Kategorie: KI-News

100 Millionen Dollar. So viel will Anthropic nach eigenen Angaben in die Ausbildung von KI-Ingenieuren stecken, gebündelt in einem Programm namens Claude Frontier Academy. Die Zahl steht in einem Bericht des US-Senders CNBC. Sie übersteigt die gesamten Weiterbildungsbudgets vieler mittelständischer Firmen. Und sie ist an ein Ziel gebunden: 10.000 ausgebildete Ingenieure bis Ende 2027. Für den Markt für KI-Talent ist das eine klare Ansage.

Die Ausbildung folgt laut Ankündigung dem Modell der medizinischen Facharztausbildung. Nicht Vorlesung, nicht Zertifikat nach zwei Online-Kursen, sondern simulierte Praxis, angeleitete Arbeit an Fallbeispielen und am Ende eine formale Anerkennung. Der Vergleich hilft zu verstehen, was das für Unternehmen bedeutet.

Was hinter der Anthropic KI-Ingenieur-Ausbildung steckt

Das Programm richtet sich nicht an Berufseinsteiger vom Campus, sondern an Ingenieure, die bereits bei Unternehmen arbeiten, die Teil des Claude Partner Network sind. Zu den ersten Gruppen gehören laut Anthropic Mitarbeiter von Accenture, Morgan Stanley und Novo Nordisk sowie von mehreren großen Beratungsfirmen. Die Zielgruppe sind also Menschen, die schon im Geschäft stehen und nun die Werkzeuge lernen sollen, mit denen ihre Arbeitgeber künftig arbeiten. Anthropic nennt die Rolle „frontier deployed engineer“ — wörtlich ein an der vordersten Front eingesetzter Ingenieur.

Der Begriff beschreibt eine Tätigkeit, die sich mit klassischen IT-Jobtiteln kaum fassen lässt. Gemeint sind Leute, die nicht im Forschungslabor Modelle trainieren, sondern beim Kunden sitzen, dessen Daten und Prozesse verstehen und daraus eine funktionierende Anwendung bauen. Sie brauchen zwei Dinge gleichzeitig: technische Sicherheit im Umgang mit Sprachmodellen und genug Geschäftsverständnis, um zu erkennen, welches Problem überhaupt gelöst werden muss. Diese Kombination ist selten. Shambhavi Shambhavi, bei Anthropic für Strategie und Betrieb im Partnergeschäft zuständig, sagt gegenüber CNBC, es brauche mehr Menschen, die sich in Unternehmens-IT und Geschäftskontext auskennen und gleichzeitig viel von KI verstehen.

Simulierter Einsatz, Residency, Zertifikat

Die Ausbildung beginnt laut Ankündigung mit einem „simulated enterprise deployment“ — einer nachgestellten Unternehmenseinführung, die mit einer benoteten Prüfung abschließt. Wer besteht, geht in eine Residency, also in eine Art Assistenzzeit, in der erfahrene Ausbilder anleiten und die Teilnehmer an Fallbeispielen üben. Erst danach folgen eine weitere Bewertung und die eigentliche Zertifizierung. Die ersten Absolventen sollen Anfang 2027 zertifiziert sein.

Die Anleihe bei der Medizin ist bewusst gewählt. In der Facharztausbildung lernst du nicht, indem du ein Lehrbuch über Symptome durcharbeitest, sondern indem du unter Aufsicht Patienten behandelst und deine Entscheidungen anschließend besprochen werden. Übertragen auf KI-Systeme: Die Teilnehmer üben an Fallbeispielen, machen Fehler in einer Umgebung, in der sie noch verzeihlich sind, und bekommen dafür Rückmeldung. Steve Corfield, bei Anthropic global für Geschäftsentwicklung und Partnerschaften zuständig, sagt, das Programm bilde Menschen so aus, wie das eigene Ingenieursteam lerne, und die Absolventen sollten zum Maßstab dafür werden, wie KI in einem Unternehmen gebaut wird.

