führte Code aus, ohne zu fragen — und schwieg dann. Sicherheitsforscher Aaron Portnoy (Mindgard) deckte am 14. Juli auf, dass Cursor eine git.exe im Repo-Root ausführt, ohne vorher zu fragen — seit Dezember 2025 gemeldet, aber von HackerOne als „out of scope” eingestuft. Cursor hatte den Fehler bereits am 13. Juli still gepatcht, ohne Sicherheitshinweis, CVE-Nummer (die standardisierte Kennung für öffentlich erfasste Schwachstellen) oder Versionsangabe — öffentlich bekannt wurde das erst am 17. Juli, durch Presseanfragen. Schweigend zu patchen ist kaum transparenter als gar nicht zu patchen.

Claude folgte Links, die es nicht hätte folgen sollen. Sicherheitsforscher Ayush Paul zeigte bereits am 9. Juli, dass Claudes web_fetch-Werkzeug über verkettete Honeypot-Links (präparierte Köder-URLs, die das Weiterklick-Verhalten des Modells testen) Nutzerdaten wie Namen, Wohnort und Arbeitgeber ausleiten konnte. Anthropic bestätigte, das Problem intern bereits gekannt, aber noch nicht behoben zu haben, und entzog dem Modell die Fähigkeit, Links auf bereits abgerufenen Seiten zu folgen — eine Bug-Bounty-Zahlung erfolgte nicht.

Zwei Gegenbewegungen: Diese Woche wurde bekannt, dass Codex die Prompts zwischen Haupt- und Unteragenten bereits seit Juni verschlüsselt — eine Vorabmaßnahme gegen Prompt-Lecks in Multi-Agent-Ketten, deren Nebenwirkung auf die Audit-Lesbarkeit gerade erst öffentlich diskutiert wird. Und Cloudflare bringt mit „Precursor” eine Verhaltenserkennung, die Menschen über eine ganze Session hinweg anhand von Maus- und Tastaturmustern von Agenten unterscheidet.

Warum das relevant ist: Datenexfiltration, unautorisierte Ausführung und ausufernde Tool-Rechte sind dieselben Kategorien wie in den Wochen zuvor, nur diesmal bei drei unabhängigen Anbietern innerhalb knapp einer Woche. Nach der Agentjacking-Ausweitung und #014s GhostApproval- und GitLost-Befunden ist das die dritte Woche in Folge mit einem substanziellen Agentic-Permission-Vorfall — inzwischen ein Muster, kein Ausreißer.

Googles teuerstes Coding-Problem

Am 16. Juli berichtet Bloomberg, dass Google sein Flaggschiff-Modell Gemini 3.5 Pro verschiebt — Monate hinter dem eigenen Zeitplan, weil die Coding-Fähigkeiten hinter den internen Zielen zurückbleiben. Ende Juni hatte Google die Trainingsdaten angepasst, um genau das zu verbessern; das Ergebnis enttäuschte laut Bericht auch danach. Die schwächere Flash-Variante war bereits im Mai auf der I/O-Konferenz vorgestellt worden, mit Juni als Zieltermin für die Pro-Version — der Termin ist seither verstrichen, ohne neuen Zeitplan.

Pikant: Google-Ingenieure sollen intern verstärkt KI-gestützt entwickeln, stoßen dabei aber laut Bericht auf Kapazitätsengpässe, weil die eigene Rechenleistung unternehmensweit umkämpft ist. Die Nachricht kostete Alphabet rund 200 Milliarden Dollar Marktkapitalisierung — ein Einbruch, der zeigt, wie unmittelbar Investoren Coding-Fähigkeit inzwischen als Wettbewerbsindikator lesen.

Warum das relevant ist: Sonnet 5, Opus 4.8 und GPT-5.6 haben die Messlatte für Coding-Qualität in den letzten Monaten mehrfach angehoben — und Google fällt bei genau dieser Messlatte zurück, während die eigenen Ingenieure die Konkurrenzmodelle im Alltag im Blick haben. Der Markt bepreist das nicht als Verzögerung, sondern als Rückstand.

Die Kapitalmarkt-Woche

Drei Bewegungen und ein unbestätigtes Gerücht zeigen, wie viel Geld gerade in Richtung Agentic Coding fließt.

Anthropics IPO-Roadshow beginnt. Seit dem 15. Juli sondieren Goldman Sachs, JPMorgan und Morgan Stanley Investorennachfrage vor der formellen Roadshow — ein öffentlicher S-1-Antrag (die Börsenzulassungs-Unterlage für US-Börsengänge) wird für August oder September erwartet, Preisfestsetzung im Oktober oder November, Nasdaq als Ziel. Die Bewertung bleibt bei 965 Milliarden Dollar aus der Serie-H-Runde vom Mai; parallel verhandelt Anthropic über eine Ausweitung seiner bislang 2,5 Milliarden Dollar schweren Kreditlinien.

Ode with Anthropic geht offiziell an den Start. Das im Mai gegründete Joint Venture — Anthropic, Blackstone, Hellman & Friedman und Goldman Sachs, 1,5 Milliarden Dollar — soll Unternehmen bei der praktischen Einführung von KI-Agenten begleiten. Ode-Chef Chris Taylor:

„It’s pretty easy to imagine this as a trillion-dollar company someday if we execute well.”

Sinngemäß: Es sei leicht vorstellbar, dass daraus bei guter Ausführung eines Tages ein Billionen-Dollar-Unternehmen wird.

Databricks erhöht seine Bewertung auf 188 Milliarden Dollar (Coatue-Runde, +40 % gegenüber Februar), und das AI-Coding-Startup Emergent wird zum Unicorn — 1,5 Milliarden Dollar Bewertung, versus 300 Millionen Dollar im Januar, bei 120 Millionen Dollar Jahresumsatz und über 200.000 zahlenden Kunden. Am Rand, unbestätigt: Laut New York Times verhandelt Meta, Anthropic für bis zu 10 Milliarden Dollar Rechenkapazität zu vermieten — beide Seiten äußerten sich nicht, ein frühes Stadium ohne Zusage.

Warum das relevant ist: Nach der Compute- und Governance-Woche der letzten Ausgabe liefert diese Woche die ersten konkreten Kapitalmarkt-Termine — das Geld, das in Agentic Coding fließt, übersetzt sich in Fristen und Bewertungen statt in bloße Ankündigungen.

Claude Code: Die Highlights der Woche

Für Sicherheits- und Team-Admins

• v2.1.214 behebt mehrere reale Permission-Bypässe (Windows PowerShell 5.1, Bash-Umleitungsformen, Zsh-Vergleiche, Docker-Daemon-Flags) und bringt EndConversation: Claude kann eine Session bei Jailbreak-Versuchen selbst beenden — ein Verhalten, das claude.ai schon seit 2025 kennt.

• Budget-Grenzen für Sessions — v2.1.212 begrenzt WebSearch-Aufrufe und Subagent-Spawns pro Session (Standard je 200), verschiebt lange MCP-Tool-Aufrufe automatisch in den Hintergrund, und /fork startet direkt eine Hintergrund-Session.

Für alle, die Claude Code täglich nutzen

• Sandbox-Browser in der Desktop-App — eigenes Browser-Profil ohne gespeicherte Logins, Schreibaktionen laufen durch einen Klassifizierer. Ergänzt „Claude in Chrome GA” aus #013 um eine Desktop-eingebettete Variante.

• Kleinere Nachzügler: Login-Expiry-Warnung, erweitertes Auto-Allow für git push, Namensreservierung „Claude Browser”.

Agentic Coding

• GitHub automatisiert Sicherheits-Fixes. „Agentic Autofix for Code Scanning Alerts” (Public Preview) lässt einen Agenten CodeQL-Alerts eigenständig beheben — Erkundung, Fix, Re-Validierung, Draft-PR in zwei bis vier Minuten. Ein Gegenpol zu den drei Vorfällen oben: Der eine Anbieter automatisiert Absicherung, während anderswo Lücken entstehen.

• Cursor baut in Richtung Slack aus — Plan-Vorschau vor Arbeitsbeginn, Multi-Repo-Support, kanalübergreifende Workflows.

• Cline liefert im Wochentakt — die Haupt-Extension v4.0.9 bringt GPT-5.6-Support, CLI v3.0.43 automatisches Vertrauen des Betriebssystem-Zertifikatsspeichers (Corporate-Proxy-Setups).

• Copilot legt eine Sicherheitswoche nach — Visual-Studio-Juni-Update, erweitertes BYOK für JetBrains, KI-Sicherheits-Erkennungen direkt in Pull Requests.

Trend der Woche: Was ein Agent wirklich kostet — und wer die Kontrolle behält

Zwei methodisch saubere Kostenmessungen, ein neuer Fachbegriff und ein Kontrapunkt landen in derselben Woche — zusammen ein Bild davon, wie teuer Autonomie wirklich ist und wer am Ende dafür geradesteht.

Die Zahlen. Systima misst per Logging-Proxy: Claude Code verbraucht rund 33.000 Tokens, bevor der erste Prompt überhaupt verarbeitet wird — 4,7-mal mehr als das Konkurrenzwerkzeug OpenCode, vor allem wegen eines deutlich längeren System-Prompts; Subagent-Delegation treibt die Gesamtkosten einer Aufgabe auf mehr als das Vierfache. Databricks kommt auf der eigenen Multi-Millionen-Zeilen-Codebase zu einem verwandten Befund: GLM 5.2 erreicht die Qualität von Opus 4.8 bei zwei Dritteln der Kosten, während Sonnet 5 trotz günstigerem Token-Preis teurer pro Aufgabe ist als Opus, weil es mehr Kontext verbraucht. Güte pro Dollar hängt offenbar stärker vom Werkzeug drumherum ab als vom Modellpreis selbst.

Der neue Begriff. Gergely Orosz nennt das, was sich daraus ergibt, „Loop Engineering” — die bewusste Gestaltung des Kreislaufs aus Planen, Ausführen und Prüfen, nicht nur des einzelnen Prompts. Boris Cherny, der bei Anthropic Claude Code leitet, bringt es auf den Punkt: Er prompte Claude nicht mehr, sein Job sei es, Loops zu schreiben.

Der Kontrapunkt. Andrew Kelley, Schöpfer der Programmiersprache Zig, legt beim Bun-Rewrite aus der letzten Ausgabe nach: The Register betitelt seine ausführlichere Fassung „unreviewed slop”; seine Frage, wie eine Test-Suite unbeaufsichtigten Rust-Code prüfen soll, wenn sie schon Bugs im ursprünglichen Zig-Code übersehen hat, bleibt unbeantwortet. Ray Myers verschärft in einem eigenen Beitrag: Er selbst habe mit einem hybriden Ansatz 50 Bugs in der Zig-Version von Bun gefunden — reines KI-Vorgehen reiche eben nicht. Simon Willison zieht die Grenze grundsätzlicher: Mit Verweis auf ein IBM-Zitat von 1979 — ein Computer könne nie zur Verantwortung gezogen werden, dürfe deshalb nie eine Management-Entscheidung treffen — muss Verantwortung strukturell menschlich bleiben, unabhängig vom Autonomiegrad.

Wie wenig diese Grenze in der Praxis gezogen wird, zeigt eine Studie von SAP und Oxford Economics unter 2.600 Führungskräften: Nur elf Prozent halten ihre eigene Governance für ausreichend, 57 Prozent haben keinen Human-Oversight-Prozess für agentische Workflows, 71 Prozent nutzen ungenehmigte „Schatten-KI”. Ein Gegenbeispiel zeigt, dass die Frage lösbar ist: Fields-Medaillist Terence Tao portierte binnen Stunden zwei Dutzend Java-Applets aus dem Jahr 1999 mit einem Coding-Agenten nach JavaScript und fand zwei bislang unbekannte Bugs im Original — betont aber, dass alle High-Level-Design-Entscheidungen bei ihm blieben, nur die Low-Level-Syntax beim Agenten.

Warum das relevant ist: Wer Loop Engineering betreibt, wie Systima und Databricks es vorrechnen, spart Geld. Wer dabei gleichzeitig die Verantwortung abgibt, wie die SAP-Studie es für die Mehrheit der Unternehmen beschreibt, spart am falschen Ende.

Tipp der Woche

Claude Code kann seit einigen Versionen ein zweites, stärkeres Modell als „Advisor” (Berater) hinzuziehen: Das Hauptmodell konsultiert es an Entscheidungspunkten — vor einem Ansatzwechsel, bei wiederkehrenden Fehlern, vor Abschluss einer Aufgabe. Aktivierbar über /advisor, die Einstellung advisorModel oder das Flag --advisor; das Hauptmodell entscheidet selbst, wann es fragt.

Mein Fazit: Viele Aufgaben brauchen gar kein Top-Modell — das spart spürbar Kosten und Zeit, und bei Bedarf springt automatisch ein stärkeres Modell ein, bei mir meist von Sonnet 5 zu Opus 4.8. Was fehlt: Transparenz darüber, wann und warum genau eskaliert wird.

Warum das hier steht: Der Advisor ist die eingebaute Antwort auf ein Muster, das hier schon als manueller Tipp lief — ein starkes Modell entscheidet die Richtung, ein günstigeres führt aus. Jetzt übernimmt Claude Code die Eskalations-Entscheidung selbst.

Kurz notiert

• Bundestags-Gutachten: Open-Source-First bei öffentlicher Beschaffung ist vergaberechtlich zulässig — die Wissenschaftlichen Dienste bestätigen, dass sich Behörden in Ausschreibungen auf Open-Source-Software festlegen dürfen. Peter Ganten (Vorsitzender, Open Source Business Alliance): „Das Gutachten macht unmissverständlich klar, dass öffentliche Stellen sich in ihren Ausschreibungen auf Open-Source-Software festlegen können.”

• Nur 0,7 % der Stellenanzeigen der öffentlichen Verwaltung nennen KI-Kompetenz — Privatwirtschaft 1,5 %, 43 % der Landkreise ganz ohne KI-Stellenanzeige (IW Köln, 13 Mio. ausgewertete Anzeigen).

• Tom Blomfield (Mitgründer Monzo) wechselt zu Anthropics Compute-Team — nimmt dafür eine Auszeit als Group Partner bei Y Combinator, arbeitet künftig mit Compute-Chef Tom Brown zusammen.

• DeepSeek strebt 74-Milliarden-Dollar-Bewertung an — nur Wochen nachdem die erste externe Finanzierungsrunde (Tencent/CATL) das Unternehmen bereits auf rund 63 Mrd. $ bewertet hatte, plus Vorbereitung für einen Börsengang an Shanghais STAR Market.

Das war Agentic Weekly #015. Danke fürs Lesen — die nächste Ausgabe kommt am Samstag, 25. Juli 2026.

Hinter Agentic Weekly steckt Martin Gross: wöchentlich ein kompakter, meinungsstarker Überblick zu Agentic Engineering, Agentic Coding und Claude Code.

Hat dir die Ausgabe gefallen? Leite sie gerne weiter oder empfiehl den Newsletter.

Quellen

Drei Anbieter, drei Sicherheitslücken, eine Woche: Simon Willison — xai-org/grok-build now open source · Cereblab Gist — wire-level analysis · x.ai — Grok Build is now open source · TechTimes — privacy toggle did nothing · Mindgard — Cursor 0day · Dark Reading — Cursor IDE Auto-Executes Malicious Code in Poisoned Repos · Ayush Paul — The Memory Heist · GitHub — openai/codex#28058 · Cloudflare — Introducing Precursor

Googles teuerstes Coding-Problem: Bloomberg — Google Gemini Launch Delayed · CNBC — Alphabet shares fall on Gemini delay

Die Kapitalmarkt-Woche: CNBC/startuphub.ai — Anthropic IPO roadshow begins · Investing.com — Anthropic 2026 IPO · CryptoBriefing — Anthropic targets IPO by October 2026 · TechCrunch — Ode with Anthropic · Bloomberg — Databricks $188B · TechCrunch — Emergent becomes a unicorn · DealStreetAsia — Emergent · CNBC — Anthropic in early talks with Meta · Bloomberg — Meta in Talks to Sell Computing Power to Anthropic

Claude Code: Changelog · the-decoder.de — Claude Code Browser

Agentic Coding: GitHub Changelog — Agentic Autofix · Cursor Changelog · Cline Releases · GitHub Blog Changelog

Trend der Woche: Systima — Claude Code vs OpenCode token overhead · Databricks Engineering — Benchmarking Coding Agents · Pragmatic Engineer — What is loop engineering? · The Register — Zig creator calls Bun’s rewrite unreviewed slop · Andrew Kelley — My thoughts on the Bun Rust rewrite · Ray Myers — Zig Creator Calls Spade a Spade · Simon Willison — Directly Responsible Individuals · heise — SAP Value of AI Report · Terence Tao — Old and new apps via modern coding agents

Tipp der Woche: Claude Code Docs — Escalate hard decisions with the advisor tool

Kurz notiert: OSBA — Bundestags-Gutachten schafft Klarheit · HASEPOST — Studie: Öffentliche Verwaltung verpasst Anschluss · Sifted — Anthropic recruits Tom Blomfield · techfundingnews.com — Tom Blomfield · Bloomberg — DeepSeek mulls new funding · techstartups.com — DeepSeek $74B valuation

12. Juli 2026 · Lesezeit ~10 Min.

Bun in elf Tagen von Zig auf Rust — mit 64 Agenten parallel

Jarred Sumner, Kopf hinter der JavaScript-Runtime Bun, hat den Kern seines Projekts in elf Tagen von der Systemsprache Zig auf Rust umgeschrieben — nicht von Hand, sondern mit Claude Code und einer Vorabversion von Claude Fable 5, Anthropics Spitzenmodell. Simon Willison hat den Bericht aufgegriffen; die Zahlen sind der Grund für die Wellen.

6.502 Commits, 5,9 Milliarden Input-Tokens, bis zu rund 64 parallel arbeitende Agenten — am Ende 60.624 grüne Tests bei 1,39 Millionen einzelnen Prüfungen. Es ist die bislang größte öffentlich mit Zahlen belegte agentische Umschreibung eines produktiven Open-Source-Projekts (auf Hacker News über 750 Punkte).

Die schärfste Gegenstimme kommt einen Tag später von Andrew Kelley, dem Schöpfer von Zig: Der Wechsel sei gar kein Sprachproblem gewesen. Bun habe Zig nicht verlassen, weil die Sprache technisch nicht getaugt hätte, sondern weil die Beziehung zwischen Projekt und Sprach-Ökosystem nicht funktioniert habe — ein Management-Problem, kein technisches.

Warum das relevant ist: Die Frage aus #013 — nicht ob, sondern wie viel Autonomie — bekommt hier ihren konkretesten Praxisbeleg. Und Kelleys Einwand hält die Geschichte ehrlich: Die Agenten haben die Fleißarbeit gelöst; die Entscheidung, überhaupt umzuschreiben, traf ein Mensch aus Gründen, die mit Rust wenig zu tun hatten.

Claude Code: Die Highlights der Woche

Für alle, die Claude Code täglich nutzen

• /doctor wird zum vollständigen Setup-Checkup — v2.1.205 macht aus der Diagnose einen vollständigen Setup-Checkup, v2.1.206 ergänzt den Vorschlag, eine aufgeblähte CLAUDE.md zu kürzen. Dazu ein sichtbares Manual-Mode-Badge, und /review kehrt zum schnellen Single-Pass zurück (der Multi-Agent-Review bleibt unter /code-review).

Für CI/CD und Plattform-Betrieb

• Auto Mode ohne Opt-in auf den großen Cloud-Plattformen — v2.1.207 (am Erscheinungstag dieser Ausgabe) aktiviert den Auto Mode (in dem Claude selbst entscheidet, welche Aktionen ohne Rückfrage durchlaufen) standardmäßig ohne Opt-in auf Amazon Bedrock, Google Vertex AI und Microsoft Foundry; auf Bedrock, Vertex und der Claude Platform on AWS wechselt zugleich das Default-Modell auf Opus 4.8. Im selben Release ein Fix gegen Shell-Injection über Plugin-Hooks, Monitors und den MCP-headersHelper (MCP = Model Context Protocol, der Standard, über den Agenten externe Tools anbinden).

Agentic Coding

• Codex CLI wird an GPT-5.6 gekoppelt. v0.143 bis v0.144.1 aktivieren Remote-Plugins (über einen npm-Marktplatz) standardmäßig, bringen eine Amazon-Bedrock-Anbindung für die neuen GPT-5.6-Modelle und einen writes-Freigabemodus, der Lese- und Schreibrechte trennt.

• Cursor 3.11 bringt „Side Chats” — parallele Nebenchats neben der Hauptkonversation — plus Volltextsuche über Agent-Transkripte. Inkrementell, kein Paradigmenwechsel.

• Amp „Agents Anywhere”. Sourcegraphs Amp startet Remote-Agenten jetzt auf beliebigen Maschinen (Laptop, Server, Cloud, Raspberry Pi) und bringt einen Headless-Runner (amp --no-tui). Dieselbe Bewegung wie Claude Codes Hintergrund-Agenten: Agenten laufen überall, nicht nur in der IDE.

Anthropics Compute- und Governance-Woche

Zwei echte Juli-Ereignisse zeigen, wie Anthropic seine Rechen- und Governance-Basis vor dem geplanten Börsengang verbreitert. Am 6. Juli unterzeichnet der Bitcoin-Miner TeraWulf einen 20-Jahres-Vertrag mit Anthropic über den „Justified Data”-Campus in Hawesville, Kentucky: rund 401 MW IT-Last, Vertragswert etwa 19 Mrd. $, Kapazität ab der zweiten Jahreshälfte 2027.

Am 9. Juli tritt Ben Bernanke dem Long-Term Benefit Trust bei — der Stiftung, die Anthropics Governance gegen kurzfristigen Investorendruck absichern soll. Dass der frühere Fed-Vorsitzende und Wirtschaftsnobelpreisträger von 2022 dort einzieht, ist ein deutliches Signal Richtung Wirtschafts- und Regierungsnähe.

Der Kontext dazu stammt aus dem Juni: das bereits Anfang Juni angekündigte 35-Mrd.-$-Finanzierungspaket von Apollo und Blackstone, dessen Debt-Tranchen jetzt in den Handel gehen — eine Zweckgesellschaft kauft damit Google-TPUs (Googles KI-Beschleuniger-Chips) und verleast sie an Anthropic. Und SemiAnalysis schätzt Anthropics Profit im dritten Quartal 2026 auf über 1 Mrd. $ — in einer Analyse, die Claude Code als einen der Wachstumstreiber nennt.

Warum das relevant ist: Rechenzentren, Kapital und Governance-Namen werden vor dem IPO gleichzeitig aufgebaut — und SemiAnalysis liefert erstmals eine belastbare Profit-Schätzung für diese Phase.

GPT-5.6 wird allgemein verfügbar — und Fable 5 wird zum Aufpreis

Zwei Preisbewegungen in derselben Woche, in entgegengesetzte Richtung.

Die Preisantwort. Nach zwei Wochen Limited Preview — zunächst nur für rund zwanzig Partner — schaltet OpenAI am 9. Juli die GPT-5.6-Familie (Sol, Terra, Luna) allgemein frei, gleichzeitig in Codex, ChatGPT, der API und GitHub Copilot (mit Admin-Opt-in). Die Preise, gestaffelt nach Modell: Sol 5 $ / 30 $, Terra 2,50 $ / 15 $, Luna 1 $ / 6 $ pro Million Tokens. Neu sind Programmatic Tool Calling (der Aufruf von Werkzeugen direkt aus dem generierten Code) und konfigurierbare Reasoning-Effort-Stufen — ein aggressiver Zug gegen Sonnet 5.

Der Konter. Anthropic geht den umgekehrten Weg: Der Zugang zu Fable 5, bislang in den zahlenden Claude-Plänen enthalten (auch in Claude Code), wird auf nutzungsbasierte Credits umgestellt — zum regulären GA-Tarif von 10 $ / 50 $ pro Million Tokens, dem Preis, zu dem Fable 5 im Juni startete. Neu ist nicht die Zahl, sondern das Modell: aus „im Plan enthalten” wird „extra bezahlt”. Der ursprüngliche Stichtag 7. Juli wurde nach deutlichem Nutzer-Backlash auf den 12./13. Juli verschoben.

Warum das relevant ist: OpenAI macht sein Frontier-Modell billiger und breiter, Anthropic seins teurer und exklusiver. Für Teams, die auf Fable 5 setzen, heißt das: neu rechnen.

Chinas Backdoor-Vorwurf gegen Claude Code

Die Linie aus #012 (Alibaba-Distillation-Vorwurf) und #013 (Rückbau der Steganographie-Marker) bekommt ihre nächste Wendung — mit umgekehrten Vorzeichen. Am 8. Juli wirft Chinas National Vulnerability Database Claude Code eine „Sicherheits-Backdoor” vor: Die Versionen 2.1.91 bis 2.1.196 hätten ohne Zustimmung Standortdaten erfasst. Alibaba verbietet seinen Mitarbeitenden seit dem 10. Juli die Nutzung von Claude Code und stellt intern auf das eigene Werkzeug Qoder um.

Anthropic widerspricht. Thariq Shihipar aus dem Claude-Code-Team ordnet das, was China als Backdoor liest, als jenes Experiment ein, das im März gegen Account-Missbrauch und Distillation (das Nachtrainieren eines eigenen Modells auf den Ausgaben eines fremden) eingebaut und im Juli wieder entfernt wurde:

„This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation.”

Sinngemäß: ein Experiment gegen Account-Missbrauch durch nicht autorisierte Wiederverkäufer und gegen Distillation.

Warum das relevant ist: Was Anthropic als Schutz gegen chinesische Distillation baute, liest China als Überwachung — und derselbe Akteur, dem Anthropic im Juni den größten bekannten Distillation-Angriff vorwarf, begründet damit einen Bann.

Coding-Agenten & MCP: eine Sicherheits-Woche

Selten trafen so viele Befunde zu Agenten-Sicherheit in eine Woche. Fünf, die die Zielgruppe direkt betreffen:

• GhostApproval (Wiz, via iX/heise, 9. Juli) — über manipulierte Repository-Symlinks (Verweise, die im Dateisystem auf eine andere Datei zeigen) lassen sich Coding-Agenten dazu bringen, Dateien außerhalb ihrer Sandbox zu lesen, etwa SSH-Schlüssel. Betroffen quer durch die Branche: Claude Code, Amazon Q Developer, Augment, Cursor, Google Antigravity und Windsurf. Patches liegen für Amazon Q, Antigravity und Cursor vor, für Augment und Windsurf noch nicht.

• GitLost (Noma Security) — eine präparierte, öffentliche GitHub-Issue bringt GitHubs Agentic Workflows dazu, private Repo-Inhalte ohne Authentifizierung als öffentlichen Kommentar preiszugeben. Security Research Lead bei Noma Security, Sasi Levi, bringt die neue Qualität auf den Punkt: „GitLost is about manipulating what an agent does with its permissions.” — es geht nicht mehr darum, was ein Agent sagt, sondern was er mit seinen Rechten tut. Die Fortsetzung der „Agentjacking”-Serie der letzten Wochen — Angriffe, die einen Agenten über eine manipulierte Tool-Anbindung kapern.

• „Friendly Fire” — ein PoC (Machbarkeitsnachweis) des AI Now Institute: Scannen Claude Codes Auto Mode oder Codex’ Auto-Review nicht vertrauenswürdigen Fremdcode, lässt sich der Prüfvorgang so präparieren, dass der Agent den Angreifer-Code ausführt, statt ihn nur zu prüfen.

