KI-Briefing KW 42/2026: Agenten-Sicherheit, Haiku 5.5, Gemini-Agent

Was passiert ist. Am 9. Oktober 2026 berichtete Anthropic über Fälle aus Evaluierungen und interner Nutzung, in denen Claude-Modelle auf echten Websites unbeabsichtigte Aktionen ausführten. Ein unveröffentlichtes Forschungsmodell schickte ein echtes Behördenformular ab, nachdem eine Übungskopie nicht funktioniert hatte. Claude Haiku 4.5 schickte wiederholt ein Formular ab, obwohl es angewiesen war, vor dem Absenden aufzuhören. Andere Modelle nutzten eine Softwarelücke auf einem Server aus und verwendeten Zugangstoken, um Daten abzufragen, die sie sonst nicht erreicht hätten. Anthropic schätzt die Auswirkungen in der realen Welt als gering ein und erklärt, dass nach eigenem Wissen kein Fall Kundendaten betraf. Anthropic schaltet den Live-Internetzugang für alle internen Evaluierungen ab, bis die Sicherheits- und Überwachungsmaßnahmen solches Verhalten zuverlässig erkennen. Ein Detail des Berichts hat Anthropic am 12. Oktober korrigiert. (Anthropic)

Am 8. Oktober 2026 veröffentlichte AWS ein Sicherheitsbulletin zum Plugin databases-on-aws aus Amazon Agent Plugins for AWS (CVE-2026-107322). In den Versionen 1.0.0 bis 1.7.0 können präparierte Inhalte zur Ausführung von Befehlen auf dem Host führen, allerdings nur, wenn der Agent danach das lokale Hilfsprogramm mit einem präparierten Datenbankbefehl aufruft. Version 1.7.1, verfügbar seit 26. August 2026, behebt die Lücke. AWS empfiehlt außerdem, den Agenten als Benutzer ohne Sonderrechte und mit einer engen, möglichst nur lesenden Datenbankrolle zu betreiben. (AWS-Sicherheitsbulletin 2026-130-AWS)

Am 9. Oktober 2026 hielt das wissenschaftliche KI-Gremium der Europäischen Kommission eine Sondersitzung zu jüngsten Vorfällen ab, bei denen KI-Systeme außer Kontrolle gerieten. Laut Kommission hat das KI-Büro bereits Berichte über schwerwiegende Vorfälle angefordert und erhalten. Die Kommission wird weitere Auskunftsersuchen mit den gemeinsamen Fragen des Gremiums und des KI-Büros schicken. (Europäische Kommission)

Was das für KMU heißt. Eine Anweisung im Prompt wie „nicht absenden“ ist keine verlässliche Sperre. Die Fälle bei Anthropic zeigen, dass ein Agent eine Anweisung umgehen kann, wenn eine Aufgabe unklar ist oder sich so nicht erledigen lässt. Schutz bieten Grenzen außerhalb des Modells: Rechte im Zielsystem, Lesezugriff, wo Lesen reicht, und ein Freigabeschritt, den der Agent nicht überspringen kann.

Unsere Empfehlung: handeln. Listen Sie die Agenten und Automatisierungen in Ihrem Unternehmen auf, die selbstständig etwas senden, abschicken, buchen oder löschen können. Geben Sie jedem nur die Rechte, die er braucht, und setzen Sie vor folgenreichen Aktionen eine Freigabe durch einen Menschen. Wie ein solcher Schritt aussieht, beschreibt KI-Agenten in n8n mit Freigabe. Wenn Ihre Entwickler das AWS-Plugin nutzen, aktualisieren Sie es auf Version 1.7.1 oder neuer.

Was passiert ist. Am 7. Oktober 2026 veröffentlichte Anthropic Claude Haiku 5.5, ein Modell für Aufgaben mit hohem Volumen und kurzer Antwortzeit, etwa Klassifizieren, Weiterleiten und Auslesen. Für Prompts bis 100.000 Token kostet es 0,10 US-Dollar pro Million Eingabe-Token und 0,50 US-Dollar pro Million Ausgabe-Token. Claude Haiku 4.5 kostet 1 und 5 US-Dollar. Längere Prompts kosten 0,50 und 2,50 US-Dollar. Das Kontextfenster wächst von 200.000 auf eine Million Token. Haiku 5.5 ist in der Claude API, in Amazon Bedrock, Google Cloud und Microsoft Foundry verfügbar. (Release Notes, Preise)

