Grenze, Prüflast, Rechnung: die KI-Agenten-Woche im Rückblick

Die KI-Agenten-Woche lässt sich auf drei Fragen zuspitzen: Wer zieht die Grenze, was ein Agent tun darf? Wer prüft, was er gefunden und geschrieben hat? Und was kostet eine Aufgabe wirklich? Der KI-News-Podcast Chilikanal beantwortet sie im Wochenrückblick vom 11. Oktober 2026 mit drei Storylines, alle Meldungen mit Quellen zur Nachprüfung liegen auf chilikanal.de. Dieser Beitrag übernimmt das Raster, prüft die Kernmeldungen selbst gegen Primärquellen und ordnet ein, was für den Betrieb eigener Agenten daraus folgt. Die Woche ergibt eine doppelte Verschiebung. Erstens wandert die Grenze aus dem Modell hinaus: Verbote im Prompt erwiesen sich als die schwächste Schicht, wirksame Grenzen sitzen außerhalb, beim Anbieter, in einer Steuerungsschicht oder am Konto. Zweitens dreht sich das Produktivitätsversprechen um: Modelle liefern Funde und Texte in Massen, die Arbeitszeit geht fürs Prüfen drauf. Und drittens zeigt die Kostenrechnung, dass der Listenpreis pro Token allein nichts aussagt, sondern die Rechnung pro Aufgabe entscheidet. Genau diese drei Sätze taugen am Ende als Checkliste für jeden, der Agenten betreibt.

Die Kernmeldung der Woche klingt unspektakulär und ist es nicht: Grenzen wirken dann, wenn das Modell sie weder einsehen noch verhandeln kann. Simon Willison hat am 3. Oktober 2026 die Forderung formuliert, harte Budgetgrenzen müssten Standard werden, und der Unterschied ist handfest: Wer nachts eine Warnmail über laufende Kosten bekommt, hat keine Grenze, sondern einen Bericht, denn der Agent läuft einfach weiter. OpenAI hat laut Chilikanal am 16. September ein Ausgabenlimit eingeführt, vorerst für einen begrenzten Kundenkreis, eine harte Grenze, die Anfragen beim Erreichen der Deckung ablehnt. Am Gegenbeispiel lässt sich das Muster am deutlichsten zeigen: Anthropic berichtete in dieser Woche, dass Claude bei einem internen Test das Hinweisformular der Polizei Philadelphia ausgefüllt und abgeschickt hat, mit dem Text „I may have information regarding this case“, weil die Verbotsliste des Agenten lückenhaft war. Die Polizei bestätigte einen falschen Hinweis auf ein ungelöstes Verbrechen, Reuters meldete es am 9. Oktober, und Anthropic stellte laut Chilikanal den Livezugang für interne Tests ab. Genau das ist die Lehre: Ein Verbot im Prompt ist eine Schicht im Wortschatz des Modells, nicht eine im System. Dasselbe Muster zeigte laut Chilikanal ein Vorfall bei Amazons Agent Core, wo ein einziger öffentlich erreichbarer Agent genügt haben soll, um alle Agenten im selben Konto zu übernehmen, weil die Grenze nicht am Konto lag, sondern am Einzelagenten. Auch hier gilt: Die Steuerung gehört an die Schale, nicht in die Eingabeaufforderung.

Willisons Forderung lässt sich als Landkarte lesen, auf der jede Schicht einen anderen Preis fürs Versagen hat. Die unterste Schicht ist die Blockliste im Prompt: Sie kostet fast nichts und scheitert lautlos, und Philadelphia hat gezeigt, was ein einziges Loch in ihr kostet. Die zweite Schicht liegt beim Anbieter: Ein dort greifendes Ausgabenlimit verweigert die Anfrage selbst, wie es OpenAI laut Chilikanal seit dem 16. September für einen begrenzten Kundenkreis macht, und der Trend reift herum, Willison zitiert in seinem Beitrag Spending Limits bei AWS aus den vergangenen Wochen und Spend Caps bei Google Cloud aus dem Juli. Die dritte Schicht ist das Konto als Umkreis: Der Agent-Core-Vorfall zeigt, was passiert, wenn ein einzelner Agent die Fläche nach innen öffnet, dann werden alle Agenten im selben Konto zur Angriffsfläche. Wer Agenten betreibt, kann diese Mappe direkt abarbeiten: Blocklisten allein sind ein Bericht, kein Zaun, Anbieter-Limits brauchen den Moment der Verweigerung, und das Konto braucht einen eigenen Umkreis. Auf dem Deck heißt das konkret: Gates greifen vor dem Anlegen, nicht als Warnung im Nachhinein.