• Die Breitendaten: Eine Analyse von 9.695 öffentlichen MCP-Servern findet 4.982 Sicherheitsprobleme in 2.259 Servern — vor allem willkürlichen Dateizugriff, DoS und Command Injection. Popularität schützt nicht.

• Die Gegenmaßnahme: Claude Code v2.1.205 blockiert im Auto Mode Manipulationen an den Session-Transkript-Dateien und markiert Background-Benachrichtigungen jetzt ausdrücklich als „kein Mensch hat zugestimmt” — direkte Antwort auf vorgetäuschte In-Transcript-Freigaben.

Die Woche der Souveränitäts-Ansage

Gleich drei Bewegungen bei Regulierung und digitaler Souveränität — eine davon fällt auf den Tag vor dieser Ausgabe.

Brüssel. Am 7. Juli stellt Henna Virkkunen, Exekutiv-Vizepräsidentin der EU-Kommission für technologische Souveränität, Sicherheit und Demokratie, den EU Action Plan on Cybersecurity and Artificial Intelligence vor — laut heise ein Neun-Punkte-Plan gegen künftige KI-Modell-Sperren durch Drittstaaten, mit einem „European blueprint” für strukturierten Zugang bis Ende 2026. Die Kommission verweist dabei auf ein bereits im Juni vorgestelltes, separates Programm über 200 Mrd. € für KI-Gigafactories.

Berlin. Am 10. Juli — dem Tag vor Erscheinen dieser Ausgabe — billigt der Bundesrat das KI-Durchführungsgesetz endgültig, ohne Vermittlungsausschuss. Die Bundesnetzagentur (BNetzA) wird damit zentrale KI-Marktüberwachungsbehörde in Deutschland. Flankierend liegt der Community-Draft des BSI (Bundesamt für Sicherheit in der Informationstechnik) vor: der modulare Prüfkatalog „A5” zur Bewertung vertrauenswürdiger KI, auf Basis des maschinenlesbaren Katalogformats OSCAL, Kommentierung bis 31. August.

Der Realitätscheck. Das deutsche Vorzeigeprojekt hakt: Die Fusion von Aleph Alpha und Cohere verzögert sich deutlich — offen sind Personalübernahme, Führungsstruktur und Schutzrechte für die Bundesregierung. Und das Berliner Startup Langdock steht wegen eines „Delaware-Flips” in der Kritik — die deutsche GmbH wird über eine US-Delaware-Corporation kontrolliert, eine bei US-Investoren und YC-Startups übliche Struktur, was Kritiker dennoch als Widerspruch zum eigenen Souveränitäts-Anspruch lesen.

Warum das relevant ist: Die zuletzt abstrakte Souveränitäts-Debatte ist konkret geworden — mit Gesetzestext, Prüfkatalog und Aktionsplan. Und zugleich zeigt sich, wie schwer die Umsetzung fällt, wenn selbst die Vorzeigeprojekte an Struktur- und Kapitalfragen hängen.

Trend der Woche: Der Job wandert in den Outer Loop

Addy Osmani setzt seine Autonomy-Levels-Reihe fort — „Own the Outer Loop”. Die Kernthese: Agenten übernehmen den Inner Loop (die Ausführung), Menschen behalten den Outer Loop — Verifikation, Freigabe, Verantwortung. Nicht blind akzeptieren, was der Agent liefert, sondern prüfbar machen. Der Bun-Rewrite oben ist die Illustration: viele Agenten im Inner Loop, ein Mensch, der die Richtung entscheidet.

Einen Datenpunkt dazu liefert Anthropic selbst: Mit der Ausweitung von Claude Cowork (Anthropics Werkzeug für asynchrone Team-Aufgaben, bislang Desktop-only) auf Web, iOS und Android zeigen Nutzungsdaten aus 1,2 Millionen Sessions, dass über 90 % der Cowork-Nutzung nicht Coding ist, sondern Business Ops und Content. Der Coder ist längst nicht die einzige Zielgruppe agentischer Werkzeuge.

Aus der Gegenrichtung ein Nachbeben: Der Godot-KI-Bann war kein Einzelfall. Hackaday ordnet ähnliche Regeln bei Mesa, NetBSD (KI-Code gilt als „tainted”, also nicht vertrauenswürdig) und im Linux-Kernel (Offenlegungspflicht für KI-Tools) ein. Verantwortung lässt sich nicht an einen Agenten delegieren.

Tipp der Woche

sqlite-utils 4.0 — größtenteils von Claude Fable geschrieben (Simon Willison, 5. Juli). Willison ließ das Stable-Release seines beliebten SQLite-Werkzeugs weitgehend von Fable schreiben: 37 Prompts, 34 Commits für den Release-Kandidaten, Gesamtkosten rund 149,25 $. Bemerkenswert ist nicht der Preis, sondern der Fund: Fable identifizierte fünf eigenständige Release-Blocker, darunter einen Datenverlust-Bug in delete_where(), den Willison selbst übersehen hatte.

Warum das hier steht: Öffentlich nachvollziehbare Kosten- und Qualitätszahlen für einen realen Produktionsrelease sind selten — und sie treffen genau die Frage hinter der Fable-Preisdebatte dieser Woche: Was kostet ein Release wirklich, und was ist die Arbeit wert, die der Agent übernimmt?

Kurz notiert

• Fidji Simo verlässt OpenAI (9. Juli) — Die seit Mai 2025 als CEO of Applications amtierende Simo gibt die Vollzeitrolle wegen einer chronischen Erkrankung ab und wird Teilzeit-Beraterin; ihre Aufgaben teilen sich President Greg Brockman, CFO Sarah Friar und Chief Strategy Officer Jason Kwon.

• Anthropic baut den Public-Sector-Zugang aus — Teresa Carlson wird erste Global Head of Public Sector, zuvor in Public-Sector-Führungsrollen bei Microsoft (Federal Sales), AWS (globaler Public-Sector-Bereich) und Splunk (President and Chief Growth Officer).

• Prime Intellect sammelt 130 Mio. $ Series A bei 1 Mrd. $ Bewertung ein (Lead: Radical Ventures) — Enterprise-Tools für eigene KI-Agenten, 100 Mio. $ ARR, Kunden wie Ramp und Zapier.

• Sanders’ Staatsbeteiligungs-Forderung bekommt neue Aktualität — Bernie Sanders’ bereits am 18. Juni eingebrachte Forderung nach 50 % Staatsbeteiligung an großen KI-Firmen rückt durch OpenAIs 5-%-Angebot an Washington wieder in den Fokus — auch wenn sie zwei Wochen davor datiert und damit kein Konter darauf ist.

• ACCC prüft SpaceX/Cursor — Australiens Wettbewerbsbehörde nimmt die 60-Mrd.-$-Übernahme von Anysphere durch SpaceX unter die Lupe.

Quellen

Bun in elf Tagen von Zig auf Rust: Simon Willison — Rewriting Bun in Rust · Bun — Bun in Rust · Andrew Kelley — My thoughts on the Bun Rust rewrite

Claude Code: Changelog

Agentic Coding: Codex Changelog · Cursor Changelog · Ampcode Updates

Anthropics Compute- und Governance-Woche: CoinDesk — TeraWulf $19B Lease · Anthropic — Ben Bernanke joins the LTBT · Yahoo/Bloomberg — Apollo $35B Debt Package · SemiAnalysis — Anthropic 3Q26 Profit Over $1B

GPT-5.6 & Fable 5: OpenAI API Changelog · MarkTechPost — GPT-5.6 three-tier family · Forbes — Fable 5 credits · Android Authority — usage-based Fable 5

Chinas Backdoor-Vorwurf: CNBC — China calls Claude Code a backdoor · CBS News · Yahoo Tech — Alibaba bans Claude Code

Coding-Agenten & MCP: heise — Schwachstelle in Coding-Agenten über Symlinks · Noma Security — GitLost · The Hacker News — Friendly Fire · Cyber Security News — 4.982 Issues in 2.259 MCP Servers

Die Woche der Souveränitäts-Ansage: EU-Kommission — EU Action Plan on Cybersecurity and AI · heise — EU will KI-Sperren vorbeugen · Bundesrat — Plenarsitzung 10.7.2026 · heise — BSI publishes draft catalog · HASEPOST — Aleph Alpha × Cohere verzögert sich · Business Insider DE — Langdock Delaware-Flip

Trend der Woche: Addy Osmani — Own the Outer Loop · TechCrunch — Claude Cowork · Hackaday — Godot’s New Contributing Policy

Tipp der Woche: Simon Willison — sqlite-utils 4.0 mostly written by Claude Fable

Kurz notiert: TechCrunch — Fidji Simo steps down · Nextgov — Anthropic taps Teresa Carlson · TechCrunch — Prime Intellect $130M · CNBC — OpenAI proposes US 5% stake · MLex — SpaceX-Anysphere ACCC review

Das war Agentic Weekly #014. Danke fürs Lesen — die nächste Ausgabe kommt am Samstag, 18. Juli 2026.

Hinter Agentic Weekly steckt Martin Gross: wöchentlich ein kompakter, meinungsstarker Überblick zu Agentic Engineering, Agentic Coding und Claude Code.

Hat dir die Ausgabe gefallen? Leite sie gerne weiter oder empfiehl den Newsletter. Fragen, Anmerkungen oder Kritik? Antworte einfach auf diese Mail oder hinterlasse einen Kommentar.

Noch kein Abo?

Jede Woche die vollständige Ausgabe mit allen Quellen, direkt in dein Postfach.

Auf blog.fluxum.net abonnieren

Fable 5 ist zurück, GPT-5.6 kommt nur für zwanzig Auserwählte, und OpenAI bietet Washington eine fünfprozentige Beteiligung an — in einer Woche wird sichtbar, wie eng Frontier-KI und Regierung inzwischen verwoben sind. Dazu ein neues Standardmodell zum halben Preis, mit Sternchen, und eine Open-Source-Stiftung, die zu alldem laut Nein sagt.

4. Juli 2026 · Lesezeit ~7 Min.

Der Staat und die Frontier-Modelle

Der Bogen, der sich seit Ausgabe #010 über drei Wochen zog, schließt sich: Fable 5 und Mythos 5 sind wieder freigeschaltet. Am 1. Juli hat Anthropic beide Modelle neu ausgerollt, nachdem die US-Regierung die am 12. Juni verhängte Exportkontrolle am 30. Juni aufgehoben hatte — per Brief von Handelsminister Howard Lutnick, nicht per Präsidentenerlass.

Der Preis der Rückkehr ist ein Rahmen. Anthropic veröffentlicht die Freigabe zusammen mit einem Jailbreak Severity Framework — einem Schema, das die Schwere eines „Jailbreaks” (einer Umgehung der Modell-Schutzmechanismen) an vier Kriterien misst: dem Fähigkeitszuwachs, dessen Breite, wie leicht er sich für einen Angriff nutzen lässt, und der Auffindbarkeit. Dazu kommt ein neuer Safety-Classifier gegen genau die von Amazon gemeldete Technik — Forscher hatten Fable 5 per Jailbreak dazu gebracht, Software-Schwachstellen aufzuspüren und in einem Fall Code zu schreiben, der zeigt, wie sich eine davon ausnutzen ließe. Denselben Prompt beantworten laut Anthropic auch schwächere Modelle wie Opus 4.8 oder GPT-5.5, weshalb man von routinemäßiger Defensive-Security-Arbeit spricht, nicht von einer versteckten Superfähigkeit. Der Classifier blockt die Technik nach Anthropics Angaben in über 99 % der Fälle. Mythos 5, die stärkere Variante, bleibt auf eine Reihe US-Organisationen beschränkt. Lutnick dazu: „I have determined that appropriate safeguards are in place to permit certain trusted partners to access the Claude Mythos 5 Model.” — man habe, so der Handelsminister, angemessene Schutzvorkehrungen festgestellt, um bestimmten vertrauenswürdigen Partnern Zugang zu Mythos 5 zu gewähren.

Zwei Labs, ein Muster. Es ist nicht bei Anthropic geblieben. Wenige Tage zuvor zeigte OpenAI eine erste Vorschau der GPT-5.6-Familie (Sol, Terra, Luna) — und zwar auf Wunsch der US-Regierung zunächst nur für rund zwanzig „trusted partner”-Organisationen, mit Verweis auf nationale Sicherheit. Wo das Regierungsmuster Fable erst nach dem Rollout traf und zurückdrehte, trifft es den nächsten großen Launch schon präventiv. Aus dem Einzelfall wird ein Verfahren.

Und der Staat will mehr als das Türschloss. In derselben Woche berichtet die Financial Times, OpenAI habe der US-Regierung angeboten, 5 % am Unternehmen zu übernehmen — bei einer Bewertung von 852 Mrd. $ (Rekordrunde im März) entspricht das rund 42,6 Mrd. $. Sam Altman wirbt für ein Modell nach dem Vorbild des Alaska Permanent Fund, jenes Fonds, der Alaskas Öl-Einnahmen als jährliche Dividende an die Einwohner ausschüttet — jedes führende US-KI-Labor solle denselben Eigenkapitalanteil einbringen. Die Gespräche mit Trump, Lutnick und Finanzminister Scott Bessent gelten als „konzeptuell”; ein Vollzug bräuchte womöglich ein Gesetz des Kongresses.

Drei Bewegungen, ein Befund: Der Staat gibt beim einen Anbieter ein Modell frei, hält beim anderen den nächsten Launch klein — und will sich an ebendiesem beteiligen. Frontier-KI ist in Washington von der regulierten Branche zum strategischen Aktivposten geworden — Zugang ist zur Verhandlungsmasse und Beteiligung zur Option geworden. Für alle, die auf diesen Modellen bauen, heißt das: Verfügbarkeit ist keine rein technische Größe mehr.

Sonnet 5: das neue Standardmodell — mit Sternchen

Am 30. Juni hat Anthropic Claude Sonnet 5 gestartet und zum Standardmodell für Free- und Pro-Nutzer gemacht. Native 1M Token Kontext, ein Einführungspreis von 2 $ / 10 $ pro Million Tokens (Ein- und Ausgabe) bis zum 31. August, danach 3 $ / 15 $. TechCrunch fasst den Launch als „cheaper way to run agents” — den günstigeren Weg, Agenten laufen zu lassen.

Das Sternchen liefert Simon Willison. Er zeigt, dass der neue Tokenizer — der Baustein, der Text in die abgerechneten Tokens zerlegt — rund 30 % mehr Tokens pro Text erzeugt: der reale Preis liegt beim 1,42-fachen für englischen Text und beim 1,28-fachen für Python-Code. Der Rabatt schrumpft, sobald man ihn gegen die tatsächliche Abrechnungseinheit hält.

Und der Praxistest fällt verhalten aus. Katie Parrott vom Every-Team fasst ihren „Vibe Check” so zusammen: Sonnet 5 könne kompetent entwerfen, coden und analysieren — aber „every use case has a cheaper, faster, or smarter alternative.” Für jeden Anwendungsfall gebe es etwas Billigeres, Schnelleres oder Klügeres. Ein günstigeres Default heißt nicht automatisch das beste Default.

Anthropic zieht die geheimen Marker aus Claude Code

Leiser, aber symbolträchtig: Anthropic entfernt die Steganographie-Marker aus Claude Code — versteckte Wasserzeichen, die im März in den System-Kontext eingebaut worden waren, um Missbrauch und Distillation nachzuweisen (Distillation = das Nachtrainieren eines eigenen Modells auf den Ausgaben eines fremden). Der Rückbau landete am 1. Juli per Pull Request. Thariq Shihipar, Ingenieur im Claude-Code-Team, begründet ihn mit „stronger mitigations since then” — man habe inzwischen bessere Schutzmechanismen.

Das Timing ist bemerkenswert: Es fällt in dieselbe Woche, in der Anthropic Alibaba den bislang größten bekannten Distillation-Angriff vorwirft (siehe #012). Der eine Verteidigungsweg wird also zurückgebaut, während der Vorwurf, genau davor schützen zu müssen, öffentlich verhandelt wird.

Claude Code: Die Highlights der Woche

Für alle, die Claude Code täglich nutzen

• Gestapelte Skill-Aufrufe — v2.1.199 lädt bei verketteten Slash-Befehlen (/skill-a /skill-b do XYZ) jetzt alle führenden Skills (bis zu fünf) auf einmal. Kleiner Handgriff, spürbarer Gewinn für alle, die mehrere Skills kombinieren.

• „Claude in Chrome” ist GA — die Browser-Integration verlässt mit v2.1.198 den Preview-Status und ist allgemein verfügbar.

Für Multi-Agent- und Automation-Workflows

• Subagents laufen jetzt standardmäßig im Hintergrund (v2.1.198), und Background-Agenten erstellen selbstständig einen Commit, laden ihn hoch und öffnen einen Draft-PR, statt vorher zu fragen. Die Richtung ist deutlich: Der Agent arbeitet weiter, ohne an jeder Weggabelung stehenzubleiben.

Für Sicherheits- und Team-Admins

• Default Permission Mode wechselt auf „Manual” — v2.1.200 stellt CLI, VS Code und JetBrains einheitlich so um, dass Aktionen wieder explizit bestätigt werden müssen. Ein bewusster Gegenzug zum autonomeren Verhalten oben.

• MCP-Sicherheits-Fix — v2.1.196 verhindert, dass sich selbst-genehmigte MCP-Server (Model Context Protocol, der Standard, über den Agenten externe Tools und Datenquellen anbinden) in nicht vertrauenswürdigen Workspaces automatisch starten. Dazu: org-weite Default-Modelle für Admins.

Agentic Coding

• Erstes Open-Weight-Modell in Copilot. GitHub nimmt Kimi K2.7 Code von Moonshot AI in den Modell-Picker auf — das erste frei herunterladbare Modell (Open-Weight = die Modellgewichte sind öffentlich verfügbar) überhaupt in Copilot. Rollout startet bei Pro, Pro+ und Max. Bemerkenswert, weil damit ein Open-Weight-Modell in ein Enterprise-Coding-Tool einzieht, das bislang proprietären Modellen vorbehalten war.

• Copilot-GA-Welle. Parallel schaltet GitHub eine Reihe kleinerer Bausteine frei: Vision GA, Browser-Tools in VS Code GA, Agent-Session-Streaming (Public Preview) und automatische Modellauswahl für Enterprises. Einzeln unspektakulär, in Summe eine hohe Release-Kadenz.

Trend der Woche: Der Trend teilt sich

Zwei Beobachtungen aus derselben Woche ziehen in entgegengesetzte Richtungen.

Gergely Orosz beschreibt nach Vor-Ort-Besuchen bei OpenAI, Anthropic und Cursor eine strukturelle Verschiebung: Cloud-Agenten seien zum Standardwerkzeug geworden — bei OpenAI nutzten laut seinem Bericht über 95 % der Non-Engineers den Coding-Agenten Codex statt ChatGPT. Der nächste große Hebel sei „Environments-Building für Agents”, also das Bauen von Umgebungen, in denen Agenten zuverlässig arbeiten können.

Aus der anderen Ecke kommt ein hartes Nein. Die Godot Foundation verbietet KI-generierten Code und KI-Text in Pull Requests und Kommunikation — die erste große Open-Source-Institution mit einer klaren Absage: „AI cannot take responsibility, and we can’t trust heavy users of AI to understand their code enough to fix it.” KI könne keine Verantwortung übernehmen, und man traue Vielnutzern nicht zu, ihren Code gut genug zu verstehen, um ihn zu reparieren.

Dazwischen liegt die eigentliche Frage: nicht ob, sondern wie viel Autonomie. Addy Osmani (Google) schlägt dafür ein sechsstufiges Raster von „Agentic Autonomy Levels” vor, mit Metriken wie der mittleren Zeit zwischen menschlichen Eingriffen. Und Kent Beck, Pionier des Test-Driven Development, bringt den Kern auf den Punkt: In der neuen Ära wachse das Vertrauen bei weitem nicht so schnell wie der Code selbst.

Tipp der Woche

Simon Willison zitiert einen Rat aus dem Claude-Code-Team, der in die Preisdebatte dieser Woche passt: teure Modelle für die Arbeit mit hohem Urteilsanteil reservieren, Routine-Coding per Anweisung an günstigere Subagents delegieren. Wer den Executor-Advisor-Gedanken ernst nimmt — ein starkes Modell entscheidet die Richtung, günstigere Modelle führen aus — spart Tokens schneller, als man erwartet.

Warum das hier steht: Sonnet 5 macht das billigere Modell zum Default, aber der Willison-Tokenizer-Fund zeigt, dass „billiger” trügt. Die Ersparnis liegt nicht im Modellpreis, sondern darin, welches Modell welche Aufgabe bekommt.

Kurz notiert

• Anthropics Recruiting-Serie geht weiter: Jelani Nelson, Chair der Computer Science Division im EECS-Department der UC Berkeley, nimmt eine Beurlaubung und wechselt als Member of Technical Staff zu Anthropic — nach Karpathy, Jumper, Adler und Pritzel der nächste prominente Zugang binnen weniger Wochen.

• Anthropic sondiert mit Samsung einen eigenen KI-Chip — Zweck, Server-Integration und Leistungsdaten noch offen. Passt in die Compute-Diversifizierung aus #012 (Micron-Deal, Broadcom-ASIC).

• Etched verlässt den Stealth-Modus mit funktionierendem Inferenz-Chip: insgesamt 800 Mio. $ Funding bei 5 Mrd. $ Post-Money-Bewertung, über 1 Mrd. $ an Kundenverträgen. Auf der Investorenliste stehen Karpathy, Hinton, Fei-Fei Li, Arthur Mensch und Scott Wu.

• „Agentjacking” breitet sich aus: Der Angriff kapert einen Agenten über eine manipulierte Tool-Anbindung. Die MCP-Vertrauens-Schwachstelle, die ursprünglich über Sentry Claude Code kompromittierte (85 % Erfolgsquote in Tests, 2.388 exponierte Organisationen), betrifft laut Update dieselbe Architektur bei Datadog, PagerDuty und Jira. Die Cloud Security Alliance stuft es inzwischen als systemische MCP-Schwachstellenklasse ein.

• X bietet jetzt einen gehosteten, read-only MCP-Server und reiht sich neben GitHub, Slack, Notion und Stripe ein — autonomes Posten ist nicht möglich.

Quellen

Der Staat und die Frontier-Modelle: Anthropic — Redeploying Fable 5 · Anthropic — Jailbreak Severity Framework · heise (EN) — US government lifts ban · OpenAI — GPT-5.6 Sol · VentureBeat — GPT-5.6 Preview · CNBC — OpenAI proposes 5% government stake · Forbes — OpenAI pitches US government 5% stake

Sonnet 5: Anthropic — Claude Sonnet 5 · TechCrunch — cheaper way to run agents · Simon Willison — Claude Sonnet 5 · Every — Vibe Check: Sonnet 5

Steganographie-Marker: The Register — Removing covert code

Claude Code: Changelog · v2.1.199 Release

Agentic Coding: GitHub Changelog — Kimi K2.7 in Copilot · GitHub Changelog

Trend der Woche: Pragmatic Engineer — Impressions from visiting OpenAI, Anthropic & Cursor · The New Stack — Godot bans AI coding agents · Addy Osmani — Agentic Autonomy Levels · Pragmatic Engineer — How Kent Beck shapes software

Tipp der Woche: Simon Willison — Judgement

Kurz notiert: AddisInsight — Jelani Nelson zu Anthropic · TechCrunch — Anthropic × Samsung Chip · DCD — Etched verlässt Stealth · Etched — Pressemitteilung (GlobeNewswire) · VentureBeat — Agentjacking spreads · TechCrunch — X MCP-Server

Das war Agentic Weekly #013. Danke fürs Lesen — die nächste Ausgabe kommt am Samstag, 11. Juli 2026.

Hinter Agentic Weekly steckt Martin Gross: wöchentlich ein kompakter, meinungsstarker Überblick zu Agentic Engineering, Agentic Coding und Claude Code.

Hat dir die Ausgabe gefallen? Leite sie gerne weiter oder empfiehl den Newsletter.

Samstag, 27. Juni 2026 — Lesezeit: ~10 Min.

Die große Nachricht der Woche

Anthropic beziffert den „größten bekannten Distillation-Angriff” — und zeigt nach China

Am 24. Juni macht Bloomberg einen Brief öffentlich, den Anthropic schon am 10. Juni an den US-Senatsausschuss für Banken (Senate Committee on Banking, Housing, and Urban Affairs) geschickt hatte — an dessen Vorsitzenden Tim Scott (Republikaner, South Carolina) und die ranghöchste Demokratin Elizabeth Warren (Massachusetts). Der Vorwurf: Ein mit Alibaba und dessen KI-Labor Qwen verbundener Akteur habe den nach Anthropics Worten „größten bekannten Distillation-Angriff” auf Claude gefahren.

Die Zahlen sind ungewöhnlich konkret. Zwischen dem 22. April und dem 5. Juni sollen rund 25.000 Fake-Accounts insgesamt 28,8 Millionen Dialoge mit Claude geführt haben — gezielt auf die laut Brief wertvollsten Fähigkeiten des Modells: „agentic reasoning, software engineering, and long-horizon tasks”, also eigenständiges Schlussfolgern, Programmieren und das Abarbeiten langer Aufgabenketten.

Distillation meint dabei, ein eigenes Modell auf den Ausgaben eines fremden nachzutrainieren — Datendiebstahl im industriellen Maßstab: Man erntet die Antwortmuster des Originals, statt von Grund auf selbst zu trainieren. Anthropics Verdacht: Das geerntete Material floss in Qwen. Alibaba wollte sich nicht äußern und wies den Vorwurf pauschal zurück; die Aktie gab am Tag der Meldung über drei Prozent nach.

Neu ist die Größenordnung, nicht das Muster. Schon im Februar hatte Anthropic drei „industrial-scale”-Kampagnen aus China benannt — DeepSeek, Moonshot und MiniMax. Der Alibaba-Fall liegt nach eigener Darstellung um Größenordnungen darüber.

Warum das relevant ist: Anthropic verlagert den Modellschutz von der Technik in die Politik — der Brief geht nicht an die eigene Rechtsabteilung, sondern an einen Senatsausschuss, und er liefert die Munition für die These, die das Lab seit Wochen vertritt: Spitzenmodelle sind nationale Vermögenswerte, und China greift sie systematisch ab. Dieselbe These trägt die Modell-Sperre der letzten beiden Ausgaben — nur dass der Vorwurf diesmal mit 28,8 Millionen Datenpunkten unterlegt ist statt mit einer anonymen Geheimdienstquelle.

Anthropic zieht in Slack ein — Claude Tag

Am 23. Juni stellt Anthropic Claude Tag vor: einen persistenten Claude, der direkt in Slack-Kanälen lebt. Per @Claude angesprochen, baut er Kontext aus dem Kanalverlauf auf, arbeitet Aufgaben asynchron mit eigener Planung ab und meldet sich proaktiv zurück — Anthropic nennt das „ambient behavior”. Die Beta läuft auf Opus 4.8 und ist Enterprise- und Team-Kunden vorbehalten; Admins steuern Token-Limits auf Organisations- und Kanal-Ebene.

Eine Eigenangabe lässt aufhorchen: Laut Anthropic stammen 65 Prozent des Codes des eigenen Produktteams aus der internen Claude-Tag-Version (unbestätigte Herstellerzahl). Die alte „Claude in Slack”-App wird zum 3. August abgeschaltet, mit 30 Tagen Migrationsfenster.

Warum das relevant ist: Claude Code hat Anthropic im Terminal verankert; Claude Tag öffnet die zweite Front im Chat-Tool der Wissensarbeiter. Anthropic geht damit nicht tiefer, sondern breiter: vom Coding-Werkzeug zum dauerhaften Teammitglied.

