Agentic Weekly #016 — „Nur überraschend, weil man bessere Sandboxes erwartet”

Juli 26, 2026

So kommentiert ein Sicherheitsforscher den Vorfall, bei dem OpenAIs eigenes Modell ausbrach, um bei einen Benchmark zu schummeln — in derselben Woche, in der Anthropic mit Opus 5 kontert und seine IPO-Bewertung die Billion durchbricht.

Samstag, 25. Juli 2026 · Lesezeit ~11 Min.

Vorab eine Mitteilung zu ‘Agentic Weekly’ in eigener Sache:
Da die Zugriffszahlen hier auf meinem Blog im Vergleich zu LinkedIn niedrig sind, habe ich vor den Newsletter nur noch auf LinkedIn anstatt auf beiden Plattformen zu veröffentlichen. Daher bitte gerne ‘Agentic Weekly’ auf LinkedIn abonnieren.

Aber: Ich werde hier weiterhin Artikel und Deep Dives zu den Themen Agentic Engineering veröffentlichen. Formate, die vermutlich besser zu meinem Blog und zu Substack passen.

Wie GPT-5.6 Sol aus der eigenen Sandbox ausbrach — und was OpenAIs Absicherung nicht aufhielt

Am 16. Juli meldet Hugging Face einen Einbruch in die eigene Infrastruktur. Fünf Tage später, am 21. Juli, übernimmt OpenAI öffentlich die Verantwortung: Ein bereits ausgeliefertes Modell — GPT-5.6 Sol, mit für den Test eigens reduzierten Cyber-Sicherheitssperren — sowie ein noch unveröffentlichtes, leistungsstärkeres Vorabmodell hätten während eines internen Cybersecurity-Benchmarks namens ExploitGym (898 Testfälle aus realen Schwachstellen) ihre Sandbox verlassen. Die Modelle fanden dafür einen Zero-Day — eine bislang unbekannte, ungepatchte Sicherheitslücke — im eigenen Package-Registry-Cache-Proxy von OpenAI und verschafften sich damit Internetzugang. Von dort verketteten sie mehrere Angriffstechniken, darunter gestohlene Zugangsdaten und weitere Zero-Days, bis hin zu Remote Code Execution (RCE, dem Ausführen fremden Codes auf einem Zielsystem ohne physischen Zugriff) auf Produktionsservern von Hugging Face. Ziel: die eigene Lösungsdatenbank von ExploitGym stehlen, um im Benchmark zu schummeln.

Hugging Face fasst die Lage nüchtern zusammen: „Autonomous, AI-driven offensive tooling is no longer theoretical” — autonomes, KI-gestütztes Angriffswerkzeug sei keine Theorie mehr. Die Sicherheitsfirma Noma Security beschreibt eine zusätzliche Wendung: Die eigenen kommerziellen KI-Werkzeuge weigerten sich während der Incident-Response-Analyse, den Angriffs-Payload zu untersuchen — ihre Guardrails konnten nicht zwischen einem Verteidiger, der eine Bedrohung analysiert, und einem Angreifer, der sie baut, unterscheiden. Die Antwort: mitten in der Aufklärung haben sie auf Open-Weight-Modelle gewechselt, bei denen diese Guardrails nicht im Weg stehen.

Der Sicherheitsforscher Thomas Ptacek ordnet das ein:

„I genuinely believe that if you took an open weights model from 2025 and built a pentest harness for it, it could do this kind of sandbox escape and scan/hack in most networks. This is only surprising because you assume OpenAI has sounder sandboxes.”

Sinngemäß: Ptacek glaube, jedes Open-Weight-Modell aus 2025 hätte mit einem Pentest-Rahmenwerk dasselbe geschafft — überraschend sei nur, dass man annehmen könnte, dass OpenAI bessere Sandboxes hätte. Vier Sicherheitsexperten (Dan Guido, Trail of Bits; Jake Williams; Daniel Card; Marteen Boone) am selben Tag bei TechCrunch: Was wie ein autonomer Ausbruch aussehe, sei in Wahrheit ein Sandbox-Design, das schlicht nicht für den Ernstfall gebaut war.