Warum Unternehmen dieses Problem nicht allein lösen

Der Bedarf ist real. Daten des Analyseanbieters Draup, die CNBC exklusiv vorlagen, zeigen für dieses Jahr im Finanzsektor einen deutlichen Anstieg von Stellenausschreibungen für Forward-Deployed-Engineers und verwandte KI-Rollen. Unternehmen suchen bereits, finden aber nicht genug. Der Grund ist strukturell: Wer Finanzprodukte, Produktionslinien oder Zulassungsverfahren kennt, hat dieses Wissen über Jahre aufgebaut — und ist in der Regel kein Softwareentwickler. Wer Software baut, kennt diese Prozesse wiederum nicht. Eine Weiterbildung muss deshalb dort ansetzen, wo das Domänenwissen schon sitzt.

Das macht das Partner-Network-Modell für Anthropic attraktiv. Statt Personal zu verleihen, werden die Kunden selbst befähigt. Wer seine Leute ausbilden lässt, bindet sie fachlich an die Werkzeuge, mit denen sie danach arbeiten. Für das Unternehmen bleibt die Kompetenz im Haus, für Anthropic wächst die Zahl der Firmen, in denen Claude produktiv eingesetzt wird. Ausbildungsförderung wird damit zum Vertriebskanal, ohne dass jemand etwas verkaufen muss.

Der wirtschaftliche Kontext: IPO, Wachstum, rote Zahlen

Der Zeitpunkt der Ankündigung fällt in eine Phase, in der Anthropic auf den öffentlichen Markt drängt. Das Unternehmen wird laut Berichten noch in diesem Jahr an die Börse gehen und könnte dabei eine Bewertung im Bereich von zwei Billionen Dollar anstreben. Reuters berichtete unter Berufung auf eine durchgesickerte Fassung des Börsenprospekts von knapp 4,6 Milliarden Dollar Umsatz im vergangenen Jahr bei einem operativen Verlust von mehr als 8 Milliarden Dollar.

Die Ausbildungsoffensive verfolgt damit zwei Ziele. Sie mindert den Engpass, der den Verkauf bremst: Ohne Menschen, die KI-Systeme in Geschäftsprozesse einbauen können, bleiben Lizenzen ungenutzt. Und ein Programm, das zehntausend Fachkräfte durch eine anerkannte Zertifizierung führt, ist für Investoren ein Zeichen, dass hier etwas heranwächst. Verteilt man die 100 Millionen Dollar grob auf 10.000 Personen, landet man bei rund 10.000 Dollar pro Kopf — inklusive Curriculum, Ausbildern, Prüfungen und Zertifizierung. Ein Teil der Kosten dürfte bei den entsendenden Arbeitgebern liegen.

Was KI-Weiterbildung in Unternehmen dadurch konkret bedeutet

Für die Personalentwicklung heißt das, dass die Ausbildung von KI-Ingenieuren aus der Nische herauskommt. Es entstehen Zertifikate mit einem Namen, der am Arbeitsmarkt etwas bedeutet, und ein Ausbildungsweg, der über ein Wochenendseminar deutlich hinausgeht. Wenn du in einem Unternehmen für Weiterbildung zuständig bist, wird die Frage künftig nicht mehr lauten, ob es überhaupt Schulungen zum Thema KI gibt. Sie wird lauten, welche davon etwas taugen und ob sie an den Prozessen deines Hauses geübt werden.

Der zweite Punkt ist unangenehmer. Die wertvollsten Kandidaten für solche Programme sind nicht die Jüngsten im Team, sondern die Erfahrenen mit Prozesskenntnis und der Bereitschaft, sich technisch neu einzuarbeiten. Das lässt sich nicht verordnen, sondern braucht Zeit, Anreize und die ausdrückliche Erlaubnis, Fehler zu machen. Ein Unternehmen, das seine Leute in eine Residency schickt, muss sie für die Dauer der Ausbildung aus dem Tagesgeschäft nehmen, wie lange die dauert, hat Anthropic nicht gesagt. Diese Kosten tauchen in keiner Pressemitteilung auf, sie sind aber der eigentliche Preis.

Wie realistisch die Zahl 10.000 ist

Der Zeitplan ist sportlich. Wenn die ersten Ingenieure Anfang 2027 zertifiziert werden, bleibt für fast alle 10.000 Zertifizierungen im Grunde nur das Jahr 2027. Eine Ausbildung mit simuliertem Einsatz, Residency und Abschlussprüfung lässt sich nicht beliebig beschleunigen, ohne dass die Abschlussquote leidet. Es ist daher gut möglich, dass die Zahl zum Zieljahr nicht vollständig erreicht wird und das Programm anschließend verlängert wird. Das wäre nicht ungewöhnlich, es wäre der Normalfall.