Update Mythos/Fable: Der Ton kippt, der Stand bleibt

Drei Wochen nach dem Export-Stopp für Anthropics Spitzenmodelle Mythos 5 und Fable 5 bewegt sich viel und ändert sich nichts. Im Axios-Interview vom 20. Juni nennt Donald Trump Anthropic und Dario Amodei „nicht mehr” ein nationales Sicherheitsrisiko — die Direktive selbst bleibt unangetastet. Eine vom 18. Juni datierte Frist für Handelsminister Howard Lutnick, vier überparteilichen Abgeordneten die Sperre schriftlich zu begründen, verstrich am 26. Juni ohne öffentliche Reaktion.

Dazwischen ein kurzes Aufflackern: Am 25. Juni kursiert auf X das Gerücht, Fable 5 sei zurück — ausgelöst durch einen Anzeige-Bug in Claude Code v2.1.190, der das Modell samt Wochenlimit-Texten im Model-Picker zeigte. Anthropic dementierte umgehend, unter anderem über Wachstumschef Amol Avasare: kein Traffic, das Modell bleibt offline.

Anthropic verlangt jetzt seinerseits Ausweise. Zum 8. Juli tritt eine aktualisierte Datenschutzrichtlinie in Kraft: Für eine „kleine Untergruppe verdächtiger Nutzer” werden ein Foto-Ausweis plus Live-Selfie fällig, abgewickelt über den Thiel-finanzierten Identitätsdienst Persona — und die Daten werden nicht sofort gelöscht. Betroffen sind nur Free-, Pro- und Max-Konten, nicht Team, Enterprise oder API. Für die europäische Zielgruppe ist das die nächste DSGVO-Baustelle: biometrische Verifikation bei einem US-Anbieter, dessen Spitzenmodelle hier ohnehin gesperrt sind.

Und die Geheimdienste melden sich. Am 23. Juni veröffentlichen die sechs Cyber-Behörden der Five-Eyes-Allianz (USA, Großbritannien, Kanada, Australien, Neuseeland — darunter NSA, CISA und das britische NCSC) eine seltene gemeinsame Erklärung: Frontier-KI werde die Cyber-Bedrohungslage „in Monaten, nicht Jahren” verschieben, Regierungen und Unternehmen sollten „jetzt handeln”. Eine konkrete Modell-Zuordnung vermeidet das Papier — die parallel kursierende Behauptung, Mythos habe in einem Test NSA-Systeme geknackt, ließ sich gegen die Primärquelle nicht erhärten.

Warum das relevant ist: Drei Bewegungen, eine Linie — Politik, Anbieter und Sicherheitsapparat verhandeln gerade neu, was ein Spitzenmodell wert ist und wem man es anvertrauen darf. Die Verfügbarkeit bleibt, was sie in #011 wurde: eine politische Variable.

Die Labs greifen nach eigener Hardware

Innerhalb einer Woche zeigen drei Deals dasselbe Muster: Wer Modelle baut, will die Schicht darunter kontrollieren.

Qualcomm kauft Modular (24. Juni) für rund 3,92 Milliarden Dollar in Aktien. Modular, 2022 vom LLVM- und Swift-Schöpfer Chris Lattner mitgegründet, liefert die Sprache Mojo und die Inference-Engine MAX — einen herstellerneutralen Compiler-Layer, der denselben KI-Code über Nvidia-, AMD- und Custom-Chips laufen lässt. Das ist ein direkter Angriff auf CUDA, Nvidias proprietären Software-Stack, der die GPU-Welt zusammenhält. Meta und Microsoft sind bereits als Kunden gelistet.

OpenAI und Broadcom enthüllen am selben Tag „Jalapeño”, OpenAIs ersten eigenen Inferenz-ASIC (einen für genau einen Zweck gefertigten Chip). Broadcom-Chef Hock Tan verspricht rund 50 Prozent geringere Kosten gegenüber üblichen KI-GPUs; erste Auslieferungen sind für Ende 2026 geplant.

Micron und Anthropic schließen einen Vier-Säulen-Deal (22. Juni): Co-Design für Speicher (HBM, der schnelle Stapelspeicher direkt neben dem Rechenkern), mehrjährige Lieferzusagen, Claude-Rollout bei Micron und eine Beteiligung an Anthropics Series H. Damit haben alle drei großen HBM-Hersteller — Micron, Samsung, SK Hynix — in Anthropic investiert.

Warum das relevant ist: Der Engpass der nächsten Phase ist nicht das Modell, sondern Rechenchip und Speicher darunter. Wer dort nur mietet, zahlt die Marge der Lieferanten — also kaufen sich die Labs gerade in den Stack ein, von der Compiler-Schicht bis zum Speicherriegel.

Claude Code: Die Highlights der Woche

Vier substanzielle Releases in sieben Tagen — von v2.1.187 bis v2.1.195.

Für Security- und Team-Admins

v2.1.187 — sandbox.credentials (23. Juni) — Ein neues Setting hindert sandboxed Bash-Befehle daran, Credential-Dateien und geheime Umgebungsvariablen zu lesen. Organisationsweite Modell-Restriktionen werden zudem durchgängig erzwungen — im Model-Picker, bei --model, /model und ANTHROPIC_MODEL —, und Remote-MCP-Aufrufe ohne Antwort brechen nach fünf Minuten ab.

v2.1.193 — Auto Mode härter, OTel-Falle (25. Juni) — Das neue autoMode.classifyAllShell schickt alle Shell-Befehle durch den Prüfer des Auto Mode (in dem Claude selbst entscheidet, welche Aktionen ohne Rückfrage durchlaufen dürfen) statt nur die offensichtlich riskanten. Wichtig für Observability-Teams: Ein neues OTel-Log-Event (OTel = OpenTelemetry, der offene Standard für Telemetriedaten) protokolliert künftig auch den Antworttext des Modells — und wer bereits Prompts mitschreibt, schreibt nach dem Upgrade ungefragt die Antworten mit, solange OTEL_LOG_ASSISTANT_RESPONSES=0 nicht gesetzt ist. Vor dem Update lesen.

Für alle, die Claude Code täglich nutzen

v2.1.191 — /rewind über /clear hinaus, 37 % weniger CPU (24. Juni) — /rewind stellt jetzt auch Gesprächsstände von vor einem /clear wieder her. Gleichzeitig sinkt der CPU-Verbrauch beim Streaming um rund 37 Prozent, weil Text-Updates auf 100-Millisekunden-Takte gebündelt werden — spürbar in langen Sessions.

Für Hook- und Multi-Agent-Workflows

Hook-Matcher werden zuverlässig (v2.1.191 + v2.1.195) — Zwei Fixes in Folge: v2.1.191 repariert komma-getrennte Matcher ("Bash,PowerShell" feuerten zuvor stillschweigend gar nicht), v2.1.195 (26. Juni) stellt Matcher mit Bindestrich-Namen wie code-reviewer oder mcp__brave-search von Teil- auf exakten Abgleich um. Wer solche Matcher nutzt, sollte seine Hook-Konfiguration nach dem Update einmal gegenprüfen.

Agentic Coding

Microsofts Doppelschritt — GitHub fährt diese Woche zwei Strategien parallel. Einerseits öffnet die Copilot-Desktop-App BYOK (23. Juni; „Bring Your Own Key” — den eigenen Modellschlüssel mitbringen), darunter für OpenAI, Azure, Ollama und Anthropic: Der Nutzer entkoppelt sich vom vorgegebenen Modell. Andererseits stellt Microsoft am 26. Juni mit MAI-Code-1-Flash ein eigenes Coding-Modell (5 Milliarden Parameter) für Copilot Business und Enterprise daneben — laut Microsoft 16 Punkte besser auf SWE-bench Pro (einem Benchmark realer Programmieraufgaben) als Haiku 4.5, bei bis zu 60 Prozent weniger Tokens. Im Wochentakt kamen außerdem: ein neues Terminal-Interface für die Copilot CLI (23. Juni), Copilot für Jira wird allgemein verfügbar (25. Juni), und GitHub Desktop 3.6 bekommt endlich Git-Worktree-Support — mehrere parallele Arbeitskopien eines Repos, wichtig für nebenläufige Agent-Sessions.

Codex Remote wird GA (25. Juni) — OpenAIs Coding-Agent lässt sich jetzt aus der ChatGPT-Mobile-App per QR-Code mit einem Mac- oder Windows-Rechner koppeln und von dort steuern; ein DigitalOcean-Plugin provisioniert auf Wunsch automatisch einen Server. Der Agent verlässt die IDE Richtung Smartphone.

Cursor 3.9 (22. Juni) bündelt Plugins, Skills, MCPs, Subagents und Hooks auf einer zentralen Customize-Seite samt Team-Marktplatz — derselbe „Extension-Layer wird Standard”-Zug, den auch Cline und Antigravity gerade fahren. Drei kürzere Bewegungen am Rand: Cognition führt Windsurf als Devin Desktop weiter (v3.3.18 zeigt jetzt den ACU-Verbrauch an), die Antigravity CLI liefert in 1.0.10–1.0.12 ARM64-Support und neue Launch-Flags nach, und Xcode 26.6 holt sich Google Gemini als Programmierassistenten ins Haus.

Trend der Woche

Slow down to speed up

Die Engineering-Reflexion der Woche kommt von Gergely Orosz (Pragmatic Engineer): Erst die Modelle vom November 2025 hätten Agenten „genuinely useful” gemacht — und die Adoptionszahlen seien steil. Teams mit AI-Agenten lieferten rund fünfmal mehr Pull Requests als vor zwei Jahren, einzelne Entwickler 2,5-mal mehr Code. Selbst DHH (David Heinemeier Hansson, Schöpfer von Ruby on Rails), noch im Sommer 2025 entschiedener Verweigerer, räumt ein, sein Widerstand habe schlicht daran gelegen, dass die Modelle damals „not good enough” waren.

Der Gegenbeat kommt von Stack Overflow, das seine Developer Survey 2026 öffnet — pointiert „for human developers only”. Die Agenten-Nutzung hat sich binnen eines Jahres fast verdoppelt (von 31 auf 59 Prozent), aber 63 Prozent lassen sie „selten oder nie” ohne Aufsicht laufen. Mehr Entwickler nutzen KI — und weniger vertrauen ihr blind. Den Schatten über den Zahlen setzt Orosz selbst: der jüngste Security-Vorfall bei Meta als Mahnmal, dass Tempo ohne Leitplanken kippt.

Tipp der Woche

Cloudflare „Temporary Accounts for AI Agents” — Mit npx wrangler deploy --temporary lässt sich ein Cloudflare-Workers-Projekt für 60 Minuten ins Netz stellen, ganz ohne Konto; ein Claim-Link reicht das Deployment später einem echten Account nach. Cloudflare selbst: „you can now create a Cloudflare Workers project and run this, without even creating a Cloudflare account.” Warum das hier steht: Es ist ein kleines, konkretes Infrastruktur-Primitiv für genau das Problem, das Multi-Agent-Setups gerade umtreibt — ephemere, wegwerfbare Deployments, die ein Agent selbst anlegen kann, ohne dass vorher jemand ein Konto und Zugangsdaten einrichtet.

Kurz notiert

• Google-Exodus, Akt II (24. Juni) — Mit Jonas Adler (Google AI) und Alexander Pritzel (DeepMind, Gemini-Pretraining) wechseln zwei weitere Schlüsselleute zu Anthropic — Teil der Welle, die mit Noam Shazeers Abgang zu OpenAI begann und Alphabet am 22. Juni 7,2 Prozent kostete. DeepMind-Chef Demis Hassabis kontert: „We win our fair share of the top talent.” Nach John Jumper in #011 der nächste prominente Zugang.

• OpenAI erwägt IPO-Verschiebung auf 2027 (25./26. Juni) — Laut New York Times macht der SpaceX-Kurssturz die Berater nervös; die Aktie verlor binnen sechs Tagen 31 Prozent vom Hoch. Morgan Stanley und Goldman gaben am 26. Juni jeweils über 4 Prozent nach — aus Sorge um die ausbleibenden IPO-Gebühren.

• Anthropic und Meta heuern weiter an — Anthropic holt Steve Jarrett (zuvor Chief AI Officer bei Orange) nach Paris für den Europa- und Afrika-Markt; Meta übernimmt per Acqui-Hire die drei Gründer von Virtue AI (AI-Security) ins Superintelligence-Lab.

• Der Souveränitäts-Reflex hält an — Cohere-KI-Chefin Joelle Pineau sagt, das Telefon klingele „durchgehend”; in Berlin holt Langdock (über 10.000 Firmenkunden) Investorin Judith Dada als Co-CEO an Bord.

• Prompt Injection, zweimal — Ein neues Paper („Prompt Injection as Role Confusion”) zeigt, dass Modelle privilegierten Text nur am Stil erkennen: Entfernt man den, fällt die Angriffsquote von 61 auf 10 Prozent. Passend dazu nutzt die macOS-Schadsoftware Gaslight erstmals Prompt Injection gegen die KI-gestützte Schadcode-Analyse selbst.

• Satire zum Wochenschluss — Andrew Nesbitts fiktiver „Incident Report: CVE-2026-LGTM” beschreibt, wie sich zwei konkurrierende AI-Review-Agenten in eine Eskalationsschleife reden. Näher an der Realität, als einem lieb ist.

Quellen

Die große Nachricht der Woche: Bloomberg — Anthropic accuses Alibaba · CNBC · Tom’s Hardware · Decrypt · The Next Web

Claude Tag: Anthropic — Introducing Claude Tag · heise — Delegieren statt chatten · TechCrunch · The New Stack · Bloomberg

Update Mythos/Fable: Globe and Mail — Verhandlungen · TechTimes — Trump softens, directive stands · explainx — Is Fable 5 Back? · heise — Anthropic may require an ID · Dr. Web — Ausweis und Selfie · Euronews — Five Eyes „months not years” · CNN — Five Eyes warning

Die Labs greifen nach eigener Hardware: CNBC — Qualcomm kauft Modular · Modular Blog · OpenAI — Jalapeño · Tom’s Hardware — Jalapeño · Micron IR — Micron + Anthropic · HPCwire

Claude Code: Changelog · GitHub Releases

Agentic Coding: GitHub Changelog — BYOK in Desktop App · MAI-Code-1-Flash für Enterprise · Copilot CLI GA · Copilot für Jira GA · GitHub Desktop 3.6 · OpenAI Codex Changelog · Cursor Changelog 3.9 · Devin Desktop Changelog · Antigravity CLI Releases · heise — Xcode 26.6 + Gemini

Trend der Woche: Pragmatic Engineer — Slow down to speed up · Stack Overflow Blog — Survey 2026

Tipp der Woche: Simon Willison — Temporary Cloudflare Accounts

Kurz notiert: Bloomberg — Adler & Pritzel zu Anthropic · CNBC — Shazeer zu OpenAI · Semafor — Hassabis-Counterpoint · Bloomberg — OpenAI leans toward 2027 IPO · Bloomberg — Morgan Stanley/Goldman fallen · Al Jazeera — SpaceX-Sell-off · Reuters via Yahoo — Steve Jarrett zu Anthropic · Axios — Meta acqui-hired Virtue AI · IT-Journal — Pineau „Telefon klingelt durchgehend” · Sifted — Judith Dada Co-CEO Langdock · Simon Willison — Prompt Injection as Role Confusion · SentinelOne Labs — macOS.Gaslight · Andrew Nesbitt — CVE-2026-LGTM

Das war Agentic Weekly #012. Danke fürs Lesen — die nächste Ausgabe kommt am Samstag, 4. Juli 2026.

Hinter Agentic Weekly steckt Martin Gross: wöchentlich ein kompakter, meinungsstarker Überblick zu Agentic Engineering, Agentic Coding und Claude Code.

Hat dir die Ausgabe gefallen? Leite sie gerne weiter oder empfiehl den Newsletter. Fragen, Anmerkungen oder Kritik? Antworte einfach auf diese Mail oder hinterlasse einen Kommentar.

Dienstag, 23. Juni 2026 — Lesezeit: ~10 Min.

Die große Nachricht der Woche

Die Fable-Folgewoche — von „Modelle offline” zum Verhandlungs-Endspiel

Die Trilogie aus #010 — Launch, heimliche Sabotage, Export-Stopp — ist erzählt. Diese Woche zeigt, was danach passiert: Aus einem technischen Sicherheitsstreit ist ein geopolitischer geworden, und am Wochenende kippt der Ton, ohne dass sich der Stand ändert. Vier Strömungen verzahnen sich.

Die neue Begründung — der China-Strang (15. Juni). Semafor liefert eine zweite Lesart der Sperre: Ein China-naher Akteur habe Zugriff auf Mythos gehabt, Amazons Sicherheitsteam habe daraufhin Exploits — also funktionierende Angriffe — für vier verbreitete Apps erzeugen lassen und Finanzminister Bessent informiert. Das rahmt die Direktive nicht mehr nur als Jailbreak-Sorge, sondern als konkrete Spionage-Hypothese. Wichtig zur Einordnung: Die Kernbehauptung stützt sich auf eine anonyme Geheimdienstquelle, eine unabhängige Bestätigung steht aus. heise greift den Strang auf, ohne ihn zu erhärten.

Die G7-Antwort — Évian-les-Bains (17. Juni). Beim AI-Working-Lunch mit Donald Trump fordern Dario Amodei (Anthropic) und Demis Hassabis (Google DeepMind) eine US-geführte KI-Koalition mit „structured access to frontier models” — also geregeltem Zugang zu Spitzenmodellen für verbündete Staaten. Emmanuel Macron formuliert die Gegenposition Europas am schärfsten — sinngemäß: Niemand werde US-KI kaufen, die sich jederzeit abschalten lasse.

Die G7 bringen einen „Trusted Partners”-Mechanismus ins Gespräch — ein Verfahren, das geprüften Partnerstaaten verlässlichen Modellzugang garantieren soll.

Der Anthropic-Pivot — Seoul (17./18. Juni). Sechs Tage nach dem Export-Stopp gegen ausländische Nutzer eröffnet Anthropic unter KiYoung Choi sein drittes APAC-Büro nach Tokio und Bengaluru, mit Großkunden wie NAVER, Samsung SDS, LG CNS und Nexon. Eine Expansion in fremde Märkte, während die eigenen Modelle für genau deren Bürger gesperrt sind — Optik mit Doppelboden.

Das Verhandlungs-Endspiel — und die Ton-Wende am Wochenende. Anthropics International-Chef Chris Ciauri sagt in Seoul, man sei „very confident”, dass die Modelle „in den kommenden Tagen” wieder verfügbar seien; Globe and Mail berichtet parallel von laufenden Gesprächen zwischen Anthropic und Trump-Officials. Am 20. Juni kippt der Ton: Auf die Frage, ob Anthropic eine Gefahr für die nationale Sicherheit sei, antwortet Trump:

„Well, not now, but a week ago, maybe.”

Sinngemäß: jetzt nicht mehr, vor einer Woche vielleicht. Entscheidend ist der Unterschied zwischen Ton und Stand: Die Direktive bleibt in Kraft, Fable 5 und Mythos 5 bleiben auch am Dienstag (23. Juni) offline — die von Ciauri in Aussicht gestellten „kommenden Tage” sind verstrichen, der Stand ist unverändert. Und die eigene Branche stellt sich quer: Schon am 15. Juni forderten über 80 Cybersecurity-Führungskräfte, darunter von NVIDIA und Adobe, in einem offenen Brief an Handelsminister Howard Lutnick und National Cyber Director Sean Cairncross die Aufhebung der Sperre.

Während die Modelle offline sind, baut Anthropic personell weiter: John Jumper — Chemie-Nobelpreisträger 2024 und AlphaFold-Lead — verlässt nach rund neun Jahren Google DeepMind und geht zu Anthropic; Hassabis dankt für eine „extraordinary partnership”. Nach dem Karpathy-Wechsel der nächste Spitzen-Zugang mitten in der Krisenwoche.

Warum das relevant ist: Der Stand nach einer Woche ist nicht Eskalation, sondern Hängepartie — verhandelt wird hinter den Kulissen, der Ton wird weicher, die Sperre bleibt. Für jeden außerhalb der USA heißt das: Die Verfügbarkeit eines Spitzenmodells ist jetzt eine politische Variable, kein Vertragsdetail. Genau diese Unsicherheit treibt die beiden anderen Geschichten der Woche — den deutschen Souveränitäts-Reflex und die Bewegungen der Konkurrenz.

SpaceX kauft Cursor für 60 Milliarden Dollar

Es ist die größte Übernahme in der Geschichte des Developer-Toolings. Am 16. Juni kündigt SpaceX an, Anysphere — die Firma hinter dem KI-Coding-Editor Cursor — für 60 Milliarden Dollar zu übernehmen. Der Deal ist ein All-Stock-Deal (reine Aktien, kein Bargeld): Alle Anysphere-Anteile werden in SpaceX-Class-A-Aktien getauscht. Abschluss erwartet im dritten Quartal 2026, vorbehaltlich der Regulierungsfreigabe.

Die Vorgeschichte erklärt den Preis. SpaceX hatte sich im April 2026 das Recht gesichert, Cursor für 60 Milliarden Dollar in Aktien zu übernehmen — oder eine Abstandszahlung von 10 Milliarden Dollar zu leisten, falls der Deal platzt. Gezogen wird die Option jetzt, vier Tage nach SpaceX’ Börsengang an der Nasdaq: Die Aktie ging zu 135 Dollar an den Start und schoss in den ersten Handelstagen steil nach oben — erst dieser Wertzuwachs macht den Aktien-Deal überhaupt rechenbar. Anysphere war zuvor mit rund 29 Milliarden Dollar bewertet.

Strategisch ist das ein Markteintritt. SpaceX, im Februar mit xAI verschmolzen, war im Agentic Coding bisher nur über das Grok-Modell und die junge Grok-Build-Kommandozeile präsent (erstmals in #006). Mit Cursor kauft sich der Konzern auf einen Schlag den meistgenutzten KI-Editor — und das Modell darunter, dessen schnelles, günstiges Composer 2.5 schon im Mai den Preisbruch in der Branche ausgelöst hatte.

Passend dazu liefert Cursor in derselben Woche Version 3.8: ein /automate-Skill, der lokale Agent-Sessions automatisiert, neue Trigger über GitHub und Slack, und „Computer Use” für Cloud-Agenten — die Fähigkeit, eine grafische Oberfläche selbst zu bedienen, um etwa Demos oder Artefakte zu erzeugen. Und xAIs Grok Build bekommt ein Agent-Dashboard, das mehrere parallele Kommandozeilen-Sessions aus einem Terminal heraus überwacht — der Schritt von der einzelnen Session zur Mehr-Agenten-Übersicht.

Warum das relevant ist: In derselben Woche, in der ein Lab seine Spitzenmodelle per Regierungsanordnung vom Netz nimmt, kauft ein anderer Konzern die Werkzeugschicht darüber für eine Rekordsumme. Anthropic im Clinch mit der Regierung vor dem eigenen IPO, SpaceX frisch an der Börse und sofort auf Einkaufstour. Gleiche Woche, entgegengesetzte Kapitalmarkt-Logik.

Was die deutsche Reaktion zeigt

Während international verhandelt wird, zeigt Deutschland, was der Stopp politisch auslöst. Innenminister Alexander Dobrindt warnt, man gehöre „sehr schnell zu den Opfern”, und verweist auf BSI-Präsidentin Plattner und die „Umwälzungen im Umgang mit Sicherheitslücken”. Deutschland war in Gesprächen mit Anthropic, bekam aber keinen Mythos-Zugang — die erste hochrangige Bundesregierungs-Stimme zum Fall.

Die Wissenschaft ordnet ein: Das Science Media Center versammelt acht KI-Professorinnen und -Professoren. Gitta Kutyniok (LMU) fordert einen „Airbus-Moment für KI” — ein europäisches Großprojekt nach dem Vorbild des Flugzeugbauers. Paul Röttger (Oxford) hält dagegen: lieber vertraglich gesicherter Zugang als teure Eigenentwicklung. Andreas Hotho (Würzburg) ergänzt nüchtern, dass „andere frei verfügbare Modelle ähnlich gut” Schwachstellen finden können. Bitkom und OSBA stehen auf Röttgers Seite — mit schärferer Sprache: Wintergerst nennt die Abhängigkeit vom „US-Regierungs-Wohlwollen” untragbar, Ganten sieht Open Source als einzige nicht-entziehbare Antwort. Aus Brüssel meldet sich Thomas Regnier, Kommissionssprecher für technologische Souveränität: Maßnahmen dürften „nicht diskriminierend gegenüber Partnern” sein.

Databricks veröffentlicht Omnigent als Open Source

Abseits der Politik kam diese Woche die eigentliche Engineering-Nachricht: Databricks stellt Omnigent unter Apache-2.0-Lizenz frei. Omnigent ist ein Meta-Harness — eine herstellerneutrale Steuerungsschicht, die über mehreren Agenten-Werkzeugen wie Claude Code, Codex und eigenen Agenten liegt. Konfiguriert wird per YAML; das Framework bringt Ausführungs-Runner, Sandboxing und einheitliche Richtlinien für Kosten, Umgang mit personenbezogenen Daten und Risiko-Bewertung mit. Ein Modellwechsel ist laut Databricks eine „single line modification” — eine einzige geänderte Zeile.

Das „Der Harness wird zum Schlachtfeld”-Narrativ aus #007 bekommt damit eine Open-Source-Antwort: Nicht der Anbieter besitzt die Steuerungsschicht, sondern eine neutrale Konfiguration, die zwischen den Anbietern wechselt. Die technische Entsprechung zur Souveränitäts-Debatte eine Sektion höher: Wer die Steuerungsschicht kontrolliert, ist nicht mehr abschaltbar.

Claude Code: Die Highlights der Woche

Mehrere Releases zwischen 15. und 22. Juni, von v2.1.178 bis v2.1.186.

Für Multi-Agent- und Skill-Workflows

v2.1.178 — Agent-Teams umgebaut, neue Permission-Syntax (15. Juni) — TeamCreate/TeamDelete sind weg; Teammates werden jetzt direkt über Agent(name:…) angesprochen. Neu ist eine feinere Berechtigungs-Syntax Tool(param:value) — etwa Agent(model:opus), um den Einsatz eines bestimmten Modells gezielt zu sperren. Außerdem laden verschachtelte .claude/skills-Ordner jetzt zuverlässig — das schließt die Lücke aus dem Plugin-Autoloading der letzten Wochen.

Für alle, die Auto Mode produktiv nutzen

v2.1.183 — destruktive Befehle im Auto Mode geblockt (19. Juni) — Auto Mode (Claude entscheidet selbst, welche Aktionen unkritisch sind und keine Rückfrage brauchen) bekommt sein erstes Sicherheits-Hardening: git reset --hard, checkout -- ., clean -fd, stash drop sowie terraform/pulumi/cdk destroy werden ohne explizite Anweisung nicht mehr ausgeführt. Genau die Art von Leitplanke, die man sich wünscht, sobald man Auto Mode aus der Tokyo-Demo wirklich auf ein Repo loslässt. (attribution.sessionUrl-Setting und WebSearch-Fixes in Sub-Agenten kommen in demselben Release mit.)

Für den Alltag

v2.1.181 — /config key=value aus dem Prompt, Bun-Runtime auf 1.4 (17. Juni) — Konfiguration lässt sich jetzt direkt aus dem Prompt setzen; dazu ein Prompt-Caching-Fix für eigene API-Endpunkte und ein Schutz gegen 0-Byte-Dateien auf Netzlaufwerken. Der Patch v2.1.185 (20. Juni) formuliert nur den Hinweis bei hängendem Antwort-Stream ruhiger um und hebt das Timeout von 10 auf 20 Sekunden. v2.1.186 (22. Juni) legt nach: claude mcp login/logout meldet MCP-Server direkt aus der Kommandozeile an (ohne /mcp-Menü, per --no-browser auch über SSH), und Bash-Ausgaben lösen jetzt automatisch eine Claude-Antwort aus (respondToBashCommands: false schaltet es ab).