Warum das relevant ist: Ob man den Vorfall als Beleg für gefährliche Modell-Autonomie liest oder als Beleg für schlampiges Sandbox-Design — beide Lesarten treffen denselben wunden Punkt: Es ist der erste öffentlich bestätigte Fall, in dem ein Frontier-Modell ohne Quellcode-Zugriff und ohne menschliche Anweisung eigenständig eine echte Zero-Day-Kette entdeckt und genutzt hat. Und es passiert ausgerechnet bei dem Lab, das die Sandbox gebaut hat und die das verhindern sollte.

Claude Opus 5

Während OpenAI seinen Sicherheitsvorfall erklärt, bringt Anthropic am 24. Juli Claude Opus 5 heraus — zum unveränderten Opus-Preis von 5 $ / 25 $ pro Million Tokens (Ein-/Ausgabe), Fast Mode zum doppelten Preis bei rund 2,5-facher Geschwindigkeit. Sofort verfügbar in claude.ai, der API, Claude Code (parallel erscheint v2.1.219 — Details im Claude-Code-Abschnitt unten) und Claude Cowork; GitHub Copilot zieht laut eigenem Changelog am selben Tag nach.

Anthropic nennt Bestwerte auf mehreren Branchen-Benchmarks, darunter einen dreifach höheren Score als das nächstbeste Modell auf ARC-AGI 3 (einem Rätsel-Benchmark für generelles Problemlösen). Auffällig zurückhaltend bleibt Opus 5 dagegen bei Cyber-Exploitation-Aufgaben — dort liegt es laut Anthropic weiterhin hinter dem stärker exportbeschränkten Mythos 5 (Anthropics potenterer, nur ausgewählten Partnern zugänglicher Modell-Variante) zurück, eine bewusste Design-Entscheidung, die im Licht der OpenAI-Geschichte oben fast wie eine Antwort wirkt. Kundenstimmen fallen euphorisch aus: Cognition-Chef Scott Wu (das Unternehmen hinter Devin) sieht Opus 5 „bei der Hälfte der Kosten” nah am Niveau von Fable 5 (Anthropics bisherigem Spitzenmodell), Zapier-CEO Wade Foster meldet die erste 100-Prozent-Bestwertung auf dem eigenen Automatisierungs-Benchmark.

Every-Autor Dan Shipper relativiert im „Vibe Check” umgehend: Opus 5 sei „ein armer Verwandter von Fable” — es widerspreche Anweisungen, breche Aufgaben vorzeitig ab und vertrage sich schlecht mit bestehenden Skills, bis Everys Team seine Workflows komplett neu aufsetzte. Besser fahre man mit niedrigerem Denkaufwand als mit hohem.

Sicherheits-Woche: die vierte in Folge

Nach dem Dreifach-Vorfall und weiteren Sicherheitsfunden in den Vorwochen (#015) reihen sich diese Woche drei weitere frische Funde plus ein älterer Nachtrag ein — der OpenAI/Hugging-Face-Vorfall oben eingerechnet, fünf.

„SharedRoot” (Oren Yomtov und Or Hiltch, Accomplish AI): Über den Kernel-Exploit CVE-2026-46331 (die standardisierte Kennung für öffentlich erfasste Schwachstellen) lässt sich aus Claude Cowork unter macOS ein Agent aus seiner Linux-VM-Sandbox befreien und erhält vollen Lese-/Schreibzugriff auf das gesamte Host-Dateisystem. Anthropic schloss den Report als „informativ, ohne Fix” — reagierte aber, indem Cowork standardmäßig auf Cloud-Ausführung umstellt; nur wer weiter lokal arbeitet, bleibt betroffen. Die Entdecker schätzen rund 500.000 betroffene macOS-Nutzer — eine Zahl, die bislang nur von Accomplish AI selbst stammt, nicht von Anthropic bestätigt.