Interessanter als die exakte Zahl ist ohnehin die Richtung, die sie anzeigt. Ein Anbieter von KI-Modellen investiert einen dreistelligen Millionenbetrag nicht in Rechenleistung, sondern in Menschen, die diese Modelle in Unternehmen zum Laufen bringen. Die Engstelle der Branche verschiebt sich damit von der Technik zur Anwendung. Die Werkzeuge werden weiter schneller, aber der Vorsprung entsteht künftig dort, wo jemand beides zusammenbringt — das eigene Geschäft und die Fähigkeit, KI darin einzubauen. Wer dafür Zeit investiert, investiert nicht in ein Modell, das in zwei Jahren abgelöst wird, sondern in eine Fähigkeit, die bleibt.

Quelle: cnbc.com

Aleph Alpha hat ein neues Sprachmodell veröffentlicht: Kolibri. Die Heidelberger Firma gibt die vollständigen Gewichte zum freien Download heraus. Kolibri ist auf Englisch und Deutsch ausgelegt und für souveräne, geschäftskritische Aufgaben in Behörden und regulierten Branchen gedacht. Wer das Modell braucht, lädt es von Hugging Face herunter, lizenziert unter Apache 2.0, und betreibt es in der eigenen Umgebung.

Damit besetzt ein Anbieter die Nische der Modelle, die nicht zwingend in eine fremde Cloud wandern müssen – ein Thema, das auch Moonshot AI mit Kimi K3 besetzen will. Kolibri baut auf dem früheren Kolibri Origin auf und entstand in der automatisierten Model Factory des Unternehmens. Die spannendere Frage ist deshalb nicht, ob das Modell in Benchmarks mithält, sondern ob es die Bedingungen erfüllt, unter denen Behörden und Industriekunden ein Modell überhaupt produktiv einsetzen dürfen.

384 Experten, sechs pro Anfrage: Kolibris Mixture-of-Experts-Architektur

Ein brauchbares Bild für dieses Open-Weight-Modell ist eine große Fachkanzlei. Hunderte Spezialisten sitzen im Haus, für einen einzelnen Fall werden nur wenige hinzugezogen. Genau das beschreibt Mixture-of-Experts. Kolibri hält 78,1 Milliarden Parameter im Reservoir, aktiviert pro Token aber nur 3,46 Milliarden davon. Von insgesamt 384 Experten werden jeweils sechs aktiv.

Der Vorteil: Die Wissensbreite eines sehr großen Modells trifft auf die Rechenkosten eines deutlich kleineren. Daran entscheidet sich in der Praxis, ob ein Modell wirtschaftlich betreibbar ist. Wer eine Maschine mit 78 Milliarden aktiven Parametern durchgehend rechnen lässt, bezahlt das mit Strom, Kühlung und Hardware. Rechnerisch aktiviert Kolibri pro Token gut ein Zwanzigstel seiner Parameter.

Auch die Aufmerksamkeitsmechanik folgt diesem Sparsamkeitsgedanken. In zehn von fünfzig Schichten rechnet das Modell mit voller Aufmerksamkeit über den gesamten Kontext, in den übrigen vierzig arbeitet es mit einem gleitenden Fenster von 512 Token. Dieses Sliding Window begrenzt, wie viele Beziehungen zwischen weit auseinanderliegenden Textstellen gleichzeitig verfolgt werden. Ein bewusster Kompromiss: volle Sicht dort, wo sie am meisten bringt, günstige Nähe überall sonst.

Eine Million Token Kontext: ganze Aktenberge in einem Durchgang

Im Training wurde Kolibri bis auf 256.000 Token Kontext adaptiert. Ausgeliefert wird das Modell jedoch mit Einstellungen, die den Betrieb bei 1.048.576 Token erlauben. Die Modellkarte auf Hugging Face empfiehlt allerdings selbst, für effizienten Betrieb und komplexe Aufgaben höchstens 262.144 Token zu nutzen. Ein Token ist grob ein Wortteil, ein deutsches Kompositum zerfällt oft in mehrere. Eine Million Token entspricht damit in etwa einer mittelgroßen Aktenlandschaft, mehreren Gesetzbüchern oder einer umfangreichen Codebasis.