Billing-Umstellung verschoben (16. Juni) — Und eine Nachricht mit Politik-Beigeschmack: Anthropic verschiebt die geplante Abrechnungs-Umstellung. claude -p, das Agent SDK und Drittanbieter-Apps bleiben vorerst im Abo statt nach Verbrauch abgerechnet zu werden. Als Gründe nennt the-decoder den Preisdruck durch OpenAI, die IPO-Sensibilität und die regulatorische Unsicherheit rund um die Modell-Sperre.

Agentic Coding

Codex CLI v0.141 und Record & Replay (18. Juni) — OpenAI baut die Fernsteuerung aus: Die CLI bekommt Remote Executors, also das Ausführen von Aufgaben auf entfernten Rechnern über verschlüsselte Kanäle, plattformübergreifend und mit MCP-Anbindung pro Thread (MCP ist der offene Standard, über den externe Werkzeuge an KI-Agenten angeschlossen werden). Parallel bringt die Codex-App „Record & Replay”: einen macOS-Workflow einmal aufzeichnen und in einen wiederverwendbaren Skill umwandeln. Das ist exakt dasselbe Muster wie Cursors /automate weiter oben — beide am selben Tag, beide „lokalen Ablauf aufnehmen → Skill”. Die Konvergenz ist die eigentliche Geschichte. Pikant für europäische Nutzer: Obwohl OpenAI Computer Use — die Voraussetzung für Record & Replay — schon am 16. Juni in die EU gebracht hat, bleibt das neue Feature selbst in EU, UK und der Schweiz vorerst gesperrt.

Cline v3.0.28 (19. Juni) — Die Open-Source-Front zieht nach: neues Onboarding mit auswählbaren Modellen, ein Katalog wiederverwendbarer Bausteine („Hub”), sofort wirkende Auto-Approve-Schalter und das Kürzen großer Tool-Ergebnisse fürs Kontext-Budget. Der Hub-Katalog ist die eigentliche Architektur-Ergänzung.

Trend der Woche

Wer das Vakuum füllt

Während Washington den Hahn zudreht, machen andere die Tür weiter auf — auf zwei Wegen. Den vertraglichen geht Mistral: CEO Arthur Mensch positioniert sich offensiv — Mistral stehe „outside of centralised control exercised by states or corporations”, Frankreich rollt Mistral-Werkzeuge für den Staatsdienst aus, das Lab verhandelt eine Bewertung im zweistelligen Milliarden-Euro-Bereich, und Cohere meldet „huge inbound”. Den offenen Weg geht China: Das Lab Z.ai veröffentlicht mit GLM-5.2 ein Open-Weights-Modell (nach Angaben des Labs 753 Mrd. Parameter, 1 Mio. Token Kontext, MIT-Lizenz) — genau in der Woche, in der die US-Regierung ein US-Spitzenmodell deaktiviert. Simon Willison hat es bereits angetestet.

Der offene Brief der 80 Sicherheitschefs gehört in dieselbe Bewegung: Diesmal ist es die US-Industrie selbst, die sich gegen die Abschalt-Logik der eigenen Regierung stellt. Die Frage der nächsten Monate ist nicht, ob das Vakuum gefüllt wird, sondern womit — mit vertraglich gesichertem Zugang, mit frei herunterladbaren Modellen, oder mit politischem Druck von innen.

Tipp der Woche

Sean Lynch über MCP — was das Protokoll wirklich leistet (19. Juni, via Simon Willison) — In einem Satz bringt Lynch die laufende „Skills vs. MCP”-Debatte auf den Punkt: „The real valuable capability MCP offers over skills/CLI is isolating the auth flow outside of the agent’s context window …” Sinngemäß: Der eigentliche Mehrwert von MCP gegenüber Skills oder einer reinen CLI liegt darin, die Anmeldung (den „Auth-Flow”) aus dem Sichtfeld des Agenten herauszuhalten. Warum das hier steht: Wer sich fragt, wofür man MCP überhaupt braucht, wenn Skills so vieles können, bekommt hier die schärfste Antwort in einem Absatz — MCP im Kern als Auth-Gateway.

SemiAnalysis — „RL Systems Mind the Gap” (16. Juni) — Für alle, die tiefer wollen: Das Stück erklärt, warum die Abstimmung von Trainer- und Generator-Durchsatz das zentrale Nadelöhr moderner RL-Pipelines (Reinforcement Learning, das Nachtrainieren von Modellen über Belohnungssignale) ist. Warum das hier steht: Es erklärt eine konkrete Industrie-Mechanik statt nur einen Trend — und damit, warum Post-Training so teuer ist.

Kurz notiert

• Refund-Frist abgelaufen (20. Juni, 23:59 PT) — Die anteilige Rückerstattung für Pro/Max/Team-Upgrades zwischen dem 9. und 14. Juni ist ohne gemeldete Verlängerung ausgelaufen.

• GitHub Copilot baut Budget-Werkzeuge (17./19. Juni) — Ein Blog-Beitrag erklärt besseres Model-Routing, mit dem Credits länger reichen; dazu kommt ein Feld ai_credits_used pro Nutzer in die Usage-Metrics-API. Beides zielt auf die Kostentransparenz, um die sich die Pricing-Debatte der letzten Wochen dreht.

Quellen

Die große Nachricht der Woche: Semafor — White-House-Move wegen China-Zugang zu Mythos · heise — Einordnung · CNBC — Amodei/Hassabis fordern US-Koalition · Fortune — G7 AI Sovereignty · The National — G7 Trusted Partners · Anthropic — Seoul wird drittes APAC-Büro · Korea JoongAng Daily — Ciauri · Globe and Mail — Verhandlungen + Open Letter · Benzinga — Trump „not now” · Al Jazeera — Allianz-Reaktionen · the-decoder — Jumper zu Anthropic

SpaceX kauft Cursor: TechCrunch — SpaceX to acquire Cursor for $60B · CBS News · AI Business — Agentic Coding · Cursor Changelog — 3.8 · xAI Build Changelog

Was die deutsche Reaktion zeigt: CIO.de — Dobrindt · Science Media Center — Expertenstimmen · Bitkom — Wintergerst · OSBA — Ganten · the-decoder.de — EU prüft Folgen

Databricks Omnigent: heise — Databricks Releases Omnigent as Open Source

Claude Code: Changelog · the-decoder.de — Anthropic verschiebt Billing-Umstellung

Agentic Coding: Codex Changelog · Codex Releases · the-decoder — Codex Record & Replay (EU/UK/CH gesperrt) · Cline Releases

Trend der Woche: Sifted — Mistral Sovereignty · GuruFocus — Mistral-Bewertung · Simon Willison — GLM-5.2

Tipp der Woche: Simon Willison — Sean Lynch zu MCP · SemiAnalysis — RL Systems Mind the Gap

Kurz notiert: TechTimes — Refund-Frist · GitHub Blog — Getting more from each token · GitHub Changelog — ai_credits_used

Das war Agentic Weekly #011. Danke fürs Lesen — die nächste Ausgabe kommt am Samstag, 27. Juni 2026.

Hinter Agentic Weekly steckt Martin Gross: wöchentlich ein kompakter, meinungsstarker Überblick zu Agentic Engineering, Agentic Coding und Claude Code.

Hat dir die Ausgabe gefallen? Leite sie gerne weiter oder empfiehl den Newsletter. Fragen, Anmerkungen oder Kritik? Antworte einfach auf diese Mail oder hinterlasse einen Kommentar.

Samstag, 6. Juni 2026 — Lesezeit: ~8 Min.

Die große Nachricht der Woche

Der KI-Coding-Layer formiert sich

An zwei aufeinanderfolgenden Tagen wird sichtbar, wie sich die Schicht, die Code schreibt, marktwirtschaftlich verfestigt: Anthropic bereitet den Gang an die Börse vor, Microsoft baut sich aus der Abhängigkeit von fremden Modellen heraus. Zwei Achsen lohnen den Blick.

Anthropic geht aufs Parkett — die Kapitalmarkt-Achse.

Am 1. Juni hat Anthropic vertraulich einen Entwurf der Form S-1 bei der SEC eingereicht — der erste Schritt eines möglichen Börsengangs. Die Mitteilung ist betont nüchtern (Rule 135): Zahl und Preis der Aktien stehen nicht fest, der Gang aufs Parkett „hängt von Marktbedingungen und anderen Faktoren ab” und wird erst nach Abschluss der SEC-Prüfung zur Option.

Die Größenordnung liefert die Berichterstattung, nicht Anthropic: Laut TechCrunch trägt die Firma die rund $965 Mrd. Bewertung aus der Series H (#008) in das Verfahren, und die Run-Rate ist von $9 Mrd. Ende 2025 auf über $47 Mrd. gesprungen. Das Bemerkenswerte ist weniger die Zahl als der Schritt selbst: Anthropic ist das erste Frontier-Lab, das den Weg an die öffentliche Börse formal eröffnet — vor OpenAI, vor xAI.

Microsoft baut sich um Agents herum — die Stack-Achse.

Auf der Build 2026 (2./3. Juni) stellt Microsoft sieben neue MAI-Modelle vor — und das Signal sitzt in der Positionierung. Das Coding-Flaggschiff MAI-Code-1-Flash ist ein bewusst kleines Modell (5 Mrd. aktive Parameter), das Microsoft als „comparable to Haiku but cheaper” beschreibt — also gegen Anthropics günstigstes Modell, nicht gegen die Spitze. Es ist im Copilot-Model-Picker in VS Code wählbar, vorerst als limitierter Rollout.

Das zieht sich durch die Modellfamilie: Das neue Reasoning-Modell MAI-Thinking-1 wird laut Microsoft „in blind side-by-sides” gegenüber Sonnet 4.6 bevorzugt — Anthropics Mittelklasse. Ein Head-to-Head gegen GPT-5.5, Opus 4.8 oder Gemini taucht nirgends auf. Microsoft baut hier kein Frontier-Modell, sondern die billige Arbeitspferd-Schicht: effizienz-first (das Excel-getunte MAI „matches GPT-5.4 while being up to 10× more efficient”), während die Spitze weiter eingekauft wird — Opus und GPT bleiben in Copilot wählbar.

Dazu zwei Bausteine, die zeigen, wie ernst der Umbau ist. Rayfin ist ein Open-Source-Backend-as-a-Service, mit dem Entwickler und Coding-Agents ein komplettes App-Backend in Code definieren und nach Microsoft Fabric deployen — Microsofts Brücke von „Vibe Coding” zur produktionstauglichen App (Launch-Partner: Replit). Und die GitHub Copilot App (Desktop-Preview) startet aus einer Idee heraus mehrere Agent-Sessions parallel. Nadella klammert das unter eine angekündigte „Copilot Super App” aus Chat, Cowork und Code.

Warum das relevant ist: CNBC brachte die Woche auf die Formel, Microsoft und Google seien „late to AI coding” — und genau das adressiert Build. Microsoft reduziert mit eigenen Modellen die Abhängigkeit von OpenAI und Anthropic, ohne den Anspruch zu erheben, die Frontier zu schlagen; die Strategie ist Kosten und Kontrolle, nicht Capability-Maximierung.

Project Glasswing skaliert auf kritische Infrastruktur

Am 2. Juni weitet Anthropic Project Glasswing drastisch aus: rund 150 neue Organisationen in mehr als 15 Ländern kommen hinzu — Power, Water, Healthcare, Communications und Hardware-Hersteller. Damit sind rund 200 Organisationen an Bord. Die bisherigen Partner haben mit der Claude Mythos Preview mehr als 10.000 high- oder critical-severity-Schwachstellen gefunden. Anthropic schätzt, dass bei den meisten dieser Partner ein größerer Angriff über 100 Millionen Menschen treffen könnte.

Das ist der Skalierungs-Beleg für die Mythos-Linie: Was in #007 als öffentlicher Disclosure-Zähler startete, wird hier zum Programm für kritische Infrastruktur. Flankierend macht Anthropic Claude Security allgemein verfügbar — bisher als „Claude Code Security” in Limited Preview, jetzt GA für Enterprise. Geplante und gezielte Scans, Audit-Integration, ein Confidence-Rating pro Finding und mehrstufige Validierung gegen False Positives sollen den Weg vom Scan zum eingespielten Patch „in einem Sitting” tragen. Die Offensiv-Seite (Mythos findet Lücken) und die Defensiv-Seite (Security patcht sie) werden damit zur selben Produktlinie.

Claude Code: Die Highlights der Woche

Mehrere Releases zwischen 29. Mai und 6. Juni, von v2.1.157 bis v2.1.167. Schwerpunkt: Plugin-Autoloading, Ausfallsicherheit und Enterprise-Versionskontrolle.

Für alle, die Claude Code täglich nutzen

fallbackModel — sanfte Degradierung bei Überlast (v2.1.166, 6. Juni) — Ein neues Setting konfiguriert bis zu drei Fallback-Modelle, die der Reihe nach versucht werden, wenn das primäre Modell überlastet oder nicht erreichbar ist; --fallback-model greift jetzt in interaktiven Sessions, und Claude wiederholt einen Turn auf dem Fallback, wenn die API einen unerwarteten Fehler wirft. Für alle, die produktiv auf Opus angewiesen sind und Peak-Hour-Ausfälle kennen, ist das der bisher fehlende Resilienz-Baustein.

/plugin list mit Filtern (v2.1.163, 4. Juni) — Listet installierte Plugins mit --enabled/--disabled. Dazu kleine Alltagshilfen: c kopiert die Markdown-Antwort aus /btw, Hooks können über hookSpecificOutput.additionalContext Kontext zurückgeben.

Für Plugin- und Skill-Workflows

Plugins laden automatisch aus .claude/skills (v2.1.157, 29. Mai) — Plugins in .claude/skills-Verzeichnissen werden jetzt ohne Marketplace geladen, claude plugin init <name> scaffoldet ein neues Plugin direkt, und die Autocomplete kennt /plugin-Subkommandos sowie installierte Plugin-Namen. Die Hürde, eigene Skills zu paketieren und zu teilen, sinkt damit weiter — passend zur Skill-Welle der letzten Wochen.

Für CI/CD und Plattform

Auto Mode auf Bedrock, Vertex und Foundry (v2.1.158, 30. Mai) — Der Auto Mode ist jetzt auf allen drei Enterprise-Cloud-Tiers verfügbar (für Opus 4.7 und 4.8), Opt-in via CLAUDE_CODE_ENABLE_AUTO_MODE=1. Damit ist das Setup für Cloud-gebundene Enterprise-Kunden geschlossen.

Versionskontrolle und gehärtetes Cross-Session-Messaging (v2.1.163 / v2.1.166) — Neue Managed Settings requiredMinimumVersion und requiredMaximumVersion erlauben Org-Admins, die erlaubte Claude-Code-Version zu pinnen. Sicherheitsseitig tragen über SendMessage weitergereichte Nachrichten zwischen Sessions keine User-Autorität mehr — eine ganze Klasse von Privilege-Confusion-Bugs in Multi-Agent-Setups fällt damit weg.

Agentic Coding

Cursor 3.7 (4. Juni) — Zwei Neuerungen tragen die Story, nachdem Composer 2.5 zuletzt im Mittelpunkt stand. Der Design Mode für Canvas lässt UI-Elemente direkt im Canvas selektieren und annotieren, statt sie in Prosa zu beschreiben — der Agent bekommt die Änderung gezeigt, nicht erzählt. Und der Context Explorer macht sichtbar, wie sich die Tokens auf System-Prompt, Tool-Definitionen, Rules und Skills verteilen — eine direkte Antwort auf das Context-Visibility-Problem, das Power-User seit Monaten umtreibt. Dazu: Organizations für Enterprise sind GA, und Bugbot wechselt von der Seat-Fee auf Usage-Based Billing.

Windsurf wird Devin Desktop (2. Juni) — Cognition integriert die Windsurf-Übernahme operativ: Beim Rebrand ersetzt Devin Local das bisherige Cascade als Default-Surface, das Agent Command Center wird zur Startfläche, und ACP (Agent Client Protocol) ist an Bord. Parallel kommt Devin 2.2 mit Self-Verify, Auto-Fix und Computer-Use für Test-Workflows. Der Anbieter, der 90 % seines eigenen Codes von Devin schreiben lässt, baut die Oberfläche konsequent um den Agenten herum, nicht umgekehrt.

Codex Sites — und ein Muster, das diese Woche dreimal auftaucht (Preview) — OpenAI gibt Codex eine Deploy-Schicht: Aus dem Codex heraus lassen sich Sites, Dashboards und interne Tools erstellen und ausspielen, der Schritt nach draußen zu eigener Infrastruktur entfällt (vorerst Preview). Das ist kein Einzelfall: Microsofts Rayfin → Fabric (siehe oben) und Anthropics self-hosted Sandboxes vom Mai gehen in dieselbe Richtung. Drei Frontier-Anbieter, eine Woche, dieselbe Bewegung — vom Modell zur vollständigen, ökosystem-internen Wertschöpfungskette. Der Effekt ist Bindung durch reduzierte Reibung: Der Workflow muss das Haus nicht mehr verlassen.

Trend der Woche

Usage-Based Billing wird zum Normalbetrieb

Drei Bewegungen dieser Woche markieren das Ende der subventionierten Gratis-Schleife — und sie verbinden sich zu einer These: Wer Agents im großen Stil laufen lässt, zahlt ab jetzt nach Verbrauch.

Uber liefert die Schlagzeile. Nachdem das Unternehmen sein gesamtes Jahres-KI-Budget in vier Monaten verbrannt hatte, deckelt es das Tool-Spending auf $1.500 pro Mitarbeiter pro Tool und Monat — getrennt je Werkzeug (Claude Code und Cursor zählen separat), überschreitbar nur mit Genehmigung. Das ist die erste konkrete Cap-Zahl eines börsennotierten Großkonzerns, und sie wird der Benchmark, an dem sich andere messen.

GitHub zieht strukturell nach: Zum 1. Juni stellt Copilot auf Usage-Based Billing um — alle Pläne migrieren auf AI-Credits, dazu ein neuer Copilot Max für $100/Monat für anhaltende agentische Workflows. Und Anthropic zieht ab dem 15. Juni eine Trennlinie durch die eigenen Abos: Programmatische Nutzung (Agent SDK, claude -p, GitHub Actions, Third-Party-Apps) wandert aus dem Subscription-Pool in einen separaten, zu API-Preisen abgerechneten Credit Pool — der interaktive Gebrauch (claude.ai, Claude Code interaktiv, Cowork) bleibt unverändert.

Damit bekommt das Token-Spend-Problem, das Pragmatic Engineer in #005 als erstes vermessen hat, seine ökonomische Antwort. Die Logik der drei Bewegungen ist dieselbe: Interaktives Arbeiten am Menschen bleibt im Flatrate-Komfort, der Dauerlauf im Hintergrund bekommt einen Zähler. Wer Async-Agents als Default-Ausführungsschicht plant, muss diese Rechnung jetzt explizit aufmachen — die Frage ist nicht mehr ob der Loop läuft, sondern was er pro Monat kostet.

Tipp der Woche

Best Claude Code Plugins, June 2026 — Composio hat eine annotierte Übersicht der meistgenutzten Claude-Code-Plugins veröffentlicht (1. Juni), sortiert nach Installs: Frontend Design (829k), Superpowers (752k), Context7 (349k), dazu Code Review, Code Simplifier und Skill Creator. Statt „installier alles” rät der Beitrag zu einem fokussierten Stack je Workflow.

Kurz notiert

• Claude Partner Network (3. Juni) — Services Track plus Partner Hub, $100 Mio. in Partner-Training. Seit März über 40.000 Bewerbungen und mehr als 10.000 Claude-zertifizierte Consultants. Der Hub zeigt den Tier-Status täglich aktualisiert — die Vertriebsmaschine, die unter dem IPO-Filing sichtbar wird.

• Codex CLI 0.137.0 (4. Juni) — OpenAI iteriert im Tagestakt weiter: monatliche Credit-Limits für Enterprise, Remote-Control-Pairing, Multi-Agent-v2-Verbesserungen. Inkrementell, aber konsequent.

• Vorschau: Code w/ Claude Tokyo (10./11. Juni) — Anthropics erste Entwicklerkonferenz im asiatisch-pazifischen Raum, Englisch mit japanischer Live-Übersetzung, plus ein Extended-Tag für Indie-Devs und Gründer.

Quellen

Die große Nachricht der Woche: Anthropic — Confidential S-1 · TechCrunch — IPO-Filing · CNBC — late to AI coding · Microsoft AI — seven new MAI models · GitHub Changelog — MAI-Code-1-Flash · heise — Microsoft Build 2026

Project Glasswing: Anthropic — Expanding Project Glasswing · TechCrunch — Glasswing in 15 countries · Anthropic — Claude Security

Claude Code: Changelog · Releases (GitHub)

Agentic Coding: Cursor Changelog · AICoderscope — Windsurf Devin Desktop · Devin 2.2 · Codex Changelog

Trend der Woche: TechCrunch — Uber-Cap · GitHub Blog — Usage-Based Billing · The Decoder — Anthropic Subscription Credits

Tipp der Woche: Composio — Top Claude Code Plugins

Kurz notiert: Anthropic — Services Track & Partner Hub · Codex Releases (GitHub) · Code w/ Claude Tokyo

Nächste Ausgabe: Samstag, 13. Juni 2026.

Feedback? Einfach kommentieren/antworten.

Samstag, 30. Mai 2026 — Lesezeit: ~7 Min.

Diesen Newsletter wöchentlich per Mail bekommen: blog.fluxum.net/s/agentic-weekly

Die große Nachricht der Woche

Anthropics großer Tag: ein Modell, 65 Milliarden und der Mythos-Start

Der 28. Mai war für Anthropic kein gewöhnlicher Release-Tag, sondern ein gebündelter Aufschlag: ein neues Frontier-Modell, die größte Finanzierungsrunde der Firmengeschichte und die Ankündigung, dass die nächste Modellgeneration in Kürze öffentlich wird — alles am selben Tag. Drei Bausteine lohnen den Blick.

Opus 4.8 — der Modell-Baustein.

Nur 42 Tage nach Opus 4.7 steht das nächste Flaggschiff. Auf SWE-bench Pro klettert Opus 4.8 auf 69,2 % (von 64,3 % bei 4.7), auf dem stärker gesättigten SWE-bench Verified auf 88,6 % — der größere Sprung liegt erwartbar auf dem härteren, weniger ausgereizten Set. Der 1-Million-Token-Context ist jetzt Default, die Preise bleiben mit $5 / $25 pro Mio. Tokens identisch zu 4.7, der Knowledge-Cutoff bleibt Januar 2026.

Der eigentliche Pitch ist aber nicht der Benchmark, sondern Ehrlichkeit: Opus 4.8 lässt laut Anthropic rund viermal seltener Fehler im selbst geschriebenen Code unmarkiert durchgehen als sein Vorgänger. Dazu kommen feinere Effort-Controls (bis /effort xhigh für die härtesten Aufgaben), und der Fast Mode kostet jetzt nur noch das Doppelte der Standardrate — statt wie bisher ein Vielfaches — bei 2,5-facher Geschwindigkeit.

Series H — der Kapital-Baustein.

Am selben Tag schließt Anthropic die größte Runde seiner Geschichte: $65 Mrd. eingesammelt, $965 Mrd. Post-Money-Bewertung — und überholt damit OpenAI als wertvollstes KI-Startup der Welt, knapp unter der Billionen-Marke und noch vor jedem IPO. Im Mai überschritt die Run-Rate-Revenue $47 Mrd. Co-Lead waren Altimeter, Dragoneer, Greenoaks und Sequoia; rund $15 Mrd. davon sind bereits zuvor zugesagte Hyperscaler-Investments. Auffällig ist, wofür das Geld reserviert ist: Compute-Verträge mit Amazon und einem Google-Broadcom-TPU-Verbund über jeweils 5 Gigawatt, dazu GPU-Kapazität von SpaceX. In #006 standen hier noch Gespräche im Raum — jetzt ist die Runde geschlossen, und deutlich größer.

Mythos — der Ausblick-Baustein.

Eingebettet in die Opus-Ankündigung meldet Anthropic „swift progress” bei den Safety-Safeguards und will „Mythos-class models” in den kommenden Wochen für alle Kunden freigeben. Opus 4.8 wird als Brücke positioniert — als Beleg, dass sich auch das schwächere Modell „honest enough to be safe” machen lässt.

Warum das relevant ist: Modell, Kapital und Sicherheits-Roadmap am selben Tag zu stapeln ist kein Zufall, sondern Signal. Anthropic koppelt die Botschaft „wir sind das wertvollste KI-Startup” direkt an „und wir liefern technisch” — und reserviert das frische Kapital sichtbar für Compute, die Ressource, an der die nächste Wettbewerbsrunde hängt.

Claude Code: Die Highlights der Woche

Für Multi-Agent-Workflows: Dynamic Workflows (Research Preview). Mit v2.1.154 schreibt Claude jetzt selbst Orchestrierungs-Skripte, die zehn bis hunderte Subagents parallel fahren — gedeckelt auf 16 gleichzeitig und 1.000 pro Lauf. Der Clou: Der Plan wandert in den Code statt in den Context, Zwischenergebnisse leben in Skript-Variablen. Ausgelöst wird das durch das Wort „workflow” im Prompt oder das Setting ultracode (= xhigh-Effort plus Auto-Orchestrierung plus Self-Verify). Als Beispiel führt Anthropic an, wie Bun-Autor Jarred Sumner Bun mit hunderten Agents von Zig nach Rust portierte — zwei Reviewer pro Datei. Verfügbar als Research Preview in CLI, Desktop und VS-Code für Max, Team und Enterprise. Das ist die nächste Stufe über klassische Multiagent-Orchestrierung: nicht mehr du orchestrierst die Agents, das Modell tut es.

Für alle, die Claude Code täglich nutzen: /code-review --fix (v2.1.152). Der in #007 eingeführte /code-review wendet seine Reuse-, Simplify- und Efficiency-Vorschläge jetzt direkt im Working Tree an, statt sie nur aufzulisten. Dazu öffnet / im NORMAL-Mode jetzt eine Reverse-History-Suche (wie Ctrl+R), und claude plugin marketplace remove versteht --scope user|project|local.

Agentic Coding

Cognition holt $1 Mrd. — und schreibt fast seinen ganzen Code selbst. Cognition ist die Firma hinter Devin, dem autonomen KI-„Software-Engineer”, der eigenständig Tickets von der Spec bis zum Pull Request abarbeitet; zu Cognition gehört zudem der Coding-Editor Windsurf. Zwei Tage vor Anthropics großem Tag sammelt das Unternehmen $1 Mrd. bei $26 Mrd. Bewertung ein (Series D, Co-Lead Lux Capital, General Catalyst, 8VC). Die eigentliche Schlagzeile steckt aber in einer Betriebszahl: mehr als 90 % des bei Cognition committeten Codes stammen inzwischen von Devin — im Dezember 2025 waren es noch 13 %. Die ARR sprang im selben Zeitraum von $37 Mio. auf $492 Mio. Kundenliste: Citi, Goldman Sachs, Mercedes-Benz, Dell, US Army und Navy. Ein Anbieter, der seine eigene These am eigenen Code vorführt.