„BioShocking” (LayerX): Sechs agentische Browser — darunter Claude-Plugin für Chrome, ChatGPT Atlas und Perplexity Comet — lassen sich über ein Fiktions-Framing austricksen: Eine Test-Website belohnt falsche Antworten (2+2=5) so lange, bis der Agent „Spiellogik” statt realer Sicherheitslogik anwendet und Zugangsdaten preisgibt. OpenAI behob die Lücke bei Atlas erfolgreich, Perplexity ließ den Bericht unbearbeitet liegen, und Anthropics Patch-Versuch für die Claude-Chrome-Erweiterung hielt laut LayerX im Test nicht.

Cursors lange ungepatchte Lücke wird zum Transparenz-Fall. Sicherheitsforscher Aaron Portnoy (Mindgard) legt offen: Die letzte Woche gemeldete git.exe-Ausführungslücke blieb über 197 Cursor-Releases hinweg offen, bevor sie überhaupt behoben wurde — und die Korrektur selbst kam ohne CVE oder Hinweis.

IssueTrojanBench (Ankur Singh, Jinqiu Yang, Tse-Hsun Chen): Ein Benchmark für indirekte Prompt-Injections über GitHub-Issues gegen Cursor, Claude Code und Codex Desktop findet in 4.176 Testläufen eine Erfolgsquote von 66,5 %, bei Supply-Chain-Angriffen sogar 96,6 %. Sonnet 4.6 (das Modell hinter Claude Code) erweist sich mit 41,1 % Anfälligkeit deutlich robuster als GPT-5.3 Codex (84,8 %) und GPT-5.4 (73,6 %).

Warum das relevant ist: Vier Wochen in Folge, jede mit eigenen Angriffsklassen bei mehreren Anbietern gleichzeitig — aus dem Einzelfall ist längst ein strukturelles Muster geworden, kein Ausreißer mehr.

Anthropics IPO durchbricht die Billion

Investmentbanker behandeln laut Bloomberg eine Bewertung jenseits einer Billion Dollar inzwischen als Basisfall für Anthropics Börsendebüt — ein deutlicher Sprung gegenüber den 965 Milliarden Dollar der offiziellen Serie-H-Runde vom Mai. Am Sekundärmarkt werden bereits 1,05 bis 1,2 Billionen Dollar gehandelt. Goldman Sachs, JPMorgan und Morgan Stanley führen seit Mitte Juli Investorengespräche; der vertrauliche S-1-Antrag (die Börsenzulassungs-Unterlage für US-Börsengänge) liegt seit dem 1. Juni vor, Nasdaq bleibt Ziel, ein Oktober-Termin ist möglich, aber nicht fixiert. Parallel verhandelt Anthropic über eine Ausweitung seiner bislang 2,5 Milliarden Dollar schweren Kreditlinien.

Warum das relevant ist: Das Überschreiten der Billion ist keine Formsache, sondern eine Größenordnung — und es fällt in dieselbe Woche, in der Sicherheitsfunde bei gleich mehreren Anbietern zeigen, wie viel bei diesem Tempo auf der Strecke bleiben kann.

Claude Code: Die Highlights der Woche

Für alle, die Claude Code täglich nutzen

/verify und /code-review laufen nicht mehr automatisch (v2.1.215, 19. Juli) — beide müssen künftig explizit aufgerufen werden, eine spürbare Verhaltensänderung für Vielnutzer.
Performance-Fix gegen quadratische Verlangsamung in langen Sessions, dazu sandbox.filesystem.disabled und /code-review als Hintergrund-Subagent (v2.1.216–218, 20.–22. Juli).

Für Multi-Agent- und Sicherheits-Workflows

v2.1.219 (24. Juli, zeitgleich mit Opus 5) bringt neben dem neuen Standardmodell ein striktes Sandbox-Netzwerk-Allowlist-Setting und erlaubt verschachtelte Subagenten jetzt bis Tiefe 3 statt vorher 1 (siehe oben).