Für die Praxis ist das der Unterschied zwischen Stückwerk und Zusammenhang. Statt Dokumente häppchenweise in ein Modell zu werfen und die Ergebnisse anschließend mühsam zusammenzusetzen, lässt sich ein Vorgang in einem Durchgang bearbeiten. Kolibri kann damit Querverweise sehen, die bei kleinen Kontextfenstern verloren gehen.

Zwei Dinge sollte man trotzdem auseinanderhalten. Ein großes Kontextfenster ist kein perfektes Gedächtnis. Die Qualität der Verarbeitung nimmt über die Länge typischerweise ab, und die Rechenkosten steigen überproportional. Die maximale Länge ist eine Obergrenze, kein Versprechen – das sieht auch der Hersteller so, wenn er ein Viertel davon als sinnvolle Betriebsgröße nennt. Wer Kolibri einsetzt, sollte für den eigenen Anwendungsfall prüfen, bis zu welcher Textlänge die Antworten noch belastbar bleiben.

Deutsch als gleichwertige Sprache: 21,3 Prozent der Vortrainingsdaten

Deutsch macht 21,3 Prozent der Vortrainingsdaten aus. Das klingt nach wenig, ist für ein Modell dieser Klasse aber ein Statement. Viele offene Modelle sind vorwiegend auf Englisch trainiert und zerlegen deutsche Wörter in mehr und kleinere Stücke.

Aleph Alpha verwendet ein zweisprachiges Vokabular mit 128.000 Einträgen und einen Tokenizer, der deutsche Komposita erhält. Wörter wie Verwaltungsverfahrensrecht oder Betriebsrentenstärkungsgesetz sollen so nicht in bedeutungslose Silben zerfallen. Das spart Token, und gesparte Token bedeuten geringere Kosten und weniger Informationsverlust pro Satz.

Das Modell bietet außerdem vier Denkstufen: none, low, medium und high. Wer eine simple Klassifikation braucht, wählt keine Reasoning-Kette und spart Rechenzeit. Wer ein Gutachten strukturieren will, schaltet hoch. Dazu kommt Tool Calling, also die Fähigkeit, externe Funktionen aufzurufen. Aleph Alpha nennt als Schwerpunkte Deutsch, Mathematik, Programmierung, Langkontext und agentische Aufgaben.

Training in Deutschland und Finnland: warum Kolibri On-Premises läuft

Trainiert wurde Kolibri auf 768 B200 GPUs. Den Anfang machten 20 Billionen Token über 21 Tage, danach folgten Mid-Training und eine Phase zur Anpassung an lange Kontexte. In Summe kommen fast 24 Billionen Token zusammen. Entscheidend ist weniger die Zahl als der Ort: Entwicklung und Training fanden in Deutschland und Finnland statt.

Daraus ergibt sich das eigentliche Verkaufsargument für souveräne KI in regulierten Branchen. Aleph Alpha kontrolliert nach eigener Aussage Datenkuratierung, Training, Evaluation, Gewichte und Bereitstellung. Die On-Premises-Bereitstellung erfolgt über das eigene Inference-Paket und ein modellspezifisches vLLM-Plugin, das auch die Parser für Reasoning und Tool-Aufrufe mitbringt.

Für eine Behörde heißt das: Interne Vorgänge müssen nicht an einen fremden Inferenzdienst geschickt werden. Datenhoheit ist hier keine Marketingfloskel, sondern eine technische Eigenschaft der Installation. Wer reguliert ist, weiß, dass diese Frage in jedem Beschaffungsverfahren zuerst gestellt wird.

Verweigern statt Raten: Merlin-Arthur und die 44 Prozent

Ein Sprachmodell, das selbstbewusst falsch antwortet, ist in der Verwaltung schlimmer als eines, das gar nichts sagt. Aleph Alpha hat Kolibri deshalb auf Verweigerungsbeispiele trainiert und mit dem eigenen Merlin-Arthur-Verfahren konfrontiert. Dieses Verfahren lehrt das Modell, eine Antwort zurückzuhalten, wenn die Belege fehlen.