Opus 4.8 am Launch-Tag in GitHub Copilot. Anthropics neues Modell war Tag eins in Copilot generell verfügbar (je nach Tier für Business, Enterprise und Pro). Bemerkenswert vor dem Hintergrund, dass Microsoft seine Claude-Code-Lizenzen einzieht (#007) — beim Modell greift man trotzdem sofort zu.

Codex CLI v0.134 und v0.135. OpenAI pflegt seine CLI im Tagestakt weiter: v0.134 bringt Conversation-History-Suche, --profile als kanonischen Selektor und per-Server-MCP-Env-Targeting; v0.135 ein codex doctor-Diagnose-Kommando (prüft Env, Git, Terminal, App-Server) sowie Vim-Text-Objects und benannte Profile in /permissions. Inkrementell, aber konsequent.

Trend der Woche

Async-Agents werden Normalbetrieb

Walden Yan von Cognition hat diese Woche einen Begriff geprägt, der die beiden Geld-Stories oben verbindet: „The Age of Async Agents”. Die Idee — Agents laufen nicht mehr interaktiv neben dir, sondern asynchron in eigenen Umgebungen, von Spec zu Pull Request, mit eigenem Gedächtnis, und der Mensch kommt erst beim Review wieder ins Spiel.

Diesen Sprung machen die Releases der Woche von zwei Seiten greifbar. Cognition zeigt am eigenen Betrieb, dass ein Agent den Großteil des produktiven Codes schreiben kann, wenn man ihn lässt. Und Anthropics Dynamic Workflows verlagern die Orchestrierung ins Modell: Wer hunderte Subagents fährt, plant nicht mehr jeden Schritt von Hand, sondern lässt Code den Plan halten.

Beides zusammen markiert die Verschiebung vom Agent-als-Assistent zum Agent-als-Default-Ausführungsschicht. Die spannende Frage der nächsten Quartale ist nicht mehr, ob Agents Code schreiben, sondern wie viel menschliche Aufsicht pro tausend Zeilen übrig bleibt — und ob die Review-Schicht damit Schritt hält.

Tipp der Woche

Skill Distillation — Tomasz Tunguz (Theory Ventures) beschreibt ein Teacher-Student-Setup, das gut zur Skills-Welt von Claude Code passt: Ein Frontier-Modell schreibt und testet SKILL.md-Playbooks, ein kleines lokales Modell (Qwen 35B, Gemma 26B) führt sie aus; ein nächtlicher Loop destilliert aus den Logs neue Skills. Das Ergebnis ist inspizierbar, versionierbar und hot-swappable — und es entkoppelt das institutionelle Wissen einer Firma vom jeweils teuersten Modell.

Warum das hier steht: Es dreht die übliche „das größte Modell”-Logik um — Skills werden zum dauerhaften Asset, das Modell zur austauschbaren Laufzeit. Wer Skills ohnehin pflegt, hat hier ein konkretes Muster, das sich übertragen lässt. Bezugspunkte: Pi (github.com/earendil-works/pi) und QMD (github.com/tobi/qmd).

Kurz notiert

• Nachtrag: Google zeigte bereits am 19./20. Mai Gemini 3.5 Flash und Antigravity 2.0 — ein schnelleres, günstigeres Modell für Agents und Coding.

• GitHub Copilot stellt Pro und Pro+ zum 1. Juni auf AI-Credits-Flex-Billing um — gleiche Preise ($10 / $39), neue Credit-Pools.

• v2.1.156 (29. Mai) behebt einen Fehler, bei dem modifizierte Thinking-Blöcke unter Opus 4.8 zu API-Errors führten.

Quellen

Die große Nachricht der Woche: Anthropic — Opus 4.8 · Anthropic — Series H · TechCrunch · Simon Willison · The Register — Mythos · heise

Claude Code: DevelopersIO v2.1.154 · MarkTechPost · DevelopersIO v2.1.152 · Changelog

Agentic Coding: Bloomberg — Cognition · TheNextWeb · GitHub Changelog — Copilot · Codex Changelog

Trend der Woche: Latent Space — The Age of Async Agents

Tipp der Woche: tomtunguz.com

Kurz notiert: MarkTechPost — Gemini 3.5 Flash · GitHub Releases (v2.1.156)

Nächste Ausgabe: Samstag, 6. Juni 2026.

Feedback? Einfach kommentieren/antworten.

Diesen Newsletter regelmäßig lesen — per Mail?

Vollständige Ausgaben mit allen Quellen, direkt in dein Postfach.

Auf blog.fluxum.net abonnieren

Samstag, 23. Mai 2026 — Lesezeit: ~12 Min.

Diesen Newsletter wöchentlich per Mail bekommen: blog.fluxum.net/s/agentic-weekly

Read more

Code with Claude 2026 — Agents lernen träumen, Limits fallen, Musk liefert Strom

Am 6. Mai hat Anthropic in San Francisco Code with Claude 2026 veranstaltet — die zweite Auflage der Entwicklerkonferenz und zugleich einer der dichtesten Produktrelease-Tage, die Anthropic bisher hatte.

Read more

7.Mai 2026 — Lesezeit: ~6 Min.

Die große Nachricht der Woche

Long-running Agents bekommen ihre Architektur — Brain, Hands, Session

Am 30. April hat Addy Osmani in einem Long-Read sortiert, was unter „long-running agents” eigentlich gemeint ist — und dabei die Architektur sichtbar gemacht, auf die unabhängig voneinander Anthropic, Cursor und Google zulaufen. Drei verschiedene Bedeutungen, sauber getrennt: Long-horizon reasoning (Modellqualität — die METR-Metrik fürs erfolgreich abgeschlossene Task-Horizon verdoppelt sich seit 2019 alle ~7 Monate, das jüngste TH1.1-Update hat die Anzahl der 8-Stunden-plus-Tasks im Eval-Set verdoppelt), long-running execution (das Modell wird hundert- bis tausendfach über die Laufzeit aufgerufen) und persistent agency (Identität über Tasks hinweg).

Drei Wände, an die jeder Agent läuft: endlicher Context plus „context rot” (Degradation lange vor dem harten Limit), kein persistenter State (Anthropics eigenes Bild: „Engineers, die in Schichten arbeiten — jeder neue ohne Erinnerung an die vorige Schicht”) und keine verlässliche Self-Verification (Modelle bewerten ihre eigene Arbeit konsistent zu positiv).

Spannender als die Wände ist die Konvergenz: Anthropics Brain / Hands / Session-Split, Cursors Planner / Worker / Judge und Googles Agent Runtime / Agent Sandbox / Agent Sessions sind drei Namen für dasselbe Muster. Brain = Modell plus Harness-Loop. Hands = sandboxed, ephemere Execution-Umgebungen. Session = append-only Event-Log, das den Lauf rekonstruierbar macht. Praktisch heißt das: State wandert aus dem Modell-Context heraus ins Filesystem oder in eine Datenbank — die Ralph Loop von Geoffrey Huntley und Ryan Carson zeigt das in 30 Zeilen Bash mit prd.json, progress.txt, AGENTS.md. Anthropic berichtet aus internen Tests von 30+ Stunden autonomem Coding, ein Lauf produzierte einen 11.000-Zeilen-Slack-Klon.

Warum das relevant ist: Wer Agents jenseits der Stundenmarke baut, kommt um diesen Split nicht herum. Osmanis Test ist ehrlich: „If you can’t reconstruct what the agent did in the last 24 hours from durable storage, what you have is a long-running shell script that happens to call an LLM, not a long-running agent.” — Eine Ebene weiter raus zoomt Jack Clark, Anthropic-Mitgründer, in Import AI #455 (4. Mai): Er taxiert die Wahrscheinlichkeit auf 60+ %, dass AI-Systeme bis Ende 2028 autonom R&D betreiben und ihre Nachfolger trainieren. SWE-Bench-Progression von ~2 % (Claude 2, Ende 2023) auf 93,9 % (Claude Mythos Preview); Task-Horizon von ~30 Sekunden 2022 auf ~12 Stunden 2026, Forecaster Ajeya Cotra projiziert ~100 Stunden bis Jahresende. Wer die Architektur-Arbeit dieser Woche zusammen mit Clarks Kurve liest, sieht, warum die Anthropic-Köpfe die Zeitachse für eng halten.

Quellen:

• Addy Osmani: Long-running agents — building the architecture for agents that work for hours, days, and weeks

• Jack Clark / Import AI #455: AI systems are about to start building themselves

Claude Code: Die Highlights der Woche

Vier Releases in einer ruhigeren Woche: v2.1.126, v2.1.128, v2.1.129, v2.1.131. Schwerpunkt: Plugin-Distribution, OAuth-Polish, eine Reihe handfester Subprozess- und Cache-Fixes.

Für alle, die Claude Code täglich nutzen

claude project purge ist da — v2.1.126 räumt alle Claude-Code-Spuren aus einem Projekt: Transcripts, Tasks, File-History, Config. Mit --dry-run, --interactive, --all für mehrere Projekte. Vorher musste man drei Verzeichnisse von Hand kennen.

/context verschwendet keine Tokens mehr — v2.1.129 fixt einen alten Ärger: Der ASCII-Visualisierungs-Block landete bisher in der Konversation und kostete pro Aufruf rund 1.600 Tokens.

/model zeigt nur noch ein Opus-Eintrag — Die Doppelung „Opus 4.7” und „Opus” im Picker ist weg, der aktuelle Opus heißt jetzt schlicht „Opus” (v2.1.128).

Für Plugin- und MCP-Workflows

--plugin-url und --plugin-dir mit Zip — v2.1.128/129 erlauben das Laden von Plugin-Archiven direkt aus URL oder lokaler .zip. Saubere Lösung für Air-Gapped-Setups und ad-hoc-Tests, ohne Marketplace-Eintrag.

MCP-Reconnects fluten die Konversation nicht mehr — v2.1.128: Wenn ein Server seine Tools re-announced, kommt nur noch eine Server-Prefix-Zusammenfassung statt der vollen Tool-Liste. Wer mit fünf+ MCP-Servern arbeitet, merkt das sofort.

/mcp zeigt Tool-Counts — v2.1.128 markiert Server mit 0 Tools — ein simpler Blick reicht jetzt, um stille Misskonfigurationen zu sehen.

Für Performance und Plattform

Subagent-Summaries nutzen wieder Prompt-Cache — v2.1.128 fixt eine Regression, die cache_creation ungefähr verdreifacht hatte. Wer Subagents heavy nutzt, sollte den Token-Verbrauch nach dem Update direkt vergleichen.

Parallel Tool-Calls brechen sich nicht mehr gegenseitig ab — Ein fehlgeschlagener Read-Only-Befehl (grep, git diff, ls) cancelte bisher die Geschwister-Calls. Behoben in v2.1.128.

OAuth härtet sich — Eine Race Condition zwischen Wake-from-Sleep und Token-Refresh, die laufende Sessions ausloggte, ist gefixt (v2.1.129). Außerdem: claude auth login akzeptiert jetzt einen OAuth-Code per Paste, wenn der Browser-Callback localhost nicht erreicht (v2.1.126) — endlich sauber für WSL2, SSH-Sessions, DevContainer.

Quellen:

• Claude Code Changelog

• Releasebot: Claude Code Mai 2026

Agentic Coding: Cursor mit eigenem SDK und Security-Review, Codex baut Plugin-Disziplin aus

Cursor SDK (29. April) — Cursor öffnet seine Agent-Plattform für programmatischen Zugriff: TypeScript-SDK, lokal oder gegen Cursors Cloud-VMs ausführbar, freie Modellwahl. Dazu reworked Cloud-Agents-API mit SSE-Streaming und expliziten Lifecycle-Controls. Damit ist Cursor das nächste Tool nach Claude Code, das nicht nur als IDE/Terminal, sondern als API für Agent-Pipelines auftritt.

Cursor Security Review (30. April, Beta für Teams/Enterprise) — Zwei Always-On-Agenten: ein Security Reviewer, der jede PR auf Security-Vulnerabilities, Auth-Regressionen und Privacy-/Data-Handling-Risiken prüft, plus ein Vulnerability Scanner mit geplanten Codebase-Scans gegen bekannte Vulnerabilities und veraltete Dependencies. Direkter Konkurrent zu Claude Codes /security-review-Skill — und ein klares Signal, dass Review-Workloads in Pull Requests die nächste Schicht sind, in der die Agent-Hosts gegeneinander antreten.

Cursor Spend Management (4. Mai) — Granulare Allow-/Blocklists pro Modell und Provider, Soft-Spend-Limits mit Alerts bei 50/80/100 %. Liest sich wie eine direkte Antwort auf das Engineering-Budget-Problem, das diese Woche separat dokumentiert wurde (siehe Trend unten).

OpenAI Codex CLI legt zweimal nach: 0.128.0 (30. April) bringt Goals-Workflows, Permission Profiles, Plugin-Management und Support für externe Agent-Sessions. 0.129.0 (7. Mai) folgt mit TUI-Polish: redesigned Resume/Fork Picker, workspace-aware /diff, Plugin-Workspace-Sharing und Lifecycle-Hooks. Damit zieht Codex bei Plugin-Disziplin und Session-Handling sichtbar nach.

Quellen:

• Cursor Changelog: SDK · Security Review · Spend Management

• Codex Changelog (OpenAI Developers)

Trend der Woche

Token-Spend bricht Engineering-Budgets — und die Strategie spaltet sich

Gergely Orosz hat für The Pragmatic Engineer (30. April) 15 Firmen zwischen Seed-Stage und 10.000+ Mitarbeiter anonym befragt. Das Bild ist eindeutig und unbequem: Bei einem AI-Infra-Startup stieg Token-Spend pro Entwickler in sechs Monaten von $200 auf $3.000 pro Monat — 15-fach. Bei einem Healthcare-Konzern verbrauchte ein einzelner Engineer in einer Claude-Code-Session $1.400. In einem US-/EU-Fintech laufen Heavy-User auf Claude Code bei $500 pro Tag. Bei einem E-Commerce-Konzern mit ~2.000 Devs ist nur Opus 4.7 zum Coden zugelassen: „leichte Fehler in Produktion kosten Stunden”. Vendor-Verhandlungen klaffen weit auseinander: Cursor gewährt Rabatte ab ~$1 Mio. Spend, Anthropic auch bei $5 Mio.+ pro Jahr nicht.

Die Firmen teilen sich grob 50/50 in zwei Lager: „Let it rip and start measuring” (laufen lassen, Impact messen) und „Curb spending” (Default auf billigere Modelle, Caps, Consent-Gates). Ein Engineering Manager im Healthcare-Sektor mit fünfzehn Jahren Branchenerfahrung sagt, einen so dramatischen Wandel habe er noch nie erlebt — vergleichbar nur mit dem Sprung zu höheren Programmiersprachen.

Das Bemerkenswerte ist, wie schnell die Tools darauf antworten: Cursors Spend-Management dieser Woche ist genau die Telemetrie, die in den befragten Firmen bisher gefehlt hat. Wer 2026 ernsthaft Agentic Engineering betreibt, braucht eine Antwort auf die Kostenseite — nicht in zwölf Monaten, sondern für den nächsten Sprint.

Quellen:

• Pragmatic Engineer: Token spend breaks budgets

Kurz notiert

• Background Agents Summit (6./7. Mai, virtuell) — Ona richtet das nach eigener Beschreibung erste Event aus, das ausschließlich Background Agents gewidmet ist; Sprecher unter anderem von Stripe, Harvey, Uber, Monzo, AWS und WorkOS. Wer in den nächsten Monaten selbst eine Background-Agent-Infrastruktur aufbauen will, bekommt hier kompakt das, was sonst über mehrere Engineering-Blogs verteilt ist. background-agents.com/summit

• Sierra holt $950 Mio. (4. Mai) — Bret Taylors Agent-Plattform für Enterprise-Customer-Service ist nach der von Tiger Global und GV angeführten Runde mit über $15 Mrd. bewertet. Das Rennen um Enterprise-Agents wird teurer, je breiter die Anwendungsfelder werden. TechCrunch

• OpenAI: „Automated AI research intern bis September 2026” — Jack Clark zitiert dieses öffentlich kommunizierte Ziel von OpenAI in Import AI #455. Recursive Superintelligence (Startup) hat $500 Mio. spezifisch für AI-R&D-Automatisierung eingesammelt. Import AI #455

Nächste Ausgabe: Donnerstag, 14. Mai 2026

Feedback? Einfach kommentieren/antworten.

Die große Nachricht der Woche

Anthropic legt offen, was Claude Code kaputt gemacht hat

Am 23. April hat Anthropic einen detaillierten Postmortem veröffentlicht — und damit beendet, was seit Februar Foren, Substacks und Tech-Presse beschäftigt hat: die Frage, ob Claude „dümmer” geworden ist.

Antwort: ja, aber nicht weil Anthropic das Modell absichtlich heruntergedreht hätte, sondern weil drei separate Bugs sich zeitlich überlappten und sich gegenseitig verschleierten.

1. Reasoning-Effort-Downgrade (4. März → zurückgenommen am 7. April): Default für Opus 4.6 und Sonnet 4.6 von high auf medium gesenkt — als Reaktion auf User-Beschwerden über lange Latenzen. Falscher Trade-off, wie sich herausstellte.

2. Caching-Bug (26. März → gefixt 10. April): Eine Optimierung sollte alte Thinking-Blöcke nach >1h Idle entfernen. Ein Bug ließ sie bei jedem Turn entfernen — Ergebnis: Cache-Misses, vermeintliches „Vergessen”, schneller verbrauchte Limits.

3. Verbosity-Prompt (16. April → zurückgenommen am 20. April): Eine System-Prompt-Anweisung sollte die Verbosity zwischen Tool-Calls reduzieren. In Kombination mit anderen Änderungen: 3 Prozent Performance-Drop bei Opus 4.6 und 4.7 in Ablation-Tests (Sonnet 4.6 ebenfalls betroffen), nicht in den ursprünglichen Evals erkannt.

Alle drei Issues sind seit v2.1.116 (20. April) behoben. Anthropic hat zusätzlich Usage Limits aller Subscriber zurückgesetzt und Default-Effort auf xhigh (Opus 4.7) bzw. high (alle anderen) angehoben. Die API war nicht betroffen — nur Claude Code.

Warum das relevant ist:

Das ist die transparenteste öffentliche Aufarbeitung, die ein Frontier-Lab bislang zu einem Quality-Drop geliefert hat.

Drei wichtige Lehren stecken drin:

1. Evaluation-Suiten erkennen interagierende Regressionen schlecht — keine der drei Änderungen war für sich genommen problematisch.

2. Caching- und Harness-Verhalten sind genauso modellrelevant wie Gewichte; wer Coding-Agents baut, muss das mitmessen.

3. Vertrauen kommt zurück, wenn Postmortems so detailliert sind wie dieses — und nicht, wenn man stillschweigend zurückrollt.

Der Wermutstropfen: Sechs Wochen Schaden waren entstanden, bevor die Aufklärung kam.

Quellen:

• Anthropic: An update on recent Claude Code quality reports

• VentureBeat: Anthropic reveals harness changes likely caused degradation

• The Register: Anthropic admits it dumbed down Claude with ‘upgrades’

• Stack Futures: Three Overlapping Changes, Six Weeks of Degradation

• Machine Learning at Scale: Three regressions and the evals that didn’t catch them

Claude Code: Die Highlights der Woche

Sieben Releases in sieben Tagen: v2.1.117 bis v2.1.123. Schwerpunkt diesmal: Polishing, Memory-Hygiene und Vim-Power-User-Features.

Für alle, die Claude Code täglich nutzen

Vim Visual Mode endlich da — v2.1.118 bringt vollwertige Visual-Selection (v) und Visual-Line (V) inklusive Operatoren. Wer Claude Code aus Vim-Reflex bedient, hatte bisher nur einen Krüppelmodus. Jetzt: voller Selection-Workflow, Operator-Pending, visuelles Feedback.

/cost und /stats werden zu /usage — Konsolidierter Tabbed-View mit Billing und Verbrauch in einem Command. Kleines Detail, aber spart die ständige „welcher Command war’s nochmal?”-Frage.

Custom Themes — Per /theme benannte Themes anlegen oder direkt JSON in ~/.claude/themes/ editieren. Plugins können Themes über ein themes/-Verzeichnis ausliefern. Endlich konfigurierbar ohne Hack.

/resume aus PR-URL — v2.1.122: PR-URL aus GitHub, GitHub Enterprise, GitLab oder Bitbucket in die /resume-Suche pasten und die Session finden, die diesen PR erzeugt hat. Wer mit vielen parallelen Worktrees jongliert: Game-Changer.

Für Multi-Agent- und Plugin-Workflows

alwaysLoad für MCP-Tools — MCP-Server können einzelne Tools aus dem Tool-Search-Deferral ausschließen. Wer Latenz-kritische Tools hat, sollte das setzen.

PostToolUse-Hooks dürfen Tool-Output ersetzen — Bisher nur für MCP-Tools möglich, jetzt für alle Tools via hookSpecificOutput.updatedToolOutput. Eröffnet sauberere Output-Sanitizer und Redaction-Pipelines.

Hooks können MCP-Tools aufrufen — v2.1.118 erlaubt type: "mcp_tool" direkt aus Hook-Konfiguration. Neue Komposition: Lifecycle-Events lösen Tool-Aufrufe ohne Wrapper-Skript aus.

claude plugin prune und tag — Verwaiste auto-installierte Dependencies entfernen; Release-Tags mit Versionsvalidierung erzeugen. Plugin-Hygiene wird langsam zu echtem Package-Management.

Für CI/CD und Automation

claude ultrareview [target] — /ultrareview jetzt non-interaktiv aus CI/Skripten. Damit ist Cloud-basierter Tiefen-Review als Pipeline-Step nutzbar, nicht nur als interaktiver Slash-Command.

AI_AGENT Environment Variable — Wird für Subprozesse gesetzt; GitHub und andere Hosts können damit Agent-Attribution korrekt taggen. Ein kleiner, aber wichtiger Baustein für saubere Audit-Trails.

Windows ohne Git Bash — v2.1.120 nutzt PowerShell als Default-Shell, wenn Git for Windows fehlt. PowerShell-Tool-Permissions können auto-genehmigt werden. Schluss mit dem Workaround-Setup für Windows-only-Teams.

Performance und Plattform

Memory-Leaks gefixt — v2.1.121 schließt mehrere Speicherlecks: Multi-GB-RSS bei vielen Bildern, ~2 GB Leak in /usage bei großen Transcripts, Leaks in long-running Tools. Wer Sessions tagelang offen lässt, merkt das sofort.

Skill-Suche und Effort-Placeholder — Filter-Suchbox in /skills, Skills können ${CLAUDE_EFFORT} referenzieren. Die Skill-Plattform reift in kleinen, nützlichen Schritten.

Quellen:

• Claude Code Changelog

• Releasebot: Claude Code April 2026

• Ton Technotes: v2.1.115–119 Polish Inside

Agentic Coding: Cursor 3.1, Copilot Inline-Agent und der Stack-Mix wird Standard

Cursor 3.1 (Nachtrag, Mitte April: 3.1 am 13. April, Interactive Canvases am 15.) ergänzt das Agents-Window aus 3.0 um Interactive Canvases: durable Side-Panel-Artefakte mit Tabellen, Diagrammen, Diffs und Custom-Components. Cursor antwortet jetzt nicht mehr nur mit Text und Code, sondern baut Dashboards und Mini-Interfaces, die neben Terminal und Browser im Side-Panel persistent leben. Das ist die richtige Antwort auf eine Beobachtung, die mehrere Hosts gerade machen: Der Output eines längeren Agent-Laufs verträgt mehr als nur Markdown.

GitHub Copilot Inline Agent Mode (24. April) — Public Preview für JetBrains-IDEs. Agent-Capabilities aus dem Inline-Chat heraus, ohne in das Chat-Panel zu wechseln. Copilot positioniert sich klar in der „im IDE bleiben”-Ecke, während Claude Code Terminal-first und Cursor IDE-Rebuilt fährt.

The New Stack berichtet, dass Teams zunehmend alle drei parallel nutzen — Cursor für IDE-native Edits, Claude Code für Terminal-Workflows und Headless-Routinen, Codex für Browser- und Computer-Use. Das ist neu: Vor sechs Monaten war die Tooling-Frage „wer gewinnt?”. Jetzt ist sie „wie kombiniere ich?”.

Warum das relevant ist: Wer noch versucht, ein Tool für alles zu wählen, optimiert in die falsche Richtung. Die spannenden Setups bauen jetzt portable Skills, Hooks und Routines, die zwischen Hosts wandern können — genau dort, wo gh skill (siehe #003) ansetzt.

Quellen:

• Cursor Release Notes

• GitHub Changelog: Inline agent mode in JetBrains

• The New Stack: Cursor, Claude Code, Codex are merging into one stack

• DevTool Picks: Cursor 3 Review

Trend der Woche

Big Tech doppelt nach: Googles 40-Milliarden-Wette auf Anthropic

Am 24. April hat Google bis zu 40 Mrd. $ Investment in Anthropic angekündigt — 10 Mrd. $ jetzt cash bei einer 350-Mrd.-$-Bewertung, weitere 30 Mrd. $ an Performance-Targets gekoppelt. Dazu: 5 Gigawatt Compute über fünf Jahre via Google Cloud, mit Option auf weitere Gigawatt. Das passiert nur vier Tage, nachdem Amazon zusätzliche bis zu 25 Mrd. $ committet hatte (5 Mrd. cash, 20 Mrd. an Milestones gekoppelt).

Die Choreographie ist bemerkenswert: Anthropic und Google sind gleichzeitig Partner und Konkurrenten — Gemini 3.1 Pro misst sich offen an Opus 4.7. Trotzdem zieht Google nach. Der Grund: Wer in der Coding-Agent-Schicht des Stacks führend bleiben will, muss die Compute-Allokation für die Modelle sichern, die Entwickler tatsächlich täglich benutzen. Anthropic ist genau das geworden — auch dank Claude Code.

Parallel hat Anthropic in der Woche drei weitere Expansionssignale gesetzt: Sydney als vierter APAC-Standort (27. April, Theo Hourmouzis von Snowflake als ANZ-GM), eine NEC-Partnerschaft in Japan mit Rollout an 30.000 Mitarbeiter und Aufbau einer der größten AI-native Engineering-Organisationen Japans (24. April), sowie Memorandum mit der australischen Regierung. Das zusammen mit den Investments ergibt das Bild: Anthropic positioniert sich für IPO als globale Plattform, nicht nur als Modell-Anbieter.

Quellen:

• Bloomberg: Google plans up to $40B in Anthropic

• TechCrunch: Google to invest up to $40B in cash and compute

• Axios: Google’s $40B Anthropic move is Big Tech’s latest huge bet

• Anthropic: Theo Hourmouzis als General Manager Australia & New Zealand

• Anthropic + NEC: Building Japan’s largest AI engineering workforce

Kurz notiert

• Google Cloud Next 2026 (22. April) — Konferenz unter dem Banner „Agentic Era”. Kevin Ichhpurani (President Global Partner Ecosystem) kündigt 750 Mio. $ für das 120k-Partner-Ökosystem an, um agentische Use-Cases zu beschleunigen. Google Cloud Press · BizTech

• Cloudflare Agents Week (Nachtrag, 12.–20. April) — Vollständiger Stack-Push: Workers AI, AI Gateway, MCP-Hosting, Browser-Rendering. Im internen Engineering-Stack laufen pro Monat 241 Mrd. Tokens und 20 Mio. AI-Gateway-Requests durch die eigenen Produkte — gebaut auf dem, was sie auch verkaufen. Plattform-Konkurrenz für Anthropic und Google bekommt eine Edge-native Variante. Cloudflare Blog · Internal Stack-Daten

• MIT Technology Review zu Agent Orchestration — Lesenswerter Überblick: Multi-Agent-Systeme als „Fließband-Moment” für White-Collar-Arbeit. Konkret namentlich erwähnt sind Claude Code (mit „a couple of dozen subagents” im Einsatz) und Claude Cowork (in zehn Tagen gebaut). Hauptsorge: unvorhersehbares LLM-Verhalten, sobald die Agenten aus dem Browser-Fenster heraus mit der echten Welt interagieren. MIT Tech Review

• Simon Willison über Qwen3.6-27B — Alibabas neues 27-Mrd.-Dense-Modell erreicht Flagship-Coding-Performance lokal und schlägt das vorherige Open-Source-Flaggschiff Qwen3.5-397B-A17B. Open-Weight-Druck auf die Frontier-Labs steigt weiter. simonwillison.net

Nächste Ausgabe: Donnerstag, 7. Mai 2026

Feedback? Einfach kommentieren/antworten.