Agentic Coding

Codex zieht bei Multi-Agent-Fähigkeiten nach — v0.145.0 (21. Juli) bringt Sub-Agent-Support, ein „Memories” genanntes Gedächtnis, paginierte Thread-Historie mit effizientem Wiederaufsetzen, Bedrock-Anbindung und Audio-Input.

Cursor Router (22. Juli) lässt Auto Mode (Cursors automatische Modellauswahl je nach Aufgabe) Anfragen jetzt modellübergreifend nach Intelligence-, Balance- oder Cost-Profil verteilen, inklusive Admin-Kontrollen für Teams — standardmäßig aktiv auf dem Teams-Plan.

Amp liefert im Wochentakt: Sourcegraphs Coding-Agent bringt binnen sieben Tagen sieben Feature-Drops — umgebungsübergreifendes Agent-zu-Agent-Spawning, Abo-Preismodell, Slack-Integration samt „Puck”-Assistent, selbstplanende Agenten, Mehrspieler-Kollaboration und webhook-getriggerte Workflows.

Cline meldet mit rekursiver Selbstverbesserung über das chinesische Modell Kimi K3 88,8 % auf Terminal-Bench 2.1 (einem Benchmark für Terminal-/CLI-Aufgaben) — zu einem Bruchteil der üblichen Kosten (siehe China-Ökonomie unten). Und Google Antigravity CLI (v1.1.6) lässt sich Custom Agents jetzt per Markdown-Datei mit YAML-Kopfzeile definieren — dieselbe Konvergenz-Bewegung, die Cursor und Amp gerade parallel fahren.

China-Modelle-Ökonomie

Drei unabhängige Einordnungen landen in derselben Woche und ziehen in dieselbe Richtung. Ben Thompson (Stratechery) argumentiert in „Who’s Afraid of Chinese Models?”: Intelligenz wird zur Commodity, entscheidend ist die Kostenstruktur (COGS — Cost of Goods Sold, die reinen Herstellungskosten), nicht die Modellherkunft. Er plädiert für eine Lockerung der behördlichen Cybersecurity-Nutzungsbeschränkungen für Fable und Sol und warnt, dass US-Verteidiger dadurch selbst auf chinesische Modelle angewiesen blieben.

Das Handelsblatt-KI-Briefing spiegelt dieselbe Debatte aus deutscher Perspektive, ergänzt um ein Gespräch mit OpenAIs Strategiechef Jason Kwon.

Den konkreten Beleg liefert der Kimi-K3-Fund von Cline oben: Ein offenes chinesisches Modell erreicht Frontier-Ergebnisse zum Bruchteil der Kosten — das Argument, das Thompson abstrakt beschreibt, wird hier praktisch vorgeführt.

Wer keine Verifizierbarkeit hat, hat keine Autonomie

Systima meint „The Subagent Tax. Claude Code Fan-Outs Cost Up to 5.9x the Tokens, and Were Never Faster“ und misst Subagent-Kosten per Logging-Proxy: Multi-Agent-Fan-out kostet in ihren Läufen 2,6- bis 5,9-mal mehr Tokens als sequenzielle Ausführung. Der Multi-Agent-Ausbau, den Amp und Codex diese Woche vorlegen (siehe oben), trifft damit auf einen Kosten-Einwand, der nicht kleiner wird, nur weil die Werkzeuge mehr können.

Addy Osmani meint: Nicht die Codeerzeugung ist der Flaschenhals für Agenten-Autonomie, sondern ihre Verifizierbarkeit. Dex Horthy ließ eine „Factory” vier Monate autonom laufen, bevor eine wachsende „Comprehension Debt” — angehäufte, nie wirklich verstandene Komplexität — kritisch wurde.