In den firmeneigenen Tests vermied Kolibri bei 44 Prozent der AA-Omniscience-Aufgaben eine falsche Antwort, der Vorgänger Kolibri Origin lag laut Modellkarte bei 15 Prozent. Richtig beantwortet hat Kolibri dabei allerdings nur 14,8 Prozent der Fragen – der Rest der vermiedenen Fehler sind Enthaltungen. Andere Modelle derselben Vergleichstabelle liegen bei der Fehlervermeidung zum Teil deutlich höher, etwa Qwen3.8 27B mit 67,3 Prozent. Im M/A-Grounding-Score auf SQuAD erreicht Kolibri 23,4 Punkte. Solche Werte sind keine Eleganznote, sondern eine Risikokennzahl.

Die Kehrseite ist ebenso real. Ein Modell, das zu oft schweigt, wird unbrauchbar, weil Menschen dann wieder selbst suchen. Die Kunst liegt im richtigen Maß. Deshalb lohnt es sich, Verweigerungsraten nicht nur zu bewundern, sondern am eigenen Datenbestand nachzumessen.

Benchmarks aus dem eigenen Haus und ihre Grenzen

Aleph Alpha meldet für Kolibri 75,5 Punkte im englischen Gesamtdurchschnitt und 70,8 im deutschen. Bei AIME 2025, einem Mathematikwettbewerb, sind es 96,9. LiveCodeBench v6 liegt bei 85,9, BFCL v4 für Funktionsaufrufe bei 61,4. Dazu kommen branchenspezifische Testreihen für öffentliche Verwaltung, Automobil, Halbleiter, Industrietechnik und Luftfahrt, die ohne Kundendaten auskommen.

Diese Zahlen stammen vom Anbieter selbst, erhoben mit eigenen Testumgebungen und, wo möglich, mit der höchsten Denkstufe. Das ist kein Grund, sie zu verwerfen, aber ein Grund, sie als das zu lesen, was sie sind: eine Selbstauskunft. Aleph Alpha behauptet, Kolibri liege auf der Pareto-Grenze zwischen Qualität und Betriebskosten und halte bei Mathematik, Code, Grounding, Agentik und Langkontext mit Modellen mit, die bis zu viermal so viele aktive Parameter haben.

Was heißt das konkret? Kolibri richtet sich nicht an alle. Wer ein schnelles Consumer-Modell für Alltagsfragen sucht, wird mit einem 78-Milliarden-Parameter-Modell auf eigener Hardware wenig Freude haben. Wer dagegen in einer regulierten Umgebung arbeitet, in der Daten das Haus nicht verlassen dürfen und lange Dokumente zusammenhängend bewertet werden müssen, bekommt hier eine weitere Option aus Europa. Die Gewichte sind offen, die Lizenz erlaubt den kommerziellen Betrieb, und die Entscheidung über Datenfluss liegt beim Betreiber. Wer Kolibri prüft, sollte mit dem eigenen Korpus testen, die Verweigerungsquote messen und die tatsächlich nutzbare Kontextlänge bestimmen. Alles andere sind Zahlen aus dem Prospekt.

Quelle: testingcatalog.com

„We will introduce additional controls to ensure that users who genuinely wish to grant an app this extraordinary level of access can only do so with very explicit user action.“ So formuliert Apple in seinem Developer-News-Beitrag vom 2. Oktober 2026 die geplante Verschärfung von macOS Full Disk Access. Neu ist vor allem die Begründung. Apple schreibt zunächst, manche Entwickler nutzten Full Disk Access so, dass Nutzer ohne ihr volles Wissen alles auf ihrem System offenlegen – Dateien, Mail, Nachrichten, sogar den Browserverlauf. Dann folgt der Satz, der die Ankündigung besonders macht: Mit zunehmender Leistungsfähigkeit und Autonomie von KI-Agenten würden die Risiken dieser Zugriffsstufe erheblich wachsen. Das Portal Forkast wertet das als ersten Fall, in dem ein großer Betriebssystemhersteller seine zentralen Zugriffsrechte ausdrücklich wegen KI-Agenten ändert – nicht wegen Malware und nicht wegen staatlich finanzierter Angreifer. Die Ankündigung verschiebt eine Grenze, die bisher niemand gezogen hat – weder Apple, noch Microsoft, noch die Linux-Welt.

Was Full Disk Access so mächtig macht

Die Berechtigung wurde ursprünglich für Backup-Werkzeuge wie SuperDuper oder Carbon Copy Cloner geschaffen, die das gesamte Laufwerk lesen müssen, um es kopieren zu können. Sie umgeht Apples TCC-System, jene Ebene, die normalerweise jede App einzeln fragt, ob sie auf Kamera, Mikrofon, Fotos oder andere sensible Ressourcen zugreifen darf.