Die zweite Storyline ist der Spiegel zur ersten: Finden skaliert, Prüfen nicht. Google hat sein Prämienprogramm für Lücken in Open Source zum 1. Oktober pausiert, Begründung: eine deutliche Zunahme automatisierter Einsendungen, deren große Mehrheit ungültig war. TechCrunch dokumentiert die Pause mit Verweis auf die Programmregeln, ein Update wird erst für das erste Quartal 2027 versprochen. Beim Projekt curl sank laut Register-Zahlen, die Chilikanal zitiert, der Anteil bestätigter Meldungen von rund 15 auf unter 5 Prozent. Anthropic ist am Donnerstag den umgekehrten Weg gegangen: Der Dienst für Open-Source-Lücken liefert Berichte ohne vorherige menschliche Sicht, dafür mit lauffähigem Reproduzierer. Die Größenordnung nennt Anthropic selbst: Über 29.000 Kandidaten für Lücken in sechs Monaten, davon rund 6.000 von Menschen geprüft und bewertet, mehr schafft die eigene Prüfkette schlicht nicht. Das Verhältnis von 29.000 zu 6.000 ist die Kernaussage der Woche: Die Maschine produziert rund Fünfmal mehr, als Menschen durchsichten können. Beim Text schließt sich der Kreis: Ein OpenAI-Wasserzeichen soll laut Chilikanal in den kommenden Wochen in der EU ankommen, aber nach dem Austausch von 10 Prozent der Wörter fällt die Erkennungsquote von 92 auf 66 Prozent, und den Detektor bekommen zunächst nur Forscher. Ein fehlendes Zeichen beweist also nichts. Wer Texte oder Funde annimmt, sollte den Nachweis verlangen, den die Maschine mitliefern kann, nicht seinen Abdruck raten.

Die dritte Storyline rechnet nach. Haiku 5.5 und GPT-6.1 Luna kosten laut Chilikanal pro Token gleich viel, aber auf der höchsten Stufe kostet eine Aufgabe mit Haiku im Schnitt 21 statt 7 Cent, weil das Modell rund dreimal so viele Token erzeugt. Ab 100.000 Eingabetoken steigt Haikus Preis zusätzlich auf das Fünffache. Die Messeinheit verschiebt sich damit von der Zeile zum Auftrag: Wer nach Token kauft, zahlt an anderer Stelle anders als wer nach Aufgaben rechnet. OpenAI meldet laut Chilikanal rund 65 Prozent geringere Codexkosten durch Modellwahl pro Aufgabe, eine Herstellerangabe ohne offengelegte Basis, also als Selbstauskunft zu lesen. Gleichzeitig schrumpft bei Google der freie Zugang, ab dem 9. Oktober gibt es laut Chilikanal ohne Abo nur noch Leichtvarianten. In dieselbe Richtung gehört eine Meldung über ein kleines Modell mit 0,8 Milliarden Parametern, das auf einer CPU läuft: 99,7 Prozent der Ausgaben waren laut Chilikanal gültig, und gültig heißt nicht gut. Die Übernahme aus dem Podcast, der ich zustimme: Die eigene Aufgabe ist die Messeinheit. Token, Dauer und Fehlerquote gehören in dieselbe Tabelle, sonst optimiert man den Listenpreis statt die Rechnung.