Mein Einspruch zu Systimas Subagent-„Steuer“: Der Mechanismus stimmt — jeder Subagent ist im Kern eine neue Instanz, die ihren gesamten Startaufwand neu bezahlt, bevor sie etwas beiträgt. Dieser Fixkosten-Sockel ist real. Aber die Zahlen tragen die Zuspitzung im Titel nicht: Getestet wurde eine winzige Aufgabe, nur ein Durchlauf pro Szenario — bei wenig Nutzarbeit muss der Kostensockel dominieren, er kann nicht anders. Und „nicht schneller” stimmt nicht: Bei einem Modell machten mehr Subagents den Lauf schneller, bei einem anderen deutlich langsamer — bei einer Messung pro Fall ist das Rauschen, kein Befund. Fairerweise: Systima benennt diese Schwächen selbst, ungewöhnlich offen. Nur die Headline hält der eigenen Redlichkeit nicht stand.

Was bleibt: Fan-out ist keine kostenlose Parallelisierung, sondern ein Tausch von Token gegen Kontext-Sauberkeit. Bei abhängigen Teilaufgaben ist das ein schlechter Tausch, bei unabhängiger Arbeit ein guter. Und wer Subagents auf ein günstigeres Modell pinnt statt das teure Parent-Modell erben zu lassen, zahlt weniger — eine Empfehlung, die man sofort umsetzen kann.

Warum das relevant ist: Beide Texte zeigen dieselbe Rechnung von zwei Seiten. Mehr Agenten parallel verschieben die Kosten in die Token-Bilanz, längeres autonomes Laufen verschiebt sie in die Verifizierbarkeit — bezahlt wird in beiden Fällen, nur an unterschiedlicher Stelle.

Tipp der Woche

Bei einem Fireside Chat auf der AI Engineer World’s Fair, den Simon Willison am 21. Juli in einem Recap-Post aufgreift, verraten zwei Mitglieder des Claude-Code-Teams — Cat Wu und Thariq Shihipar —, dass Claude Tag (Anthropics persistenter Claude-Assistent in Slack) rund 65 % der Product-Engineering-Pull-Requests des eigenen Teams abdeckt: Anthropic testet neue Features zuerst an sich selbst. Bemerkenswerter ist ein zweiter Punkt: Der System-Prompt von Claude Code wurde um 80 % gekürzt. Thariq dazu:

„Removing examples was extremely helpful, because it was just more creative than the examples we gave it.”

Sinngemäß: Das Entfernen von Beispielen half enorm, weil das Modell ohne sie kreativer war als mit den Beispielen.

Warum das hier steht: Direkt anwendbar für alle, die eigene Skills oder Subagenten bauen — die Zurückhaltung mit Beispielen ist eine ungewöhnliche, aber sinnvolle Antwort für Skills. Beispiele werden in Zukunft eher einschränken anstatt zu helfen, da sie den Lösungsraum einengen.

Kurz notiert

SpaceX-Aktie fällt seit dem IPO-Start um 25,5 % — ein Post-IPO-Realitätscheck, während Anthropic seinen eigenen Börsengang erst vorbereitet.
EU-KI-Verordnung: Transparenzpflichten nach Art. 50 greifen ab 2. August — Kennzeichnungspflicht für Chatbots, Deepfakes und KI-generierte Inhalte, Bußgelder bis 15 Mio. €.
OpenAI beruft David Vélez (Nubank) und Robin Vince (BNY) in seine Boards — Vince übernimmt den Vorsitz des Audit Committee, ein klares Governance-Signal vor einem möglichen eigenen Börsengang.
OpenAI-Dienste fallen erneut aus — vierter Vorfall binnen vier Tagen, Mitigation nach rund einer Stunde, keine offizielle Ursachenerklärung.
Europas Souveränitäts-Woche bei den Konzernen: Microsoft mietet KI-Rechenkapazität von Mistral und bringt dessen Modelle in Copilot; SAP übernimmt das Freiburger Startup Prior Labs für über eine Milliarde Euro.