TCC lässt sich wie eine Grenzkontrolle mit vielen einzelnen Schranken vorstellen. Jede Ressource hat ihren eigenen Schlagbaum: Wer die Kamera nutzen will, braucht die Kamera-Schranke, wer Fotos lesen will, die Foto-Schranke, wer das Mikrofon ansprechen will, die Mikrofon-Schranke. Full Disk Access ist kein weiterer Schlagbaum, sondern ein Pass, der sämtliche Schranken gleichzeitig öffnet. Wer ihn hält, kommt an Mail, Messages, den Safari-Verlauf, Kontakte, Fotos und die Time-Machine-Backups. Für ein Backup-Werkzeug ist das die Arbeitsbeschreibung. Für einen dauerhaft laufenden KI-Agenten heißt es Zugriff auf fast alles, was auf dem Rechner liegt.

Zwei Vorfälle und das strukturelle Problem dahinter

Die Ankündigung fällt nicht in einen luftleeren Raum. Im September berichtete der Inc.-Kolumnist Jason Aten, Metas KI-Agent Muse habe seine privaten Nachrichten gelesen, ohne dass er bewusst eine Berechtigung erteilt habe. Meta widersprach dieser Darstellung und verwies darauf, dass drei ausdrückliche Nutzerhandlungen nötig seien: das Aktivieren von Full Disk Access, das Einschalten des Messages-Konnektors innerhalb der App und eine Bestätigung in einem macOS-Systemdialog.

Unabhängig davon beschrieb Wired eine Schwachstelle in der ChatGPT-App für den Mac, die die Objective-See Foundation entdeckt hatte und die am 25. September geschlossen wurde. Angreifer hätten über eine als vertrauenswürdig eingestufte Skript-Komponente an Chat-Protokolle und Browsersitzungen gelangen können. Die beiden Fälle sind unterschiedlich gelagert – der eine dreht sich um eine Berechtigungsfrage, der andere um eine technische Lücke –, doch sie treffen sich an derselben Stelle: bei der Frage, welcher Code im Namen des Nutzers handeln darf.

Der Objective-See-Forscher Patrick Wardle verglich Agenten mit einem Hausverwalter, der die Schlüssel zu allen Räumen besitzt. Sie bräuchten viel Zugriff, um ihre Aufgabe zu erfüllen. Könne dieser Verwalter korrumpiert oder unterwandert werden, sei das ein Problem – im schlimmsten Fall erlange nicht privilegierter Code Zugriff auf alles.

Die betroffenen Anwendungen sind keine Randerscheinungen. Metas Muse, OpenAIs Dots, die ChatGPT-App für den Mac, Claude für Mac, OpenClaw und Hermes Agent fordern Full Disk Access regelmäßig an, um ihre Desktop-Funktionen überhaupt anbieten zu können. Das ist kein Missbrauch, sondern eine Folge des Designs. Ein Agent, der Kalender, Mail und Dateien koordinieren soll, braucht Blick auf genau diese Dinge – und überschreitet damit eine Grenze, die für klassische Anwendungen selbstverständlich war.

Warum Apple auf ausdrückliche Zustimmung setzt statt auf ein Verbot

Apple verbietet Full Disk Access nicht und entwirft auch kein neues Berechtigungsmodell für Agenten. Stattdessen baut der Konzern den Zustimmungsweg um: Wer einem Programm diese Zugriffstiefe geben will, soll das nur noch über eine sehr ausdrückliche Nutzerhandlung können. Nutzer sollen die Risiken verstehen, bevor sie diesen Zugriff erteilen, und informiert über ihre Daten entscheiden können.

Das lässt sich als Nachrüstung bezeichnen. Ein altes, grob geschnittenes Recht bekommt ein strengeres Zeremoniell, ohne dass sich seine technische Form ändert. Ob das genügt, ist eine andere Frage. Ein Bestätigungsdialog erklärt dem Nutzer, dass er gerade sehr viel Zugriff vergibt. Er beantwortet aber nicht, ob ein Agent tatsächlich alles braucht, was er anfordert.

Es ist ein Zustimmungswechsel, keine technische Sperre. Apple verschiebt nicht die Fähigkeiten von Programmen, sondern die Hürde, an diese Fähigkeiten zu gelangen.