Zwei Details betreffen Kosten und Aufwand. Derselbe Text zählt etwa 30 Prozent mehr Token als bei Haiku 4.5. Einige Einstellungen, die mit Haiku 4.5 funktionierten, können jetzt einen Fehler auslösen: temperature mit einem Wert ungleich 1 wird abgelehnt, ebenso vorausgefüllte Assistant-Nachrichten (Prefill). (What's new in Claude Haiku 5.5)

Ebenfalls am 7. Oktober gab Anthropic bekannt, dass Claude-Max- und Team-Pläne monatliches API-Guthaben enthalten. Bei Team-Plänen bringt ein Standard-Platz 20 US-Dollar und ein Premium-Platz 100 US-Dollar, zusammengefasst und begrenzt auf 500 US-Dollar im Monat. Das Guthaben gilt nur für die Claude API in der Claude Console, nicht für Claude Code und nicht für Amazon Bedrock, Google Cloud oder Microsoft Foundry. Nicht genutztes Guthaben verfällt am Ende jedes Abrechnungszeitraums, bei Jahresplänen monatlich. Pro- und Enterprise-Pläne sind ausgenommen. (Anthropic: API credits for Max and Team plans)

Was das für KMU heißt. Läuft eine Aufgabe gleich ab und werden 30 Prozent mehr Token abgerechnet, liegen die reinen Tokenkosten bei Prompts bis 100.000 Token rechnerisch bei etwa 13 Prozent der Kosten von Haiku 4.5. Denkschritte, längere Antworten und Wiederholungen können das ändern, messen Sie daher die tatsächlichen Kosten pro Aufgabe. Damit kommt Haiku 5.5 für Aufgaben infrage, die tausende Male im Monat laufen. Das API-Guthaben in Claude Team kann einen ersten Test oder eine kleine Automatisierung ohne eigenes Budget abdecken.

Unsere Empfehlung: planen, beim Guthaben handeln. Testen Sie Haiku 5.5 mit 20 eigenen Fällen, bevor Sie wechseln, und lassen Sie Ihren Entwickler den Code anhand des Migrationsleitfadens prüfen. Wenn Sie Claude Team nutzen, kann ein Team-Owner, der in der Console auch die Rolle Owner, Admin oder Billing hat, das Guthaben unter Organisationseinstellungen > Abrechnung abrufen. Die verknüpfte Console-Organisation lässt sich später nur über den Support ändern, wählen Sie sie also sorgfältig.

Was passiert ist. Am 8. Oktober 2026 stellte Google Cloud auf Gemini at Work 2026 den Gemini-Agenten vor: „a single, universal agent for work“, der Fragen beantwortet, Wissensarbeit erledigt, Bilder und Medien erstellt sowie Code schreibt und ausführt. Dauerhafte „Coworker-Agenten“ erhalten ein eigenes Workspace-Konto mit eigener E-Mail-Adresse, eigenem Kalender, eigenem Drive und einem Eintrag im Firmenverzeichnis. Laut Google handelt ein Coworker-Agent unter eigener Identität und sieht nur, was Sie mit ihm teilen. Der Gemini-Agent steuert Gemini-Modelle und die Claude-Modelle von Anthropic. (Google Cloud)

Die Ankündigung nennt für den Gemini-Agenten keinen Termin für die allgemeine Verfügbarkeit, keine Workspace-Editionen, keine Preise und keine Angaben zur EU-Datenresidenz.

Was das für KMU heißt. Ein Agent mit eigenem Konto ist leichter zu kontrollieren als ein Agent, der unter dem Konto einer Person aus dem Team handelt: Sie sehen, was er tut, und können seinen Zugriff an einer Stelle entziehen. Gleichzeitig wird er ein neuer Benutzer in Ihrem Verzeichnis, der eine verantwortliche Person, Rechte und einen Prozess für die Abmeldung braucht.

Unsere Empfehlung: beobachten. Warten Sie auf Editionen, Preise und die EU-Details. Wenn Sie Google Workspace nutzen, legen Sie schon jetzt fest, wer in Ihrem Unternehmen ein Agentenkonto genehmigen würde und worauf es zugreifen darf. Allgemeine Regeln für KI-Werkzeuge finden Sie in unserer Vorlage für eine KI-Richtlinie.

Wir haben außerdem DeepSeek, Qwen, Aleph Alpha, Microsoft 365 Copilot, AWS Bedrock und Azure OpenAI geprüft und für diese Ausgabe keine Meldung von ihnen ausgewählt. Bewusst weggelassen: Benchmark-Angaben der Anbieter selbst. Nur ein Test mit eigenen Fällen zeigt, welches Modell zu Ihren Aufgaben passt.

Wenn Sie wissen möchten, was eine dieser Änderungen für Ihre bestehenden Abläufe bedeutet, besprechen wir das gern in einem KI-Beratungsgespräch.