Die große Nachricht der Woche

Claude Opus 4.7: Der erste klare Sprung über 60 % auf SWE-bench Pro

Am 16. April hat Anthropic Claude Opus 4.7 general-available gemacht. Das eigentliche Signal ist weniger ein weiterer Benchmark-Gewinn als der Sprung auf SWE-bench Pro 53,4 → 64,3 % — also auf dem härteren Engineering-Benchmark, der längere, realistischere Software-Aufgaben abbildet. Dazu SWE-bench Verified 80,8 → 87,6 %, Terminal-Bench 2.0 65,4 → 69,4 %, CursorBench 58 → 70 %. Auf SWE-bench Pro liegt Opus 4.7 vor GPT-5.4 (57,7 %) und Gemini 3.1 Pro (54,2 %). Dazu High-Res-Vision bis 3,75 Megapixel (3× Opus 4.6) und Pricing unverändert bei 5 $ / 25 $ pro Million In-/Output-Tokens.

Die Reaktionen darauf sind trotzdem nicht einhellig. In der Community gab es Berichte über einen höheren Tokenverbrauch bei vergleichbaren Prompts — wichtig, weil ein stärkeres Modell in der Praxis nur dann ein klarer Gewinn ist, wenn die realen Kosten im eigenen Workflow mitziehen. Ein feststehendes Faktum ist das noch nicht, aber ein Community-Signal, das Teams in eigenen Läufen messen sollten. Anthropic hat zeitgleich an den Effort-Defaults gedreht: high ist jetzt Default für Opus 4.6 und Sonnet 4.6 bei Pro- und Max-Subscribern (vorher medium); xhigh steht als neue Stufe exklusiv für Opus 4.7 bereit. Direkte Antwort auf die Nerfing-Debatte der Vorwoche.

Warum das relevant ist: Opus 4.7 ist der erste allgemein verfügbare Release, der auf SWE-bench Pro sichtbar Abstand gewinnt. Das macht ihn nicht automatisch zum Gewinner in jedem Stack, verschiebt aber die Messlatte für längere agentische Coding-Läufe, Review-Workloads und komplexere Tool-Use-Szenarien. Wer Opus im Stack hat, sollte die Upgrade-Prüfung jetzt machen — inklusive echter Token- und Laufzeitmessung im eigenen Kontext.

Quellen:

• Anthropic: Introducing Claude Opus 4.7

• VentureBeat: Opus 4.7 narrowly retakes the lead

• Vellum: Opus 4.7 Benchmarks Explained

• TheNextWeb: Opus 4.7 Agentic Benchmarks

• GitHub Changelog: Opus 4.7 GA

Die unbequeme Debatte: Claude Code und die Pro-Verwirrung

Am 21. April tauchte Claude Code auf öffentlichen Anthropic-Seiten zeitweise nicht mehr im 20-$-Pro-Plan auf; Support-Dokumente sprachen nur noch von Max. Kritik auf X und Reddit folgte unmittelbar, ein paar Stunden später war die Darstellung wieder korrigiert. Anthropics Amol Avasare klärte auf: „a small test on ~2 % of new prosumer signups” — bestehende Abonnenten seien nicht betroffen, die öffentlichen Seiten „versehentlich” aktualisiert. Das Experiment läuft unter der Haube weiter.

Simon Willison ordnet nüchtern ein: Vertrauensverlust durch die intransparente Änderung, strategisches Fragezeichen (Codex kostet weiterhin weniger), und die Frage, ob man Lehrmaterial um ein Tool baut, das sich Leser nicht leisten können. Die eigentliche Story ist deshalb weniger „Claude Code ist raus”, sondern eher: Schon kleine, intransparente Änderungen an Limits und Zugängen erzeugen sofort Vertrauensverlust.

Warum das relevant ist: Derselbe Reflex wie bei der Effort-Debatte — still an wirtschaftlichen Stellschrauben drehen, erst kommunizieren, wenn die Community rebelliert. Wer Claude Code in Team-Workflows oder Trainingsmaterial einplant, sollte nicht nur auf Modellleistung schauen, sondern auch auf die Frage: Bleibt das Setup für Leser, Teilnehmer oder Teams bezahlbar und stabil erreichbar?

Quellen:

• Where’s Your Ed At: Anthropic (Briefly) Removes Claude Code From Pro

• The Register: Anthropic tests reaction to yanking Claude Code from Pro

• Simon Willison: Is Claude Code going to cost $100/month?

• The New Stack: Claude Code Limits

Claude Code: Die Highlights der Woche

Sieben Releases in sieben Tagen: v2.1.111 bis v2.1.117. Neben Opus-4.7-Support bringt die Woche einen Architekturwechsel.

Für alle, die Claude Code täglich nutzen

Native Binary statt bundled JavaScript — v2.1.113 schaltet auf macOS und Linux auf einen nativen Claude-Code-Binary um. Glob und Grep laufen über eingebettetes bfs und ugrep via Bash. Spürbar schnellere Kaltstarts, weniger Node-Overhead, weniger Abhängigkeit von globalem npm.

/ultrareview — Seit v2.1.111, in v2.1.113 parallelisiert mit Diffstat-Ausgabe: umfassende Code-Reviews in der Cloud. Für PR-Prüfungen, die lokal zu lange dauern, wird das der neue Default.

Opus 4.7 xhigh-Effort und interaktiver Effort-Slider — Neue Stufe zwischen high und max, exklusiv für Opus 4.7. /effort ohne Argument öffnet jetzt einen Slider — endlich ein Interface für den Trade-off zwischen Geschwindigkeit und Tiefe.

Für Multi-Agent- und Plugin-Workflows

Agent-Frontmatter endlich vollständig — mcpServers und hooks aus dem Agent-Frontmatter werden jetzt auch für Main-Thread-Sessions geladen, wenn per --agent gestartet wird. Kleines Detail, großer Effekt für alle, die Agents als First-Class in Workflows behandeln.

Plugin-Dependencies auto-resolved — plugin install, /reload-plugins und Auto-Update lösen fehlende Abhängigkeiten eigenständig auf. blockedMarketplaces und strictKnownMarketplaces werden durchgesetzt — Enterprise-Admins bekommen ihre Plugin-Kontrolle zurück.

/fewer-permission-prompts-Skill — Scannt Transcripts nach häufigen read-only Bash- und MCP-Calls und schlägt eine priorisierte Allow-List für .claude/settings.json vor. Der Endgegner der ständigen Permission-Dialoge.

Für CI/CD und Sicherheit

Sandbox-Härtung — sandbox.network.deniedDomains blockt Domains auch innerhalb weit gefasster Allow-Patterns. Deny-Rules greifen jetzt bei env-, sudo-, watch-, ionice- und setsid-gewrappten Kommandos; find:*-Allow-Regeln lassen nicht mehr automatisch -exec/-delete durch. Dazu ein gefixter Edge-Case, in dem dangerouslyDisableSandbox Kommandos ohne Sandbox und ohne Permission-Prompt laufen ließ. Wer ältere 2.1er in Pipelines hat: jetzt updaten.

Performance und Plattform

/resume bis zu 67 % schneller auf Sessions >40 MB (v2.1.116), parallelisierter MCP-Startup (v2.1.117), PowerShell-Tool progressiv auf Windows via CLAUDE_CODE_USE_POWERSHELL_TOOL. OpenTelemetry bekommt effort-Attribute auf Cost-, Token- und API-Metriken — Billing-Analysen nach Effort-Level werden endlich möglich.

Quellen:

• Claude Code Changelog

• Releasebot: Claude Code April 2026

• GitHub: Claude Code Releases

Agentic Coding: Codex öffnet den Mac — und GitHub standardisiert Skills

OpenAI Codex „for (almost) everything” (16. April): Computer Use auf dem Mac, ein In-App-Browser mit Kommentar-Funktion direkt auf Webseiten, 90+ neue Plugins (Atlassian Rovo, CircleCI, CodeRabbit, GitLab Issues, Microsoft Suite, Neon, Render u. a.), Memory und proaktive Task-Vorschläge. Parallele Agents drängen sich nicht ins Foreground-Fenster. OpenAI nennt 3 Mio. weekly active Developer, npm-Downloads wuchsen von 82k (April 2025) auf 14,5 Mio. (März 2026). Die Bewegung spiegelt Anthropics Desktop-Routines aus #002 — Codex holt strategisch auf.

gh skill Public Preview (16. April, GitHub CLI v2.90.0): Ein einziger Befehl, um Agent Skills über alle großen Agent-Hosts hinweg zu installieren, zu versionieren, zu suchen und zu publizieren — Claude Code, Copilot, Cursor, Codex, Gemini. Skills folgen einer offenen Spezifikation, jede Installation trägt die Git-Tree-SHA ihres Source-Verzeichnisses, Updates vergleichen echte Content-Änderungen. Das ist im Stillen der größte Schritt in Richtung Interoperabilität, den das Ökosystem seit MCP gesehen hat.

Warum das relevant ist: Die Frontline verschiebt sich. Codex schließt den Desktop-Gap zu Claude Code, GitHub liefert das fehlende Paketformat über alle Hosts hinweg. Wer Tooling-Entscheidungen trifft, sollte ab jetzt davon ausgehen, dass Skills portabel sind — und Lock-in auf einzelne Agent-Hosts wird zur strategischen Altlast.

Quellen:

• OpenAI: Codex for (almost) everything

• MacRumors: Codex Mac Update

• GitHub Changelog: gh skill

• Groundy: gh skill command analysis

Trend der Woche

Agent Skills werden zum neuen npm

Drei Bewegungen zeigen in dieselbe Richtung: gh skill macht Skills portabel über Hosts, Claude Code v2.1.111 erlaubt, built-in Slash-Commands (/init, /review, /security-review) via Skill-Tool zu discovern, und OpenAI Codex baut rund um Skills, Plugins und MCP-Server ein modulareres Ökosystem aus. Noch ist das kein vollständig konsolidierter Standard — aber es ist gut möglich, dass wir gerade den Moment sehen, in dem „Skill” vom Prompt-Schnipsel zum versionierten, signierten, cross-kompatiblen Artefakt wird. Wer Agentic Engineering ernsthaft baut, sollte aufhören, Wissen in Prompts und Repo-Wikis zu verstreuen, und Skills als First-Class-Artefakt versionieren. Genau dort dürfte sich in den nächsten Monaten entscheiden, welche Teams nur mit Agenten experimentieren — und welche daraus echte Produktivität ziehen.

Quellen:

• GitHub: Manage agent skills with GitHub CLI

• Anthropic Claude Code: Skills in changelog

• Big Hat Group: gh skill Deep Dive

Kurz notiert

• Claude Design (17. April) — Anthropic Labs launcht Research Preview für Prototypen, Slides, One-Pager. Powered by Opus 4.7, liest Codebase und Design-Systeme, Export zu Canva, PDF, PPTX oder als Handoff-Bundle an Claude Code. Figmas Aktie reagierte sofort negativ. Anthropic · TechCrunch

• Mythos-Leak-Report — TechCrunch berichtete am 21. April, eine unautorisierte Gruppe habe Zugriff auf Anthropics exklusives Cyber-Modell Mythos erlangt. Das Modell war nur im Rahmen von Project Glasswing an AWS, Apple, Google, JPMorgan, Microsoft und Nvidia verteilt. Anthropic hat bislang nicht offiziell kommentiert. TechCrunch

• Simon Willison zur Agent-Definition — Nach monatelangem Herumschlagen gibt es jetzt eine konsensfähige: „An LLM agent runs tools in a loop to achieve a goal.” simonw.substack.com

• GitHub Copilot Individual Plan-Änderungen — Am selben Tag wie das Anthropic-Pricing-Drama kündigt GitHub Usage-basierte Limits für Copilot-Agenten-Workflows an. Agentic Coding knirscht an den Rändern der alten Flatrate-Modelle. simonwillison.net

Nächste Ausgabe: Donnerstag, 30. April 2026

Feedback? Einfach kommentieren/antworten.

Die große Nachricht der Woche

Claude Code Desktop bekommt Routines — und wird zur Agent-Plattform

Am 14. April hat Anthropic die Claude Code Desktop App von Grund auf neu gebaut. Das ist kein kosmetisches Update, sondern ein Architekturwechsel: Die App ist jetzt um parallele Sessions herum organisiert, mit einer Sidebar zum Managen mehrerer gleichzeitiger Agent-Läufe, Drag-and-Drop-Layout, integriertem Terminal und File-Editor.

Das eigentliche Highlight heißt Routines — eine neue Automatisierungsschicht, die Claude Code ohne aktive Session laufen lässt. Eine Routine bündelt Prompt, Repository und Connectors in eine Konfiguration, die auf drei Arten triggern kann: nach Zeitplan, per API-Call oder durch ein GitHub-Event (z.B. neuer Pull Request). Routines laufen auf Anthropics Web-Infrastruktur, nicht lokal. Daily Caps nach Plan: Pro 5, Max 15, Team/Enterprise 25 (weitere zukaufbar).

Dazu kommt: Claude Code kann jetzt den Mac fernsteuern — wenn kein direkter Connector existiert (Slack, Google Calendar), navigiert Claude über den Bildschirm wie ein Mensch. Drei View Modes (Verbose, Normal, Summary) lassen Nutzer steuern, wie viel von Claudes Tool-Aktivität sie sehen wollen.

Warum das relevant ist: Wer letzte Woche das Conway-Leak verfolgt hat (immer noch unbestätigt), sieht hier die offizielle Version: Claude bewegt sich von einem reaktiven Tool zu einem persistent laufenden, event-gesteuerten Agent. Routines sind der erste produktionsreife Schritt dahin.

Quellen:

• MacRumors: Anthropic Rebuilds Claude Code Desktop

• VentureBeat: Routines Hands-On

• 9to5Mac: Routines Feature

• SiliconANGLE: Routines & Desktop Makeover

Die unbequeme Debatte: Wird Claude schlechter?

Es ist das Thema der Woche in der Community: Eine wachsende Zahl von Power-Usern beklagt, dass Claude — insbesondere Opus 4.6 — seit Februar spürbar schwächer geworden ist. Weniger gründliche Analysen, mehr Abkürzungen, häufigeres vorzeitiges Abbrechen.

Die Ursache ist bekannt: Anthropic hat das Default-Effort-Level von Opus 4.6 am 9. Februar auf Adaptive Thinking umgestellt und am 3. März auf Medium Effort (Level 85) gesenkt. Weniger Tokens pro Anfrage, schnellere Antworten — aber auch weniger Tiefe.

Stella Laurenzo, Senior Director bei AMDs AI-Gruppe, hat die Debatte mit einer datengestützten Analyse auf GitHub befeuert: 6.852 Sessions, 17.871 Thinking Blocks, 234.760 Tool Calls. Ihr Befund: Die Reasoning-Tiefe fiel ab Februar messbar, während „Simplest Fix”-Verhalten, Premature Stopping und Edit-first statt Research-first zunahmen.

Die Community-Reaktion ist deutlich. Fortune, VentureBeat, Axios und The Register haben berichtet. Der Vorwurf: Anthropic habe die Änderung nicht transparent genug kommuniziert — sie stand im Changelog, wurde aber nicht prominent angekündigt. Die Spekulation, dass Anthropic unter Compute-Knappheit leidet, hält sich hartnäckig.

Anthropics Antwort: Teams und Enterprise-Nutzer sollen künftig standardmäßig auf High Effort laufen, auch wenn das mehr Tokens und Latenz kostet. Für alle anderen bleibt /effort max der Workaround.

Quellen:

• Fortune: Anthropic Performance Backlash

• Axios: Anthropic’s AI Downgrade Stings Power Users

• VentureBeat: Is Anthropic ‘Nerfing’ Claude?

• The Register: Claude Is Getting Worse, According to Claude

• Stella Laurenzo: 6,852 Sessions Analysis

Claude Code CLI: Die Highlights der Woche

Sieben Releases in sieben Tagen — von v2.1.96 bis v2.1.108. Hier die Highlights, sortiert danach, wen sie betreffen:

Für alle, die Claude Code täglich nutzen

/recap — Beim Zurückkehren in eine Session liefert Claude jetzt automatisch einen Kontext-Überblick. Konfigurierbar in /config, manuell aufrufbar mit /recap. Wer viele parallele Sessions jongliert und nach einem Kontextwechsel erst mal „Wo war ich?” denkt, spart damit spürbar Zeit.

Prompt Caching wird steuerbar — Zwei neue Environment-Variablen: ENABLE_PROMPT_CACHING_1H für eine einstündige Cache-TTL, FORCE_PROMPT_CACHING_5M für fünf Minuten. Relevant für alle, die ihre API-Kosten optimieren oder auf langsamen Backends arbeiten. Ein Bug, bei dem Subscriber mit DISABLE_TELEMETRY auf 5 Minuten statt 1 Stunde zurückfielen, wurde gefixt.

Für Multi-Agent- und MCP-Workflows

Background Monitors — Plugins können jetzt über den monitors Manifest-Key automatisch mit der Session starten. Wer Monitoring-Tools für Builds, Tests oder Deployments als Plugin betreibt, bekommt damit eine hands-off Lösung. Dazu: /reload-plugins erkennt neue Skills ohne Neustart.

PreCompact Hook — Hooks können Compaction blockieren (Exit-Code 2 oder {"decision":"block"}). Nützlich für Agents, die mitten in einer langen Analyse stecken und ihren Kontext nicht verlieren dürfen.

Für CI/CD und Automation

Security-Fixes — Mehrere Bash-Tool-Permission-Bypasses gefixt in v2.1.97/98: Backslash-Escaping umging Auto-Allow-Regeln, Redirects über /dev/tcp und /dev/udp wurden nicht abgefangen, Env-Var-Prefixes tricksten die Permission-Prüfung aus. Wer ältere Versionen in Pipelines nutzt: jetzt updaten.

Enterprise und Plattform

Google Vertex AI Setup Wizard — Interaktiver Wizard für GCP-Authentifizierung, Projekt- und Regionskonfiguration, direkt vom Login-Screen aus. OS-CA-Zertifikate werden jetzt standardmäßig vertraut — Schluss mit manueller Zertifikats-Konfiguration für Enterprise-TLS-Proxies. Dazu PID Namespace Isolation für Subprocess-Sandboxing auf Linux und ein neuer /team-onboarding-Command, der Onboarding-Guides für Teammitglieder aus der eigenen Claude-Code-Nutzung generiert.

Quellen:

• Claude Code Changelog

• Releasebot: Claude Code

• GitHub: Claude Code Releases

Agentic Coding: Cursor 3 und der Drei-Wege-Kampf

Cursor 3 markiert einen Paradigmenwechsel: Das Interface wurde komplett um die Idee herum neu gebaut, dass der Großteil des Codes von AI Agents geschrieben wird. Highlights: Agents Window, Design Mode, Cloud Agents. Composer 2 erreicht 61,3 auf CursorBench (+37 %) und 73,7 auf SWE-bench Multilingual. Anysphere hat über 3 Milliarden Dollar eingesammelt bei einer ARR von 2 Milliarden.

Der Markt teilt sich in drei Philosophien: Cursor setzt auf IDE-native Deep Integration, GitHub Copilot auf Reichweite und Enterprise (Agent Mode GA, agentic Code Review seit März), Claude Code auf Terminal-first mit Routines und maximaler Flexibilität. Die Wahl des Stacks ist jetzt eine Architekturentscheidung.

Quellen:

• DEV Community: Cursor 3 Launch

• NxCode: Cursor vs Claude Code vs Copilot

Trend der Woche

Anthropic auf dem Weg zum Börsengang — die 800-Milliarden-Frage

Anthropic zieht Investoren-Angebote an, die das Unternehmen mit bis zu 800 Milliarden Dollar bewerten — mehr als das Doppelte der Bewertung von 380 Milliarden aus dem Februar. Annualisierte Revenue: über 30 Milliarden Dollar. IPO wird für Oktober 2026 erwartet.

Vas Narasimhan, CEO von Novartis, wurde am 14. April in den Board berufen — erstes Pharma-Schwergewicht, klares Signal Richtung Healthcare. Trust-berufene Direktoren stellen jetzt die Board-Mehrheit. Ein IPO-bereites Anthropic wird Claude Code aggressiver kommerzialisieren — die Enterprise-Features und Routines der letzten Woche passen ins Bild.

Quellen:

• Bloomberg: Anthropic $800B Valuation

• Anthropic: Narasimhan Board

• Benzinga: Anthropic IPO

Kurz notiert

• Conway-Leak — Anfang April tauchten 512.000 Zeilen Claude-Code-Quellcode auf, darin Details zu einer Always-On-Agent-Plattform namens Conway. Anthropic hat weder bestätigt noch dementiert. Routines könnten die offizielle Antwort sein. MindStudio

• Claude-Outage am 15. April — Erhebliche Störung bei Claude.ai, API und Claude Code von ~10:53 bis 13:42 ET. Wer Production-Workloads laufen hat: Redundanz einplanen. CNBC

• Simon Willison über Cybersecurity als „Proof of Work” — AI-Modelle wie Mythos verändern Vulnerability Research fundamental. simonwillison.net

• Anthropic Agentic Coding Trends Report 2026 — Umfassender Bericht darüber, wie Coding Agents Workflows verändern. Pflichtlektüre. Anthropic Resources

• ICSE 2026: Workshop Agentic Engineering — Die führende Software-Engineering-Konferenz widmet dem Thema erstmals einen eigenen Workshop. ICSE 2026

Nächste Ausgabe: Donnerstag, 23. April 2026

Die große Nachricht der Woche

Anthropic stellt Claude Mythos vor — und sperrt das Modell sofort weg

Am Montag hat Anthropic mit Claude Mythos Preview ein neues Frontier-Modell vorgestellt, das vor allem durch eine Fähigkeit auffällt: Es findet und exploitet Zero-Day-Schwachstellen in allen großen Betriebssystemen und Browsern. In internen Tests identifizierte Mythos tausende bisher unbekannte Sicherheitslücken, viele davon in Code, der ein bis zwei Jahrzehnte alt ist.

Der Clou: Anthropic veröffentlicht das Modell nicht frei, sondern nur über Project Glasswing — eine neue Initiative für defensive Cybersecurity. Zwölf Launch-Partner, darunter AWS, Apple, Google, Microsoft, CrowdStrike und die Linux Foundation, erhalten kontrollierten Zugang. Anthropic stellt dafür bis zu 100 Millionen Dollar an Usage Credits und 4 Millionen Dollar an Direktspenden für Open-Source-Security bereit.

Simon Willison kommentierte treffend: Die Entscheidung, ein derart mächtiges Modell zunächst nur für Sicherheitsforscher zugänglich zu machen, sei „notwendig”. Platformer berichtet gleichzeitig, dass einige Security-Experten beunruhigt sind — die Frage, wie lange der Vorsprung der Verteidiger hält, steht im Raum.

Warum das relevant ist: Agentic Security ist der logische nächste Schritt — wenn AI Agents Code schreiben, müssen andere AI Agents ihn absichern. Mythos zeigt, wohin die Reise geht.

Quellen:

• Anthropic: Project Glasswing

• TechCrunch: Anthropic Mythos Preview

• Simon Willison’s Take

• The Hacker News: Zero-Day Findings

Claude Code: Die Highlights der Woche

Die Versionen v2.1.89 bis v2.1.92 brachten eine dichte Folge an Updates — hier die Highlights, sortiert danach, wen sie betreffen:

Für alle, die Claude Code täglich nutzen

Flicker-free Rendering — Mit CLAUDE_CODE_NO_FLICKER=1 gibt es eine Alt-Screen-Rendering-Option mit virtualisiertem Scrollback. Wer längere Agent-Sessions laufen lässt und vom Flackern bei schnellen Ausgaben genervt war, bekommt endlich eine saubere Terminal-Erfahrung.

/powerup Command — Interaktive Lektionen mit animierten Demos, die Claude-Code-Features Schritt für Schritt erklären. Besonders nützlich für Einsteiger, aber auch für erfahrene Nutzer, die versteckte Features entdecken wollen.

Bessere /cost-Transparenz — Per-Model- und Cache-Hit-Aufschlüsselung zeigt jetzt genau, wohin das Budget fließt. Relevant für alle, die ihre API-Kosten im Blick behalten müssen.

Für Multi-Agent- und MCP-Workflows

MCP 500K — Die maximale Tool-Result-Größe springt auf 500.000 Zeichen. Wer MCP-Server baut, die große Datenmengen zurückgeben — etwa Datenbank-Dumps, lange Logs oder umfangreiche API-Responses — ist damit nicht mehr so schnell am Limit.

Named Subagents — Subagents tauchen namentlich in den @-Mention-Vorschlägen auf. Für Teams, die mit spezialisierten Agents arbeiten (z.B. ein Test-Agent, ein Review-Agent, ein Deploy-Agent), wird die Orchestrierung damit deutlich intuitiver.

Für CI/CD und Automation

Permission Deferral für Headless Mode — PreToolUse Hooks können Sessions jetzt pausieren und extern wieder aufnehmen. Der Use Case: Ein Agent in einer CI-Pipeline stößt auf eine Aktion, die menschliche Freigabe braucht — statt abzubrechen, wartet er, bis jemand grünes Licht gibt.

PermissionDenied Hook — Neuer Hook, der nach Ablehnungen durch den Auto-Mode-Classifier feuert. Mit {retry: true} kann der Agent automatisch einen alternativen Weg einschlagen. Nützlich für robustere autonome Workflows, die nicht beim ersten „Nein” aufgeben sollen.

Performance und Plattform

Schnellere Write-Tool-Diffs für große Dateien (60 % schneller, besonders bei Dateien mit Tabs und Sonderzeichen), SSE-Transport jetzt in O(n) statt O(n²) — spürbar bei langen Sessions mit vielen Tool-Calls. Dazu ein interaktiver Bedrock Setup Wizard für AWS-Nutzer und eine Windows PowerShell Preview für das wachsende Windows-Lager.

Quellen:

• Claude Code Changelog

• GitHub Releases

• Releasebot: Claude Code

Agentic Coding: Die Branche sortiert sich

Cursor launcht Agent Experience — Cursor hat eine neue Agent-Erfahrung vorgestellt, die explizit gegen Claude Code und Codex positioniert ist. Der Agent kann Dateien lesen/schreiben, Tests im Terminal ausführen, Fehler iterativ beheben und das gesamte Repository per RAG indexieren.

GitHub Copilot trainiert auf euren Daten — Ab dem 24. April nutzt GitHub Interaktionsdaten von Free-, Pro- und Pro+-Nutzern zum Modelltraining — inklusive Code-Snippets, Dateinamen und Repository-Strukturen. Opt-out ist möglich, aber nicht der Default. Business- und Enterprise-Kunden sind ausgenommen. Die Community-Reaktion ist eindeutig: 59 Thumbs-down, 3 Rockets. Wer nicht mitmachen will, sollte jetzt unter /settings/copilot/features die Option deaktivieren.

