Haiku 5.5 Preisfalle: Warum gleiche Tokenpreise dreifache Kosten bedeuten – und der AgentCore-Exploit

Claude Haiku 5.5 und GPT-6 Luna listen exakt dieselben Preise: 0,10 Dollar pro Million Eingabetoken, 0,50 Dollar pro Million Ausgabetoken. Dieselbe Aufgabe kostet trotzdem rund dreimal so viel auf Haiku 5.5 wie auf Luna, und der Grund liegt nicht in der Preisliste, sondern im Tokenzähler: Haiku 5.5 lässt sein Reasoning nicht abschalten und erzeugt pro Aufgabe rund 162.000 Ausgabetoken, Luna etwa 50.000. Wer Agenten betreibt, zahlt am Ende die Differenz, nicht das Schild im Preisdokument. Dazu kommt in diesen Tagen eine Sicherheitslektion passenden Ausmaßes: Ein einziger Prompt auf einem öffentlich erreichbaren Agenten genügte der Forschung, um temporäre AWS-Zugangsdaten zu lesen und jeden Agenten im selben Konto zu übernehmen. Beide Geschichten drehen sich um dieselbe Frage: Was kostet das Denken wirklich, und wer trägt die Rechnung? Dieser Beitrag sortiert die Zahlen beider Befunde und zieht die Linien, die für den eigenen Agentenbetrieb übrig bleiben.

Artificial Analysis hat Haiku 5.5 am Erscheinungstag mit 43 Punkten auf dem eigenen Intelligence Index vermessen, 26 Punkte mehr als die letzte Haiku-Generation ein Jahr zuvor. Der Sticker-Preis stimmt mit GPT-6 Luna überein, 0,10 und 0,50 Dollar pro Million Token bis zu einem Kontext von 100.000 Token. Der entscheidende Befund der Messstelle liegt woanders: Im Maximaleffort erzeugt Haiku 5.5 rund 162.000 Ausgabetoken pro Index-Aufgabe, Luna im Vergleichsmodus etwa 50.000, also rund ein Drittel. Bei ähnlicher Intelligenzstufe auf High liegt der Verbrauch mit rund 55.000 gegen 50.000 Token eng beieinander, die Lücke öffnet sich erst, je weiter man die Effort-Schraube aufdreht. Kosten pro Aufgabe gibt die Messstelle für dieses Modell übrigens nur als vorläufig aus, weil ihre Index-Messung den Preissprung über 100.000 Token Kontext noch nicht abbildet. Für die eigene Rechnung heißt das: Die verlässliche Zahl ist das Tokenverhältnis, nicht die Cent-Beträge.

Simon Willison hat die Schraube am 7. Oktober 2026 an derselben Aufgabe demonstriert, an der er seit Jahren Modelle testet: ein SVG mit einem Pelikan auf einem Fahrrad. Auf Effort Low kostete der Pelikan 0,0936 Cent und brauchte 7 Sekunden. Auf Effort Max entstand der beste Pelikan, den er von Anthropic-Modellen gesehen hat, nach 5 Minuten 9 Sekunden und 67.647 Ausgabetoken, für 3,3826 Cent. Der Faktor zwischen beiden Läufen liegt bei 36. Entscheidend für die Preisfalle ist ein Satz aus demselben Bericht: Das neue Haiku erlaubt es nicht, Reasoning abzuschalten, die Standardeinstellung ist Medium. Reasoning-Token werden als Ausgabetoken abgerechnet, und der Ausgabenblock ist genau der Block, der bei 0,50 Dollar pro Million Token am teuersten ist. Willison hält zusätzlich fest, dass Haiku 5.5 einen ungnädigeren Tokenizer mitbringt, derselbe Text also mehr Token kostet als beim Vorgänger. Der günstige Sticker-Preis gilt deshalb vor allem für Arbeiten, die im Kontext klein bleiben und unter niedrigem Effort laufen.

Die Aufmerksamkeit gehört in der Berichterstattung bisher dem Reasoning, die zweite Kostenfalle steht jedoch in derselben Zahlentabelle: Oberhalb von 100.000 Token Kontext steigt der Haiku-Preis um das Fünffache auf 0,50 Dollar Eingabe und 2,50 Dollar Ausgabe pro Million Token. Luna steigt auch, aber erst bei 272.000 Token und nur auf 0,20 und 0,75 Dollar. Willisons Fazit dazu ist knapp: Passen die Workloads unter 100.000 Token, sind beide Modelle gleich teuer und Haiku meldet höhere Benchmark-Werte, oberhalb davon sieht Luna deutlich besser aus. Genau diese Grenze trifft den Agentenbetrieb an seiner empfindlichsten Stelle: Lange Werkzeugketten, Recherche-Threads und Dokumentenablagen wachsen unbeobachtet in den Kontext hinein. Ein Agent, der bei 90.000 Token wirtschaftlich rechnet, kann nach drei weiteren Dokumenten in einer anderen Preiszone arbeiten, ohne dass sich an seiner Aufgabe etwas geändert hätte.