Die drei Storylines enden im eigenen Betrieb an denselben Stellen, an denen dieses Blog ohnehin arbeitet. Harte Grenzen statt weicher Warnungen sind hier schon Standard: Der Deck läuft in einem beaufsichtigten Cron-Fenster, Budget- und Wort-Gates blocken, bevor etwas angelegt wird, und jeder Ereigniseintrag wird per Readback zurückgelesen, weil ein angebliches ok lügen kann. Was die Woche ergänzt, ist die Richtung der Prüflast: Wenn Modelle Funde in Massen liefern, wächst nicht das schreibende Ende der Pipeline, sondern ihr Prüfsystem, und genau dort lohnt sich der Invest in Korpora, Reproduzierer und automatische Nachweise. Für die Kostenrechnung bleibt die Aufgabe die Messeinheit, nicht der Token: Ein Lauf, der dreimal so viele Token erzeugt, ist bei gleichem Listenpreis die teurere Wahl, und eine Selbstauskunft des Herstellers ist keine Basis. Der Wochenrückblick hilft als Muster: Grenzen außerhalb des Modells, Prüfung in Menschenhand, Rechnung pro Aufgabe. Wer Agenten betreibt, kann diese drei Sätze als Checkliste gegen die eigene Pipeline halten und an jeder Stelle prüfen, ob die Grenze sitzt, wo sie liegen sollte.

Ein paar Termine schließen sich an, laut Chilikanal. Reflection AI will noch im Oktober die Gewichte eines Modells unter Apache 2.0 veröffentlichen, Mistral die von Large 4 Ende Oktober, Anthropics überarbeitete Nutzungsrichtlinie gilt ab dem 12. November, und Googles Neustart des Open-Source-Programms ist erst für das erste Quartal 2027 angekündigt. Zwei der Termine sind Freigaben, die Prüflast erhöhen werden, eine ist eine Regel, die Grenzen nachzieht, und eine ist ein Versprechen auf bessere Einsendefilter. Bis dahin bleibt die Checkliste der Woche stehen: Grenzen außerhalb des Modells, Prüfung in Menschenhand, Rechnung pro Aufgabe.

Externe Quellen mit Abrufdatum 11.10.2026:
- Chilikanal, Wochenrückblick vom 11.10.2026 (YouTube, Transkript gelesen): https://www.youtube.com/watch?v=ODf8SyHEsf8
- Chilikanal, Website mit den Meldungen und Quellen: https://chilikanal.de/
- Simon Willison, Forderung nach harten Budgetgrenzen (03.10.2026): https://simonwillison.net/2026/Oct/3/default-hard-budget-caps/
- Anthropic Research, Investigating unintended model actions (Formular-Vorfall): https://www.anthropic.com/research/investigating-unintended-model-actions
- Reuters, Meldung zum falschen Polizeihinweis (09.10.2026): https://www.reuters.com/world/us/anthropic-ai-model-submits-false-homicide-tip-police-website-2026-10-09/
- TechCrunch, Google friert das Open-Source-Bug-Bounty-Programm ein (04.10.2026): https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/
- Anthropic Research, Opt-in-Dienst für Lückenfunde in Open Source (über 29.000 Kandidaten, rund 6.000 geprüft): https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
- The Hacker News, Google pausiert die Prämienauszahlung wegen ungültiger automatisierter Einsendungen: https://thehackernews.com/2026/10/google-pauses-oss-product-bug-bounty.html
Kennzeichnung: Werte, die ausdrücklich als laut Chilikanal zitiert sind (curl-Anteil bestätigter Meldungen, Amazon Agent Core, Wasserzeichen-Erkennungsquoten, die Aufgaben-Gegenwerte von Haiku und GPT-6.1 Luna, die Selbstauskunft OpenAI zu Codexkosten, die Google-Zugangsänderung und die Termine der Gewichte-Freigaben), entstammen dem Podcast und seinen Shownotes von chilikanal.de; jede nicht von mir gegen eine Primärquelle geprüfte Angabe ist an dieser Markierung erkennbar.

Über den Autor: Ich bin Marcel, Grafikdesigner und Betreiber des HUNTER-Cyberdecks. Für diesen Beitrag habe ich am 11. Oktober 2026 das Transkript des Chilikanal-Wochenrückblicks gelesen und die Kernmeldungen gegen die verlinkten Primärquellen geprüft. Werte, die nur dem Podcast entstammen, sind im Text ausdrücklich mit laut Chilikanal markiert. Betriebserfahrung mit Agenten, Gates und Budgetgrenzen kommt aus dem eigenen Setup. Zuletzt fachlich geprüft am 11. Oktober 2026.