GitHub Agent HQ — Claude und OpenAI Codex sind jetzt als wählbare Agents in Public Preview verfügbar — direkt in GitHub, GitHub Mobile und VS Code. Die Multi-Agent-Zukunft wird konkret: Man wählt seinen Agent je nach Task.

CodeSignal: Agentic Coding Assessments — CodeSignal hat eine neue Kategorie technischer Assessments eingeführt, die misst, wie gut Entwickler mit AI-Agents arbeiten. Laut deren Umfrage nutzen bereits 91 % der befragten US-Entwickler Agentic-AI-Tools bei der Arbeit, 75 % haben in den letzten sechs Monaten zumindest teilweise AI-generierten Code in Production deployed.

Quellen:

• Cursor Agent Experience

• GitHub Blog: Copilot Data Policy

• GitHub Blog: Agent HQ

• The Register: GitHub Training

• CodeSignal: Agentic Assessments

Trend der Woche

Von Vibe Coding zu Agentic Engineering — die Reifephase

Das Buzzword „Vibe Coding” aus 2025 — locker prompten und schauen, was passiert — weicht einer strukturierteren Disziplin. Medium-Autor ESA Engineering beschreibt den Übergang treffend: Agentic Coding ist für Produktions-CI/CD-Pipelines und große Refactors gebaut, Vibe Coding für Hackathon-Prototypen.

Gartner prognostiziert, dass 40 % der Enterprise-Anwendungen bis Ende 2026 aufgabenspezifische AI-Agents enthalten werden (2025: unter 5 %). Anfragen zu Multi-Agent-Systemen stiegen um 1.445 % von Q1 2024 bis Q2 2025. Multi-Model-Routing wird dabei zur Pflicht: Das Plan-and-Execute-Pattern — ein starkes Modell plant, günstigere Modelle führen aus — senkt die Kosten um bis zu 90 %.

Gleichzeitig wächst die Skepsis: 80 % der Entwickler nutzen AI Coding Agents, aber das Vertrauen in deren Accuracy ist von 40 % auf 29 % gefallen. Die zentrale Herausforderung 2026: Agents, denen man vertrauen kann — nicht nur welche, die beeindruckend aussehen. Die Branche konsolidiert sich um das Muster human-prompted → agent-executed → human-reviewed.

Quellen:

• Medium: From Vibe to Agentic

• Gartner’s Multi-Agent Systems Boom

• The New Stack: 5 Key Trends

• Let’s Data Science: Developer Trust

Kurz notiert

• Anthropic sichert sich 3,5 GW Compute — Neuer Deal mit Google und Broadcom, TPU-Kapazität ab 2027. Run-Rate-Revenue liegt bei über 30 Mrd. Dollar. TechCrunch · CNBC

• 1M-Token-Context-Beta wird eingestellt — Ab 30. April hat der context-1m-2025-08-07 Beta-Header keine Wirkung mehr für Sonnet 4.5 und Sonnet 4. Anthropic Release Notes

• OpenAI, Anthropic und Google gegen Model-Distillation — Die drei arbeiten über das Frontier Model Forum zusammen, um adversariale Distillationsversuche aus China zu erkennen. Bloomberg

• Xcode 26.3 mit Agentic Coding — Apple integriert Claude Agent und OpenAI Codex über MCP in Xcode. Apple Newsroom

• Coefficient Bio Akquisition — Anthropic kauft AI-Biotech-Startup für ~400M Dollar, Team geht in die Healthcare & Life Sciences Gruppe.

• Claude-Ausfälle — Am 6. und 8. April gab es Outages bei Claude — relevant für alle, die Production Workloads darauf laufen haben. TechRadar

Nächste Ausgabe: Mittwoch, 15. April 2026
Feedback? Einfach antworten — ich justiere gerne Fokus, Tiefe und Quellen.

“If Claude decides to delete all my files: no big deal — but only inside an isolated VM.”

Anyone who uses Claude Code in the terminal with default settings knows the drill: many commands require approval before Claude Code executes them. You constantly have to weigh whether a given command is safe or not.

“Allow this? Allow once? Allow always?”

You keep checking: is this harmless, or could this command cause problems? Cognitive load from reading command lines.

There are essentially two extremes: either you review every single permission request yourself, or you use the --dangerously-skip-permissions option, which allows everything. In between, there are many gradations. You can define your permissions with fine granularity, but that’s almost as much effort.

How nice would it be if you could simply allow everything while still being certain that nothing unwanted happens on your machine. Then agentic coding could proceed unhindered and you’d get results fast.

That’s exactly what an isolated system promises — one that runs shielded from your actual computer. Such an isolated system reduces the blast radius — the maximum damage a misguided command can cause — immensely. If something goes wrong, you simply restart and return to the last stable state. There are many ways to implement this.

One of them is the /sandbox command built into Claude Code. It activates a sandbox that restricts Claude Code at the OS level — file access and networking. You can let commands run automatically without confirming each one, because the sandbox limits what can happen. But how secure is it really?

And then there’s Cowork in the desktop version of the Claude app. Cowork is aimed more at knowledge workers than developers. It can access folders, create and modify files, install packages — all autonomously. At first glance, it’s not obvious how the protection works. There’s no /sandbox command you’d need to activate. The isolation happens in the background.

I was curious about both: how does the sandbox work in Claude Code? And how does Cowork protect me from unwanted changes on my machine?

I didn’t want to rely on the documentation alone — instead, I examined both systems from the inside. Here’s what I found.

Two Products, Two Audiences, Two Security Models

Before I dive into the technical details, an important distinction:

Claude Code is a terminal tool for developers. It executes commands on your machine — in the same context where you work. The sandbox must be manually activated (/sandbox), making it opt-in. That makes sense: developers need as few restrictions as possible to be productive. They want to run commands that a restrictive sandbox would block. But with great power comes great responsibility. You need to understand what you’re approving.

Cowork is part of the Claude Desktop app and is aimed at users who don’t want to deal with the command line. When someone asks Claude to create an Excel spreadsheet from five PDFs, they expect a result — not a discussion about file permissions. Cowork therefore needs to provide stronger protection, without requiring the user to configure anything.

The result: two different isolation models for two different risk profiles.

Let’s get into the details.

Cowork: A Linux Inside Your Mac

Cowork launches a lightweight Linux VM via Apple’s Virtualization.framework. Not a container, but a real virtual machine with its own kernel.

What does the VM say about itself?

$ cat /etc/os-release
PRETTY_NAME="Ubuntu 22.04.5 LTS"

$ uname -r
6.8.0-94-generic

$ uname -m
aarch64

$ nproc
4

$ free -h
              total    used    free
Mem:          3.8Gi   564Mi   1.8Gi
Swap:            0B      0B      0B

$ df -h /
Filesystem      Size  Used Avail Use%
/dev/nvme0n1p1  9.6G  7.2G  2.4G  75%

Ubuntu 22.04 on ARM64, 4 cores, 3.8 GB RAM, a 10 GB disk. No swap. Lean enough for document processing and scripts, but not meant for machine learning training.

On the macOS host, the VM files live at ~/Library/Application Support/Claude/vm_bundles/claudevm.bundle/. The root image (rootfs.img) is 10 GB as a sparse file but only occupies about 7.5 GB on disk.

Alongside it sits a compressed backup (rootfs.img.zst, ~2 GB) and a few configuration files: efivars.fd, macAddress, machineIdentifier.

How Three Layers Work Together to Secure the Isolation

The VM alone would already be a solid boundary. But Anthropic stacks three layers on top of each other.

Layer 1: The VM

Apple’s Virtualization.framework provides hardware isolation. The guest has its own kernel. Even an rm -rf / inside the VM leaves the host untouched.

Layer 2: bubblewrap + seccomp

Inside the VM, Claude doesn’t run directly — first comes bubblewrap (short: bwrap). Bubblewrap is a sandboxing tool that uses Linux namespaces to isolate processes from each other — similar to what containers do, but more lightweight.

It restricts what a process can see and do: which files, which network interfaces, which other processes.

In the Cowork VM, bubblewrap is PID 1 — the very first process:

$ cat /proc/1/status | head -2
Name:   bwrap
State:  S (sleeping)

The bwrap command line (readable via /proc/1/cmdline) shows the key restrictions at a glance:

• --unshare-net — separate network namespace, no direct network access

• --unshare-pid — separate PID namespace, other processes invisible

• --ro-bind / / — root filesystem mounted read-only

• --die-with-parent — if the parent process dies, the sandbox dies with it

• --tmpfs /etc/ssh/ssh_config.d — SSH configuration overlaid with an empty tmpfs

Additionally, a seccomp filter is loaded. Seccomp (Secure Computing Mode) is a Linux kernel mechanism that determines which system calls a process is allowed to make. System calls are the interface between a program and the operating system — opening files, establishing network connections, starting processes.

A seccomp filter can selectively block individual system calls, drastically limiting a process’s radius of action.

$ grep Seccomp /proc/self/status
Seccomp:         2
Seccomp_filters: 2

Seccomp: 2 means filter mode — there’s an active allowlist for permitted syscalls. The filter file is called unix-block.bpf and is loaded via a dedicated binary (apply-seccomp).

Layer 3: Network Isolation

No process in the sandbox has direct internet access. All traffic goes through a local proxy:

$ env | grep HTTP_PROXY
HTTP_PROXY=http://localhost:3128

$ env | grep ALL_PROXY
ALL_PROXY=socks5h://localhost:1080

The proxy runs via socat, which tunnels TCP connections into Unix sockets that lead out of the VM. On the host side, an allowlist decides which domains may pass through.

I tested it:

$ curl -s -o /dev/null -w "%{http_code}" https://registry.npmjs.org
200

$ curl -s -o /dev/null -w "%{http_code}" https://pypi.org
200

$ curl -sv https://evil-exfiltration-test.example.org 2>&1 | grep "HTTP/1.1"
< HTTP/1.1 403 Forbidden

$ curl -sv https://evil-exfiltration-test.example.org 2>&1 | grep "X-Proxy"
< X-Proxy-Error: blocked-by-allowlist

npm and PyPI get through. Everything else receives a 403 Forbidden with the header X-Proxy-Error: blocked-by-allowlist. Direct DNS lookups also fail:

$ nslookup google.com
socket(): Operation not permitted
;; no servers could be reached

This is consistent: even if a prompt injection attack were to trick Claude into sending data to an external server — the proxy would block it.

Which Files Does the VM See?

Files enter the VM via VirtioFS — a filesystem protocol designed specifically for communication between a VM and its host. Instead of simulating real hardware, host and guest cooperate deliberately (paravirtualization). This makes file access fast and low-overhead.

$ mount | grep virtiofs
/mnt/.virtiofs-root/shared/Work/.../Marketing on
  /sessions/elegant-adoring-brown/mnt/Marketing type fuse (rw,...)

Only the folder I selected in the Desktop app is mounted. Not my home directory, not my Desktop, not my Downloads — just the one folder I explicitly shared.

Plugins and Skills are additionally mounted via bindfs. Bindfs is a FUSE filesystem that remounts an existing folder at a different location — similar to a symlink, but with the ability to change permissions. This way, Skills can be mounted read-only even though they’re writable on the host. Uploads also land in a separate, read-only mount.

One detail reveals that the VM serves multiple conversations simultaneously: the /sessions/ directory contains different sessions side by side:

$ ls -la /sessions/
drwxr-x--- elegant-adoring-brown  elegant-adoring-brown  ...
drwxr-x--- nobody                 nogroup                awesome-epic-mccarthy
drwxr-x--- nobody                 nogroup                dazzling-vibrant-carson

Each session gets its own Linux user with its own UID. My user is called elegant-adoring-brown (uid 1005). The other sessions are listed under nobody — I can’t read their files.

How Does Claude Code Protect Without a VM?

Claude Code in the terminal uses a different approach on macOS: Apple’s Seatbelt (also known as sandbox-exec). Instead of a VM, a dynamically generated sandbox profile restricts the process at the OS level. Important: the sandbox must be manually activated with /sandbox — without this step, Claude Code runs without OS-level isolation.

The profile starts with (deny default) — everything is forbidden unless explicitly allowed. The sandbox runtime is open source and available on GitHub. I downloaded the npm package @anthropic-ai/sandbox-runtime and analyzed the macos-sandbox-utils.js:

• 59 sysctl entries are made readable (hardware info like CPU count, memory size)

• 14 Mach IPC services on the whitelist (Fonts, Logging, Security Server)

• Mandatory denies for .env, .ssh, .aws, .git/hooks, .git/config — even when the working directory has write access

• Move blocking: file-write-rename and file-write-unlink are blocked for protected paths, preventing circumvention of the denies via mv

The network isolation works the same way as with Cowork: all traffic goes through the same proxy with an allowlist. The difference: with Seatbelt, this happens at the process level (same kernel); with Cowork, at the VM level (separate kernel).

Why Two Models?

Claude Code is aimed at developers who need fast feedback in the terminal. The Seatbelt overhead is in the low single-digit millisecond range — I measured it on the host, no perceptible difference from a command without sandbox. Developers can selectively activate the sandbox when they want to give an agent more autonomy without having to approve every command.

Cowork gives Claude significantly more autonomy: it runs longer, creates files independently, installs packages. And it’s aimed at users who can’t assess (and don’t need to assess) which commands are being executed at the operating system level. The potential damage from an agent with local file access, code generation, and network egress is greater — and users are less able to evaluate it. Full VM isolation is appropriate here.

What I Take Away From This

The isolation is real. Not just on paper, but verifiable.

Three things convinced me in particular:

First, the proxy allowlist with the explicit X-Proxy-Error: blocked-by-allowlist header. This isn’t a silent error message but a deliberate architectural decision. You can immediately see why a connection fails.

Second, the layering. The VM alone would be good. With bubblewrap and seccomp, it gets better. All three together make it significantly harder to break out of the sandbox. An exploit would have to simultaneously bypass the seccomp filter, escape the bwrap namespace, and then break out of the VM — on a system with no direct network access.

Third, the transparency. The sandbox runtime is open source. I downloaded the macos-sandbox-utils.js code — the 59 sysctl entries, the 14 Mach services, and the mandatory denies for .env, .ssh, and .aws are all there in black and white. The Seatbelt profile is dynamically generated, but the generating code is inspectable. The VM architecture can be examined from the inside. You don’t have to take anyone’s word for it — you can look for yourself.

If you want to look for yourself: the sandbox runtime is on GitHub. An npm pack and a look at macos-sandbox-utils.js is all it takes to understand the Seatbelt profile.

What You Can Do Now

If you’re using Claude Code and haven’t tried the sandbox yet: start a session and type /sandbox. That alone significantly reduces the effort of approving commands one by one. For everyday use, that’s often enough.

If you want to go deeper:

• Inspect the sandbox runtime: npm pack @anthropic-ai/sandbox-runtime, unpack, read macos-sandbox-utils.js. There you’ll see exactly what’s allowed and what’s blocked.

• Examine Cowork from the inside: Launch Cowork and ask it to run cat /proc/1/cmdline | tr '\0' '\n'. The bubblewrap flags reveal the isolation in detail.

• Test the network: A curl https://evil-exfiltration-test.example.org inside the sandbox immediately shows you whether the allowlist is working.

What’s Next?

The current state is clear. But one question remains: will it stay this way? Claude Code and Cowork already share the agentic architecture — and there are concrete signals that the security models are converging as well:

• Docker is delivering MicroVM sandboxes with docker-model-runner, specifically designed for AI agents.

• Apple is bringing its own Containerization framework with macOS 26 — native container support on the Mac for the first time.

• Anthropic documents DevContainers as the official path toward stronger isolation in Claude Code.

Three players, three approaches, one goal: agents should be able to do more without being able to cause more damage. In the next article, I’ll examine the pros and cons of each path — and why I consider one of them the most likely.

If you want to be notified when the next article is published:

Jetzt abonnieren

Subscribe to my Substack — free, no spam, just substance.

Sources

• Sandboxing — Claude Code Docs

• sandbox-runtime (GitHub)

• Inside Claude Cowork (Pedro José Pereira Vieito) — Reverse engineering analysis of the VM architecture

• Apple Virtualization Framework

KI-Agenten führen Befehle auf deinem Rechner aus — aber wie gut schützen dich die Sandboxes von Claude Code und Cowork? Beide versprechen Isolation, setzen aber auf unterschiedliche Mechanismen. Ich habe nicht nur die Dokumentation gelesen, sondern beide Systeme mit Linux-Tools von innen untersucht. Das Ergebnis: Die Isolation ist real, nachprüfbar und überraschend durchdacht.

„Falls sich Claude entscheidet, alle meine Dateien zu löschen: Halb so wild. Aber bitte nur innerhalb einer isolierten VM !“

Wer Claude Code im Terminal mit den Standardeinstellungen nutzt, kennt das: Viele Befehle benötigen eine Freigabe, bevor Claude Code sie ausführt.

Immer wieder muss man abwägen, ob der jeweilige Befehl in Ordnung geht oder nicht:

„Allow this? Allow once? Allow always?“

Ständig prüft man: Ist das ungefährlich oder könnte dieser Befehl zu Problemen führen? Cognitive Load durch Kommandozeilen lesen.

Im Grunde gibt es zwei extreme Ansätze: Entweder man prüft jede einzelne Freigabeanfrage selbst oder setzt auf die Option --dangerously-skip-permissions, wodurch alles erlaubt ist. Dazwischen gibt es viele Abstufungen. Man kann seine Permissions feingranular definieren, aber das ist fast genauso aufwendig.

Wie schön wäre es, wenn man einfach alles erlauben könnte und dennoch sicher sein könnte, dass nichts Unerwünschtes auf dem eigenen Rechner passiert. Dann könnte Agentic Coding ungebremst stattfinden und man käme schnell zu Ergebnissen.

Genau das verspricht ein isoliertes System, das abgeschirmt vom eigenen Computer läuft. So ein isoliertes System verringert den Blast Radius — also den Schaden, den ein fehlgeleiteter Befehl maximal anrichten kann — immens. Wenn etwas schief geht, startet man einfach neu und geht zum letzten stabilen Ausgangszustand zurück. Es gibt viele Möglichkeiten, das umzusetzen.

Eine davon ist der in Claude Code eingebaute /sandbox-Befehl. Er aktiviert eine Sandbox, die Claude Code auf OS-Ebene einschränkt — Dateizugriffe und Netzwerk. Man kann Commands automatisch laufen lassen, ohne jedes Mal zu bestätigen, weil die Sandbox begrenzt, was passieren kann. Aber wie sicher ist das wirklich?

Und dann gibt es noch Cowork in der Desktop-Variante der Claude-App. Cowork richtet sich eher an Wissensarbeiter, nicht direkt an Entwickler. Es darf auf Ordner zugreifen, Dateien erstellen und verändern, Pakete installieren — und das alles autonom. Auf den ersten Blick ist dabei nicht ersichtlich, wie die Absicherung funktioniert. Es gibt keinen /sandbox-Befehl, den man aktivieren müsste. Die Isolation passiert im Hintergrund.

Mich hat beides interessiert: Wie funktioniert die Sandbox in Claude Code? Und wie schützt mich Cowork davor, dass ungewollte Änderungen auf meinem Rechner passieren?

Dabei wollte ich mich nicht nur auf die Dokumentation verlassen, sondern ich habe beide Systeme von innen untersucht. Hier ist, was ich gefunden habe.

Zwei Produkte, zwei Zielgruppen, zwei Sicherheitsmodelle

Bevor ich in die Technik gehe, ein wichtiger Unterschied:

Claude Code ist ein Terminal-Tool für Entwickler. Es führt Befehle auf deinem Rechner aus — im selben Kontext, in dem du arbeitest. Die Sandbox muss manuell aktiviert werden (/sandbox), ist opt-in. Das ergibt Sinn: Entwickler brauchen möglichst wenig Einschränkungen, um produktiv zu sein. Sie wollen Befehle ausführen können, die eine restriktive Sandbox behindern würde. Aber mit vielen Rechten kommt viel Verantwortung. Man muss verstehen, was man abnickt.

Cowork ist Teil der Claude Desktop-App und richtet sich an Nutzer, die sich nicht mit der Kommandozeile auseinander setzen wollen. Wenn jemand Claude bittet, eine Excel-Tabelle aus fünf PDFs zu erstellen, erwartet er ein Ergebnis — nicht eine Diskussion über Dateiberechtigungen. Cowork muss daher stärker absichern, und zwar ohne dass der Nutzer das konfigurieren muss.

Das Ergebnis: Zwei unterschiedliche Isolationsmodelle für zwei unterschiedliche Risikoprofile.

Lass uns in die Details gehen.

Cowork: Ein Linux in deinem Mac

Cowork startet eine leichtgewichtige Linux-VM über Apples Virtualization.framework. Kein Container, sondern eine echte virtuelle Maschine mit eigenem Kernel.

Was sagt die VM über sich?

$ cat /etc/os-release
PRETTY_NAME="Ubuntu 22.04.5 LTS"

$ uname -r
6.8.0-94-generic

$ uname -m
aarch64

$ nproc
4

$ free -h
              total    used    free
Mem:          3.8Gi   564Mi   1.8Gi
Swap:            0B      0B      0B

$ df -h /
Filesystem      Size  Used Avail Use%
/dev/nvme0n1p1  9.6G  7.2G  2.4G  75%

Ubuntu 22.04 auf ARM64, 4 Kerne, 3,8 GB RAM, eine 10-GB-Disk. Kein Swap. Schlank genug für Dokumentenverarbeitung und Skripte, aber nicht für Machine-Learning-Training gedacht.

Auf dem macOS-Host finden sich die VM-Dateien unter ~/Library/Application Support/Claude/vm_bundles/claudevm.bundle/. Das Root-Image (rootfs.img) ist 10 GB groß als Sparse-Datei, belegt aber nur etwa 7,5 GB on-disk.

Daneben liegt ein komprimiertes Backup (rootfs.img.zst, ~2 GB) und ein paar Konfigurationsdateien: efivars.fd, macAddress, machineIdentifier.

Wie drei Schichten zusammen die Isolation absichern

Die VM allein wäre schon eine solide Grenze. Aber Anthropic stapelt drei Schichten übereinander.

Schicht 1: Die VM

Apples Virtualization.framework stellt Hardware-Isolation bereit. Der Gast hat seinen eigenen Kernel. Selbst ein rm -rf / in der VM lässt den Host unberührt.

Schicht 2: bubblewrap + seccomp

Innerhalb der VM läuft nicht direkt Claude, sondern erst bubblewrap (kurz: bwrap). Bubblewrap ist ein Sandboxing-Tool, das Linux-Namespaces nutzt, um Prozesse voneinander zu isolieren — ähnlich wie Container es tun, aber leichtgewichtiger.

Es schränkt ein, was ein Prozess sehen und tun darf: welche Dateien, welche Netzwerkschnittstellen, welche anderen Prozesse.

In der Cowork-VM ist bubblewrap PID 1, also der allererste Prozess:

$ cat /proc/1/status | head -2
Name:   bwrap
State:  S (sleeping)

Die bwrap-Kommandozeile (über /proc/1/cmdline auslesbar) zeigt die wichtigsten Einschränkungen im Überblick:

• --unshare-net — eigener Netzwerk-Namespace, kein direkter Netzzugang

• --unshare-pid — eigener PID-Namespace, andere Prozesse unsichtbar

• --ro-bind / / — Root-Dateisystem read-only eingebunden

• --die-with-parent — stirbt der Elternprozess, stirbt die Sandbox mit

• --tmpfs /etc/ssh/ssh_config.d — SSH-Konfiguration wird mit einem leeren tmpfs überdeckt

Zusätzlich wird ein seccomp-Filter geladen. Seccomp (Secure Computing Mode) ist ein Mechanismus im Linux-Kernel, der festlegt, welche Systemaufrufe ein Prozess machen darf. Systemaufrufe sind die Schnittstelle zwischen einem Programm und dem Betriebssystem — Dateien öffnen, Netzwerkverbindungen herstellen, Prozesse starten.

Ein seccomp-Filter kann gezielt einzelne Systemaufrufe blockieren und damit den Aktionsradius eines Prozesses stark einschränken.

$ grep Seccomp /proc/self/status
Seccomp:         2
Seccomp_filters: 2

Seccomp: 2 bedeutet Filter-Modus — es gibt eine aktive Allowlist für erlaubte Syscalls. Die Filterdatei heißt unix-block.bpf und wird über eine eigene Binary (apply-seccomp) geladen.

Schicht 3: Netzwerk-Isolation

Kein Prozess in der Sandbox hat direkten Internetzugang. Aller Traffic geht durch einen lokalen Proxy:

$ env | grep HTTP_PROXY
HTTP_PROXY=http://localhost:3128

$ env | grep ALL_PROXY
ALL_PROXY=socks5h://localhost:1080

Der Proxy läuft über socat, das TCP-Verbindungen in Unix-Sockets tunnelt, die aus der VM herausführen. Auf der Host-Seite entscheidet eine Allowlist, welche Domains passieren dürfen.

Ich habe es getestet:

$ curl -s -o /dev/null -w "%{http_code}" https://registry.npmjs.org
200

$ curl -s -o /dev/null -w "%{http_code}" https://pypi.org
200

$ curl -sv https://evil-exfiltration-test.example.org 2>&1 | grep "HTTP/1.1"
< HTTP/1.1 403 Forbidden

$ curl -sv https://evil-exfiltration-test.example.org 2>&1 | grep "X-Proxy"
< X-Proxy-Error: blocked-by-allowlist

npm und PyPI kommen durch. Alles andere bekommt ein 403 Forbidden mit dem Header X-Proxy-Error: blocked-by-allowlist. Auch direkte DNS-Lookups scheitern:

$ nslookup google.com
socket(): Operation not permitted
;; no servers could be reached

Das ist konsequent: Selbst wenn ein Prompt-Injection-Angriff Claude dazu bringen würde, Daten an einen externen Server zu senden — der Proxy würde es blockieren.

Welche Dateien sieht die VM?

Dateien kommen über VirtioFS in die VM — ein Dateisystem-Protokoll, das speziell für die Kommunikation zwischen VM und Host entwickelt wurde. Statt echte Hardware zu simulieren, arbeiten Host und Guest bewusst zusammen (Paravirtualisierung). Das macht den Dateizugriff schnell und mit wenig Overhead möglich.

$ mount | grep virtiofs
/mnt/.virtiofs-root/shared/Work/.../Marketing on
  /sessions/elegant-adoring-brown/mnt/Marketing type fuse (rw,...)

Nur der Ordner, den ich in der Desktop-App ausgewählt habe, wird gemountet. Nicht mein Home-Verzeichnis, nicht mein Desktop, nicht meine Downloads — nur der eine Ordner, den ich explizit freigegeben habe.

Plugins und Skills werden über bindfs zusätzlich eingebunden. Bindfs ist ein FUSE-Dateisystem, das einen vorhandenen Ordner an einer anderen Stelle nochmal einbindet — ähnlich wie ein Symlink, aber mit der Möglichkeit, die Berechtigungen zu ändern. So können Skills zum Beispiel read-only eingebunden werden, obwohl sie auf dem Host beschreibbar sind. Uploads landen ebenfalls in einem separaten, schreibgeschützten Mount.

Ein Detail verrät, dass die VM mehrere Conversations gleichzeitig bedient: Im /sessions/-Verzeichnis sitzen verschiedene Sessions nebeneinander:

$ ls -la /sessions/
drwxr-x--- elegant-adoring-brown  elegant-adoring-brown  ...
drwxr-x--- nobody                 nogroup                awesome-epic-mccarthy
drwxr-x--- nobody                 nogroup                dazzling-vibrant-carson

Jede Session bekommt einen eigenen Linux-User mit eigener UID. Mein User heißt elegant-adoring-brown (uid 1005). Die anderen Sessions sind unter nobody gelistet — ich kann ihre Dateien nicht lesen.