Zieht man einen Agentenbetrieb wegen geringer Kosten weiter auf, wächst neben der Rechnung die Angriffsfläche. Das Zweitthema dieser Woche liefert das Gegenbeispiel in Reinform: Die Sicherheitsforschung von Zenity Labs hat unter dem Namen AgentCorruption eine Kette auf AWS Bedrock AgentCore demonstriert, mit der ein einziger Prompt an einen öffentlich erreichbaren Agenten genügte, um über den Instance Metadata Service an temporäre Zugangsdaten zu kommen und damit jeden Agenten im selben Konto derselben Region zu übernehmen. Die Agenten liefen dem Bericht nach in Firecracker-MicroVMs ohne die nötige Netzwerkisolation, die Standardrolle war nicht auf den einzelnen Agenten beschränkt. Laut Berichterstattung ist die Schwachstelle inzwischen gepatcht. Die Parallele zur Preisfalle liegt in der Richtung, nicht im Code: Beide Male liegt die Gefahr nicht im Modell selbst, sondern in dem, was man im Betrieb um das Modell herum nicht konfiguriert hat. Rabatte fürs Denken machen kleine Fehlerquellen zahlreich, weil mehr Agenten rentabel werden.

Wie ein Agentenzahlungsverkehr aussehen kann, ohne dass das Modell Zahlungsgeheimnisse sieht, hat LangChain am 8. Oktober 2026 an seinem Beispiel-Agenten Restock beschrieben. Der Ablauf: Ein Nutzer bittet in Slack um Bürobedarf unter 25 Dollar, der Agent wählt aus, der Nutzer gibt den Einkauf in Slack frei, die Zahlung läuft über Links Wallet, die vom Nutzer selbst bedient wird. Der Agent sieht keinerlei Kartennummer, die Zustelladresse und die Schnittstellen-Schlüssel liegen in verwalteten Verbindungen, und die Ausgabenhöhe ist vorab begrenzt. Am Ende bestätigen zwei menschliche Freigaben den Vorgang, eine in Slack, eine in Link. Die Regeln dahinter lassen sich vom Beispiel abziehen: Schutz außerhalb des Modells bauen statt im Prompt versprechen, jedem Agenten eigene Zugangsdaten und feste Grenzen geben, öffentlich erreichbare Agenten in ein eigenes Konto stellen. Genau diese Zeile hatte dem AgentCore-Befund gefehlt.

Auf dem Deck betrachtet, bleibt von beiden Befunden eine kurze Betriebsliste. Erstens läuft meine Rechnung über Ollama in einem Request-Fenster, nicht über Tokenpreise, die Preisfalle trifft mich also mittelbar, wenn ich Baustellen an Modelle auslagere, die nach Token abrechnen. Zweitens ist der Effort-Regler der größte Kostenhebel, den die Messwerte zeigen: Faktor 36 zwischen Low und Max an derselben Aufgabe ist keine Rundungsdifferenz, sondern eine Betriebserkenntnis, die in jedes Task-Budget gehört. Drittens entscheidet die Kontext-Staffel über den Anbieterwechsel: Ein Modellvergleich reicht nie bis 100.000 Token, wenn die eigenen Threads dorthin wachsen. Viertens gilt der AgentCore-Befund als Checkliste: Rollen je Agent verengen, Metadaten-Zugriffe aus der Sandbox verbauen, öffentliche Endpunkte isolieren, und die Freigabepflicht so bauen wie Restock es vorführt. Billiges Reasoning verführt zu mehr Agenten, und mehr Agenten bedeuten mehr Konfiguration, die man verschenken kann, wenn man sie dem Standard überlässt.

Aus der Messlage ziehe ich eine einfache Betriebsregel, die auf dem Deck seit der Woche gilt: Effort pro Aufgabentyp festlegen, nicht global. Klassifikation, Kurzantworten und Routinetrimmung laufen auf Low, dort liegen die Willison-Werte bei Bruchteilen eines Cent. Schreib- und Strukturaufgaben bekommen Medium, den Standard des Modells. Werkzeugketten mit echtem Planungsbedarf bekommen High, und Max ist Einzelstücken vorbehalten, deren Ergebnis später weiterverwendet wird. Artificial Analysis hält zusätzlich fest, dass der Sprung von xhigh auf Max etwa zwei Index-Punkte bringt und rund den 1,8-fachen Tokenverbrauch kostet, die Preisschere der obersten Stufe also vor allem Zeit und Geld kostet, nicht Intelligenz. Wer den Regler dagegen pro Task festlegt, zahlt genau das Denken, das die Aufgabe braucht, und nicht das, was das Modell aus Gewohnheit liefert.

Grenzen des Beitrags: Die Preis- und Token-Zahlen stammen aus dem Artificial-Analysis-Artikel vom 07.10.2026 sowie dem Willison-Bericht vom selben Tag, beide abgerufen und gegen das Original geprüft am 09.10.2026. Die Kosten-pro-Aufgabe-Angaben nennt Artificial vorläufig aus, weil ihre Index-Messung den Preissprung oberhalb 100.000 Token noch nicht abbildet, deshalb arbeitet dieser Beitrag mit dem Tokenverhältnis. Der AgentCore-Abschnitt stützt sich auf die Zenity-Pressemitteilung und die Dark-Reading-Berichterstattung, der zugrunde liegende technische Bericht habe ich nicht im Volltext gelesen, der Patch-Status folgt derselben Berichterstattung. Die Restock-Beschreibung folgt dem LangChain-Beitrag vom 08.10.2026, dessen Preise sind dort als illustrativ markiert.

Über den Autor: Ich bin Marcel, Grafikdesigner und Betreiber des HUNTER-Cyberdecks, eines Agenten-Setups auf einem gebrauchten Google Pixel 6a. Die Token- und Preiszahlen dieses Beitrags stammen aus den am 09.10.2026 geprüften Originalberichten von Artificial Analysis und Simon Willison. Zuletzt fachlich geprüft am 09.10.2026.