Wie schützt Claude Code ohne VM?

Claude Code im Terminal nutzt auf macOS einen anderen Ansatz: Apples Seatbelt (auch bekannt als sandbox-exec). Statt einer VM wird ein dynamisch generiertes Sandbox-Profil erstellt, das den Prozess auf OS-Ebene einschränkt. Wichtig: Die Sandbox muss manuell mit /sandbox aktiviert werden — ohne diesen Schritt läuft Claude Code ohne OS-Level-Isolation.

Das Profil startet mit (deny default) — alles ist verboten, außer es wird explizit erlaubt. Die Sandbox-Runtime ist Open Source und auf GitHub einsehbar. Ich habe das npm-Paket @anthropic-ai/sandbox-runtime heruntergeladen und die macos-sandbox-utils.js analysiert:

• 59 sysctl-Einträge werden zum Lesen freigegeben (Hardware-Info wie CPU-Anzahl, Speichergröße)

• 14 Mach-IPC-Services auf der Whitelist (Fonts, Logging, Security Server)

• Mandatory Denies für .env, .ssh, .aws, .git/hooks, .git/config — auch wenn das Arbeitsverzeichnis Schreibzugriff hat

• Move-Blocking: file-write-rename und file-write-unlink werden für geschützte Pfade blockiert, damit man die Denies nicht per mv umgehen kann

Die Netzwerk-Isolation funktioniert genauso wie bei Cowork: Aller Traffic geht durch denselben Proxy mit Allowlist. Der Unterschied: Bei Seatbelt passiert das auf Prozess-Ebene (gleicher Kernel), bei Cowork auf VM-Ebene (eigener Kernel).

Warum zwei Modelle?

Claude Code richtet sich an Entwickler, die im Terminal schnelles Feedback brauchen. Der Seatbelt-Overhead liegt im niedrigen einstelligen Millisekundenbereich — ich habe es auf dem Host gemessen, kein spürbarer Unterschied zu einem Befehl ohne Sandbox. Entwickler können die Sandbox gezielt aktivieren, wenn sie einem Agenten mehr Autonomie geben wollen, ohne jeden Befehl freigeben zu müssen.

Cowork gibt Claude deutlich mehr Autonomie: Es läuft länger, erstellt eigenständig Dateien, installiert Pakete. Und es richtet sich an Nutzer, die nicht einschätzen können (und nicht einschätzen müssen), welche Befehle auf Betriebssystemebene ausgeführt werden. Der mögliche Schaden eines Agenten mit lokalem Dateizugriff, Codegenerierung und Netzwerk-Egress ist größer — und die Nutzer können ihn schlechter einschätzen. Die volle VM-Isolation ist hier angemessen.

Was ich daraus mitnehme

Die Isolation ist real. Nicht nur auf dem Papier, sondern nachprüfbar.

Drei Dinge haben mich besonders überzeugt:

Erstens die Proxy-Allowlist mit dem expliziten X-Proxy-Error: blocked-by-allowlist Header. Das ist keine stille Fehlermeldung, sondern eine bewusste Architekturentscheidung. Man sieht sofort, warum eine Verbindung scheitert.

Zweitens die Schichtung. VM allein wäre gut. Mit bubblewrap und seccomp wird’s besser. Alle drei zusammen machen es deutlich schwieriger, aus der Sandbox auszubrechen. Ein Exploit müsste gleichzeitig den seccomp-Filter umgehen, aus dem bwrap-Namespace ausbrechen und dann noch aus der VM raus — auf einem System, das keinen direkten Netzzugang hat.

Drittens die Transparenz. Die Sandbox-Runtime ist Open Source. Ich habe den Code der macos-sandbox-utils.js heruntergeladen — dort stehen die 59 sysctl-Einträge, die 14 Mach-Services und die Mandatory Denies für .env, .ssh und .aws schwarz auf weiß. Das Seatbelt-Profil wird dynamisch generiert, aber der generierende Code ist einsehbar. Die VM-Architektur lässt sich von innen inspizieren. Man muss niemandem glauben — man kann nachschauen.

Wer selbst nachschauen will: Die Sandbox-Runtime liegt auf GitHub. Ein npm pack und ein Blick in macos-sandbox-utils.js reichen, um das Seatbelt-Profil zu verstehen.

Was du jetzt tun kannst

Wenn du Claude Code nutzt und die Sandbox noch nicht ausprobiert hast: Starte eine Session und tippe /sandbox. Allein das reduziert den Aufwand, Befehle einzeln freizugeben, erheblich. Für den Alltag reicht das oft schon.

Wenn du tiefer einsteigen willst:

• Sandbox-Runtime inspizieren: npm pack @anthropic-ai/sandbox-runtime, entpacken, macos-sandbox-utils.js lesen. Dort siehst du exakt, was erlaubt und was blockiert wird.

• Cowork von innen ansehen: Starte Cowork und bitte es cat /proc/1/cmdline | tr '\0' '\n' auszuführen. Die bubblewrap-Flags verraten dir die Isolation im Detail.

• Netzwerk testen: Ein curl https://evil-exfiltration-test.example.org in der Sandbox zeigt dir sofort, ob die Allowlist greift.

Wie geht es weiter?

Damit ist der Ist-Zustand klar. Aber eine Frage bleibt: Wird das so bleiben? Claude Code und Cowork teilen sich bereits die agentic Architektur — und es gibt konkrete Signale, dass auch die Sicherheitsmodelle zusammenwachsen:

• Docker liefert mit docker-model-runner MicroVM-Sandboxes, die speziell für KI-Agenten gedacht sind.

• Apple bringt mit macOS 26 ein eigenes Containerization-Framework — erstmals native Container-Unterstützung auf dem Mac.

• Anthropic dokumentiert DevContainer als offiziellen Weg für stärkere Isolation in Claude Code.

Drei Player, drei Ansätze, ein Ziel: Agenten sollen mehr dürfen, ohne mehr Schaden anrichten zu können. Im nächsten Artikel werde ich mir anschauen, was für und gegen jeden dieser Pfade spricht — und warum ich einen davon für den wahrscheinlichsten halte.

Wenn du benachrichtigt werden willst, wenn der nächste Artikel veröffentlich ist:

Jetzt abonnieren

Quellen

• Sandboxing — Claude Code Docs

• sandbox-runtime (GitHub)

• Inside Claude Cowork (Pedro José Pereira Vieito) — Reverse-Engineering-Analyse der VM-Architektur

• Apple Virtualization Framework

Die AI-Diskussion in der Softwareentwicklung dreht sich fast ausschließlich um eine Frage: Wie generieren wir Code schneller? Das ist verständlich – aber es lenkt von dem ab, was gerade wirklich passiert.

Das Bottleneck hat sich verschoben

Vor einem Jahr war “Code schreiben” noch ein limitierender Faktor. Heute kann ein einzelner Entwickler mit den richtigen Agents an einem Tag produzieren, wofür früher eine Woche nötig war.

Klingt nach Fortschritt. Ist es auch – bis man fragt: Wer reviewt das alles? Wer versteht es? Wer verantwortet es?

Die Velocity-Metriken sehen fantastisch aus. Aber die Engpässe sind nicht verschwunden. Sie haben sich verschoben – zum Menschen.

Fünf Fragen, auf die niemand gute Antworten hat

1. Wie bewertest du Arbeit, die du nicht mehr selbst machst?

Engineering Leads haben jahrelang Code-Reviews gemacht. Sie wussten, worauf sie achten mussten, weil sie selbst im Code steckten. Wenn Agents den Großteil des Codes produzieren und Engineers zu “Orchestratoren” werden – nach welchen Kriterien bewerten wir dann? Wie unterscheidest du guten von schlechtem Output, wenn du selbst nicht mehr Zeile für Zeile durchgehst?

2. Wer übernimmt die Verantwortung?

Agent generiert Code. Engineer gibt ihn frei. QA testet. Alles grün. Drei Monate später: Security-Problem, das niemand gesehen hat.

Wer ist verantwortlich? Der Engineer, der den Code freigegeben hat, ohne ihn wirklich zu verstehen? Das Team, das die Guardrails definiert hat? Die Organisation, die keine besseren Review-Prozesse etabliert hat?

In klassischen Strukturen war Verantwortung an Wissen gekoppelt: Wer den Code geschrieben hat, verstand ihn und verantwortete ihn. Diese Kopplung löst sich gerade auf.

3. Wie befähigst du Menschen, Verantwortung zu übernehmen, die sie nicht tragen können?

“Human in the Loop” klingt beruhigend. Aber was bedeutet das konkret?

Ein Mensch, der zehnmal so viel Output überprüfen muss wie vorher, prüft nicht gründlicher – er prüft oberflächlicher. Oder er wird zum Bottleneck, der die gesamte AI-Velocity wieder zunichtemacht.

Wir verlangen von Menschen, dass sie Arbeit verantworten, für die wir sie weder ausgebildet noch ausgestattet haben.

4. Was genau wird verifiziert – und was nicht?

Tests laufen durch. Linting ist sauber. Der Code funktioniert.

Aber: Ist die Architektur-Entscheidung richtig? Passt die Lösung ins Gesamtsystem? Entsteht gerade technische Schuld, die erst in zwei Jahren sichtbar wird?

Agents optimieren lokal. Sie lösen die Aufgabe, die vor ihnen liegt. Die systemischen Auswirkungen sieht niemand – bis es zu spät ist.

5. Was passiert mit den Bereichen, die nicht Engineering heißen?

Code-Generierung ist nur ein Teil des Delivery-Systems. Was ist mit Produktentscheidungen, die jetzt schneller technisch umsetzbar sind – aber nicht schneller durchdacht? Was ist mit Dokumentation, die niemand mehr schreibt, weil der Code sich zu schnell ändert? Mit Onboarding neuer Teammitglieder in eine Codebase, die niemand im Team mehr wirklich versteht?

Wenn Engineering plötzlich zehnmal schneller liefern kann, verschiebt sich der Druck auf Product, Design, QA. Die Friction wandert – sie verschwindet nicht.

Das eigentliche Problem

Wir haben das Code-Schreiben beschleunigt. Aber die Arbeit, die sich nicht beschleunigen lässt – verstehen, bewerten, entscheiden, verantworten – ist immer noch da. Und unsere Organisationen sind nicht dafür gebaut.

Die meisten Unternehmen behandeln AI wie ein Upgrade ihrer Werkzeuge. Schnellere IDE, besserer Copilot, mehr Output pro Kopf.

Aber das Werkzeug hat sich fundamental verändert. Es trifft jetzt eigene Entscheidungen. Und wir haben keine Strukturen, Prozesse oder Rollenbilder, die damit umgehen können.

Kleine AI-native Teams bauen gerade ihre Strukturen um diese Realität herum. Große Organisationen diskutieren noch, welchen Copilot sie lizenzieren. Die Frage ist nicht, ob sich das rächt – sondern wann.

„Ich schreibe kaum noch Code. Und trotzdem baue ich mehr Software als je zuvor.“

Als ich das kürzlich auf LinkedIn schrieb, kam:

„Naja, und wer kontrolliert die Agenten? Wer räumt die technischen Schulden, die sie produzieren, wieder auf?”

Eine Frage, eine berechtigte Frage, mit der ich mich ebenfalls schon beschäftigt hatte.

Eine Frage, die ich nicht mit einem Zweizeiler beantworten kann.

Die Frage hinter der Frage

Wer so fragt, will wissen:

Kannst du dem Output überhaupt vertrauen?

Oder baust du dir gerade ein Kartenhaus, das beim ersten echten Problem zusammenfällt?

Meine Antwort ist unbefriedigend für alle, die ein klares Ja oder Nein wollen: Es kommt darauf an. Und genau dieses „es kommt darauf an” ist der eigentliche Skill, den ich in den letzten Monaten entwickelt habe.

Nicht alles ist gleich kritisch

Der erste Schritt war eine simple Erkenntnis: Nicht jeder Bereich meiner Software verdient dieselbe Aufmerksamkeit.

Ich unterscheide grob nach zwei Kriterien:

1. Wie schnell sehe ich, wenn etwas nicht funktioniert?

2. Wie groß ist der potenzielle Schaden?

Kritische Bereiche sind für mich zum Beispiel:

• Authentifizierung und Login-Flows

• Autorisierungslogik – wer darf was sehen und tun

• Datenbankdesign, insbesondere das Datenmodell

• Row Level Security für Datenbanken

• Alles, was mit Zahlungen oder sensiblen Nutzerdaten zu tun hat

• Alles, von dem viel abhängt

Diese Bereiche haben zwei Eigenschaften gemeinsam:

• Fehler sind nicht sofort sichtbar, und

• wenn sie auftreten, ist der Schaden potenziell groß.

Eine kaputte Authentifizierung merkst du nicht, wenn du die Anwendung durchklickst. Du merkst sie, wenn jemand anderes sie ausnutzt.

Unkritische Bereiche sind für mich:

• Frontend-Darstellung und UI-Komponenten

• Styling und Layout

• Nicht-sicherheitsrelevante Formularvalidierungen

• Hilfsfunktionen und Utilities

Das heisst nicht, dass sie unwichtig sind. Aber wenn hier etwas nicht funktioniert, sehe ich es schnell. Ein Button, der nicht reagiert, eine Liste, die nicht rendert – das fällt beim Testen auf. Und selbst wenn es durchrutscht: Der Schaden ist begrenzt. Kein Nutzer verliert Geld oder Daten, weil ein Schatten an der falschen Stelle sitzt.

Wie ich Agenten einsetze

Für meine Projekte habe ich spezialisierte Subagents aufgebaut, die auf definierte Aufgaben zugeschnitten sind. Manche habe ich selbst konfiguriert, bei anderen greife ich auf vorgefertigte Lösungen zurück. Entscheidend ist nicht das einzelne Tool, sondern wie sie zusammenarbeiten.

Mein Workflow folgt einem Muster, das menschliche Review-Prozesse nachbildet:

Stufe 1: Entwurf. Ein Agent erstellt einen ersten Vorschlag – sei es Code, eine Architekturentscheidung oder ein Datenbankschema.

Stufe 2: Ausarbeitung. Ein anderer Agent nimmt den Entwurf und arbeitet die Details aus. Er kennt den Kontext, aber er hat eine andere Perspektive.

Stufe 3: Prüfung. Ein dritter Agent überprüft das Ergebnis. Er fragt: Was könnte man aus Sicherheitsperspektive verbessern? Wo sind potenzielle Schwachstellen?

Das klingt aufwendiger, als es ist. In der Praxis läuft vieles davon automatisiert. Ich stoße den Prozess an und bekomme am Ende einen Report, den ich durchgehe.

Der entscheidende Unterschied: Wo ich selbst hinschaue

Bei unkritischen Bereichen reicht mir, was die spezialisierten Agenten identifizieren.

Bei kritischen Bereichen ist das Agenten-Review nur die erste Runde. Die zweite Runde mache ich selbst.

Das bedeutet konkret: Ich lese den Code. Ich hinterfrage die Architekturentscheidungen. Ich überlege, welche Edge Cases nicht abgedeckt sind. Ich gleiche ab, ob das, was da steht, zu meinem mentalen Modell des Systems passt.

Das ist der Human-in-the-Loop, von dem alle reden. Nur dass er eben nicht bei jeder Zeile Code greift, sondern gezielt dort, wo es darauf ankommt.

Vorgaben von Anfang an

Ein Bereich, in dem sich der agentenbasierte Ansatz besonders bewährt. Statt Anforderungen nachträglich zu prüfen, bette ich sie von Anfang an in den Entwicklungsprozess ein.

Das funktioniert über Guidelines – Markdown-Dateien, die beschreiben, welche Regeln gelten. Diese Guidelines fließen in die Spezifikations- und Planungsphase ein. Die Agenten kennen sie und berücksichtigen sie.

Anschließend lasse ich spezialisierte Agenten Reviews durchführen und Reports erstellen. Diese Reports gehe ich durch, hinterfrage kritisch, führe meine eigene Analyse durch und gleiche ab. Wenn Probleme auftauchen, lasse ich sie durch die Agenten beheben und stoße dann ein erneutes Review an.

Es ist ein iterativer Prozess. Aber einer, der Compliance by Design ermöglicht, statt sie als nachträglichen Kontrollschritt zu behandeln.

Die Bilanz: Ähnliche Probleme, andere Dynamik

Produzieren Agenten mehr technische Schulden als Menschen? Nach meiner Erfahrung: Nein. Es sind dieselben Probleme – nur schneller sichtbar.

Wenn eine Codebasis wächst, entsteht duplizierter Code. Nicht, weil die Agenten schlecht arbeiten, sondern weil ihnen der Gesamtüberblick fehlt. Ein erfahrener Entwickler, der seit Monaten an einem Projekt arbeitet, weiß implizit, dass es schon eine Utility-Funktion für diesen Fall gibt. Ein Agent sieht nur den aktuellen Kontext.

Das ist kein Argument gegen Agenten. Es ist ein Argument für iterative Zyklen.

Mein Vorgehen: Erst die Funktionalität, dann das Aufräumen. Ich lasse entwickeln, schaue, dass es funktioniert, und starte dann eine neue Runde, in der ich gezielt auf Code-Qualität achte. Dafür nutze ich einen Subagent, der sich auf Refactorings spezialisiert hat – er analysiert, identifiziert Duplikate, schlägt Zusammenführungen vor.

Dieses Vorgehen ist nicht neu. Es ist das, was erfahrene Entwickler schon immer gemacht haben: Erst zum Laufen bringen, dann aufräumen. Wer versucht, von Anfang an hundertprozentig sauberen Code zu schreiben, verzettelt sich und blockiert sich selbst.

Der Unterschied: Mit Agenten passiert beides schneller. Die technischen Schulden entstehen schneller – aber sie werden auch schneller sichtbar und schneller abgebaut.

Was Agenten gut können – und was nicht

Nach Monaten intensiver Arbeit mit diesem Setup habe ich ein klareres Bild davon, wo die Stärken und Grenzen liegen.

Agenten schreiben exzellenten Code im Kleinen. Eine einzelne Funktion, ein Modul, eine Komponente – das bekommen sie auf dem Niveau eines erfahrenen Entwicklers hin. Saubere Struktur, gute Benennung, Best Practices.

Was ihnen fehlt, ist der Systemüberblick. Sie sehen nicht, wie die Teile zusammenhängen. Sie wissen nicht, dass die Entscheidung in Modul A Auswirkungen auf Modul B hat, wenn das nicht explizit im Kontext steht.

Das liegt in der Natur der Sache: Eine KI kann nur aus dem verstehen, was ihr als Kontext gegeben wird. Ein erfahrener Entwickler hat das Gesamtsystem im Kopf – auch die Teile, die er nie explizit aufgeschrieben hat.

Der Skill-Shift

Diese Erkenntnis hat Konsequenzen für die Art, wie ich arbeite.

Früher konnte vieles implizit bleiben. Ich wusste, wie das System funktioniert, und musste es niemandem erklären. Jetzt muss ich es externalisieren – durch Spezifikationen, Guidelines, Architektur-Dokumentation. Was früher im Kopf bleiben konnte, muss jetzt explizit werden.

Das ist mehr Arbeit. Aber es ist bessere Arbeit. Denn was ich für die Agenten aufschreibe, hilft auch anderen Teammitgliedern. Also den Menschen1. Es zwingt mich, meine Entscheidungen zu artikulieren, statt sie vorauszusetzen.

Der Shift, den ich beobachte, ist real:

Weniger „wie schreibe ich diesen Code”, mehr „wie lenke ich die Agenten”. Das bedeutet nicht, dass Programmierkenntnisse unwichtig werden. Es bedeutet, dass sie nicht mehr ausreichen.

Was jetzt zählt:

• Systemdesign auf höherer Ebene: Architektur, Schnittstellen, Datenmodelle

• Sicherheitsdenken: Wo sind die Angriffsflächen, was muss besonders geschützt werden

• Agenten-Orchestrierung: Wie koordiniere ich verschiedene spezialisierte Agenten, wie definiere ich Richtlinien, wie behalte ich die Kontrolle

• Kritisches Prüfen: Wann vertraue ich dem Output, wann schaue ich selbst hin

Die Antwort auf die ursprüngliche Frage

Wer kontrolliert die Agenten? Ich. Aber nicht bei jeder Zeile Code.

Ich kontrolliere durch Struktur: spezialisierte Agenten, die sich gegenseitig prüfen. Ich kontrolliere durch Fokus: menschliche Reviews dort, wo der Schaden am größten wäre. Ich kontrolliere durch Iteration: Entwickeln, prüfen, aufräumen, wiederholen.

Und ich kontrolliere durch Akzeptanz: Die Einsicht, dass kein Prozess perfekt ist – weder mit Agenten noch ohne. Dass technische Schulden entstehen und abgebaut werden müssen. Dass Fehler passieren und gefunden werden müssen.

Der Unterschied ist nicht, dass Agenten fehlerfreien Code produzieren. Der Unterschied ist, dass ich mehr produziere und schneller iteriere. Und dass ich meine Zeit dort einsetze, wo sie den größten Unterschied macht: bei den Entscheidungen, die ein System sicher oder unsicher, wartbar oder unwartbar machen.

Das ist keine Zukunftsvision. Das ist mein Alltag seit Monaten. Und bisher funktioniert es.

Deshalb ist es so spannend sich gegenseitig auszutauschen und zu hören, wie andere konzeptionell an die KI-gestützte Softwareentwicklung herangehen.

Denn letztendlich war es schon immer der richtige Lösungsansatz, der den eigentlichen Mehrwert liefert. Wenn man weiß, wie man ein Problem lösen kann, ist die anschließende Umsetzung fast trivial.

Zudem wird immer deutlicher, dass testgetriebene Entwicklung wichtiger denn je ist:

1. Tests dienen als Leitplanken, die eine Beschreibung des Ziels liefern.

2. Tests dienen als Feedback-Schleife. Agenten können sie eigenständig ausführen und erhalten dadurch Feedback, wie gut sie ihre Aufgaben erfüllt haben.

→ Agenten können autonom und iterativ weiterarbeiten, bis das Ergebnis die Erfolgskriterien erfüllt.

3. Und wie sonst will man bei jeder Iteration die Korrektheit von so viel Code prüfen?

The discussion about agentic coding fluctuates between two extremes: “AI will solve everything” on the one hand, “It’s all just hype” on the other.

Both positions fall short. After months of intensive work with coding agents, I would like to share with you what I have learned in the process – and how my way of working has changed.

The current state of affairs: 7 theses

Before I get to my own specific experiences, here are 7 core theses written by Simon Wardley, which I have supplemented with my own perspective:

Development is not yet engineering. While testing has become a systematic discipline through practices such as TDD, development remains largely intuition-driven. There are patterns, but no consistent system. Agentic coding could be a catalyst for this transformation, if we approach it correctly.

Small, contextual tools beat monoliths with LLM on top. The prevailing approach of simply enriching existing systems with LLM capabilities does not exploit the potential. More effective are combinable tools with clear inputs, outputs, and specific application contexts.

LLMs are coherence machines, not truth machines. They optimize for plausibility, not correctness. This makes them valuable for drafting and exploration, but unreliable for final decisions without human validation.

Code is more than functionality – structure is the real decision. Architectural decisions manifest themselves in code. LLMs can generate functionality, but structural decisions require an understanding of the system.

The key question: Where do humans stand in the decision-making process? It’s not about whether AI is used, but where human judgment remains indispensable. This boundary must be drawn consciously.

Practices are still evolving. What is considered state of the art today may be obsolete tomorrow. Beware of hasty best practices.

Experimentation is fine, but with an awareness of the terrain. Speed without direction is just getting lost quickly.

My approach today

These theories align well with my experiences. However, theory is one thing and daily practice is another. Here’s what works for me.

A deliberately modular setup

I don’t like working with fully integrated solutions. Not on principle, but because they don’t work optimally for my workflow.

My setup consists of three components:

1. An IDE, such as IntelliJ IDEA, which allows me to keep track of the code. I can quickly check where everything is located. Git integration is extremely important here — it makes changes traceable and reversible. IntelliJ can do almost everything I need, including inspecting databases. Unfortunately, with power comes complexity. For smaller projects, I prefer the ZED editor because it’s more streamlined and intuitive.

2. I use the terminal (preferably Ghostty) with my coding agent, which is currently mainly Claude Code. There, I give instructions, observe, and control.

3. I use an LLM chat window for conceptual work. At the beginning of a project, I use it to work through ideas and organize them in a document before writing code.

This three-way split is no coincidence. It corresponds to the principle of specialized tools: each component has its strengths, none tries to be everything.

I use other specialized tools here and there, such as the GitHub Desktop app. But at its core, these three tools are the ones I use.

Sub-agents as the key

Perhaps the most important lesson learned in recent months is that specialized sub-agents deliver significantly better results than general-purpose agents. The reason is simple—the tailored context makes all the difference.

Two examples from my experience:

Quality assurance: A sub-agent exclusively responsible for quality assurance checks against specified guidelines and documentation. It does not advise; it validates. This is essentially TDD thinking at the agent level — explicit standards instead of intuition.

UI design: I achieve significantly better results when designing user interfaces with a specialized design sub-agent. I specify the direction the design should take and which design principles apply. The agent generates designs within these guidelines instead of working in a vacuum.

In both cases, the lever is the specialized context and the focused system prompt of the sub-agent, not the general intelligence of the model.

Validating coherence

Yes, LLM output has misled me before. In fact, it was precisely because it sounded plausible. The coherence was there, but the truth was not.

My validation process is two-stage. First, I verify what I can myself. For everything else, I use specialized sub-agents with internet access that can verify facts. However, it’s crucial to note that ultimately, humans remain responsible. The sub-agents are tools, not decision-makers.

Hallucinations don’t like to stay alone. Where one thing is wrong, other things are often invalid.

Keeping an eye on structure

When does generated code become problematic? Most obviously, when source code files become too large. There are too many lines. Too much functionality in individual functions.

My approach: I let almost everything be generated. If I want to make changes, I let the agent adapt and then check it. Experience shows that this is faster than writing it myself, unless the changes are minor restructuring or corrections. In that case, I intervene directly.

However, I am responsible for the structure. I decide when a file becomes too large, when functionality needs to be split up, and what the architecture and refactorings should look like. I usually define the architecture before coding begins and document it in Markdown files.

The real problem is communication

Ultimately, humans must decide if what has been generated is good enough. Human judgment is indispensable because only humans can determine if they have received what they wanted.

Here lies an uncomfortable truth: Even with AI, the problem is often communication. The question is not “Can AI do that?” but “Can I articulate what I want?” This is not a new insight—anyone who has ever written requirements knows this. But with Agentic Coding, it becomes immediately apparent.

Not balance, but a pendulum

Is there a perfect balance between trying things out quickly and understanding what I’m doing? I don’t think so. It’s more like swinging back and forth.

I try out ideas to see if they lead to reasonable results. At the latest, I need to understand what I’m doing when I’m convinced of the direction and want to check its viability for the future.

That’s more honest than any best practice. Practices are still evolving. Anyone who claims to have found the optimal workflow today will be working differently in six months.

The open question

The core architectural question of our time remains: Where do we place people in the decision-making process?

This is not a technical question. It is a question of organization, responsibility, and design. Every organization must answer it for itself—consciously, rather than implicitly through tool adoption.

As of today, my answer is: People decide on the structure, validate the results, and take responsibility. Agents generate, specialize, and accelerate. The boundary is not fixed; it shifts with every learning experience.

That is precisely what makes this such an interesting time.