Die Lücke zwischen Ankündigung und Auslieferung

Apple hat weder die macOS-Version genannt, in der die neuen Kontrollen erscheinen, noch einen Zeitrahmen. In dieser Lücke müssen Entwickler entscheiden, wie sie mit der Ankündigung umgehen. Die pragmatische Frage lautet: Fordern wir weiterhin Full Disk Access an, weil es bequem ist, oder zerlegen wir den Zugriff in kleinere Teile, die sich einzeln begründen und einzeln verweigern lassen?

Ein Agent, der nur Mail lesen soll, braucht keinen Blick auf die Time-Machine-Historie. In der Praxis kostet diese Aufteilung Arbeit, und sie kollidiert mit einem Berechtigungsmodell, das nur Alles oder Nichts kennt. Full Disk Access wurde für Werkzeuge entworfen, die das Ganze brauchen. Agenten brauchen vieles, aber selten alles gleichzeitig.

Windows und Linux haben bisher kein Gegenstück

Windows regelt Rechteerhöhung über UAC und schränkt Store-Anwendungen über AppContainer ein, doch klassische Win32-Programme laufen standardmäßig mit dem vollständigen Token des angemeldeten Nutzers. Linux kennt AppArmor, SELinux und die Portale von Flatpak, aber die meisten Desktop-Distributionen erzwingen keinen einheitlichen Vermittler für Berechtigungen. Kein großes Betriebssystem liefert derzeit ein eigenes, zweckgebautes Berechtigungsmodell für autonome Agenten.

Die Sicherheitsschichten, die derzeit in Unternehmen entstehen, liegen auf einer anderen Ebene. Ein Gateway steuert, welche APIs ein Agent aufruft. Sandbox-Lösungen wie Kubernetes Agent Sandbox isolieren Agenten-Workloads in Containern. Identitätsbasierte Zugriffsvermittler regeln, wer worauf zugreifen darf. All diese Schichten sind real und im Einsatz – aber sie arbeiten oberhalb des Betriebssystems. Apples Eingriff sitzt darunter, an der Stelle, an der das System selbst entscheidet, was ein Programm erreichen darf.

Was das konkret bedeutet

Für dich als Nutzer verschiebt sich zunächst wenig, solange die Kontrollen nicht ausgeliefert sind. Danach fällt die Entscheidung in dem Moment, in dem ein Dialog erscheint. Bisher war das eine Formalität, die man wegklickt. Künftig ist es die Stelle, an der beantwortet wird, wer im Namen des Nutzers handeln darf. Wer Full Disk Access vergibt, übergibt nicht eine Datei, sondern den Schlüssel zu allem, was auf dem Rechner liegt.

Für Entwickler wird der bequeme Weg teurer: einmal um eine weitreichende Berechtigung bitten und danach in Ruhe arbeiten, wird künftig eine sehr ausdrückliche Zustimmung des Nutzers brauchen. Das ist kein Verbot, und es wäre ein Fehler, die Ankündigung als harte technische Sperre zu lesen. Es zeigt, dass die Alles-oder-Nichts-Frage bei Full Disk Access nicht mehr automatisch mit Ja beantwortet wird.

Für die Branche ist es ein frühes Zeichen dafür, dass ein Hersteller die Existenz autonomer Agenten als Betriebssystemproblem behandelt und nicht als Frage der App-Gestaltung. Ob daraus ein Modell wird, das sich auf Windows und Linux übertragen lässt, ist offen. Ebenso offen ist, ob eine zusätzliche Bestätigung wirklich mehr Sicherheit schafft oder nur mehr Bewusstsein. Wer heute schon mit Agenten arbeitet, sollte prüfen, welcher seiner Werkzeuge welchen Zugriff wirklich benötigt. Die Antwort fällt meist kleiner aus, als die Standardeinstellung vermuten lässt.

Quelle: forkast.news

Die öffentliche Debatte über Quantencomputer kennt einen bequemen Konsens. Danach kommt irgendwann die Maschine, die heutige Verschlüsselung knackt, und bis dahin tauscht man eben die Rechenverfahren aus, so wie man ein Schloss an der Wohnungstür wechselt. Dieses Bild stimmt nicht, wie eine Ankündigung von Cloudflare von Ende September 2026 zeigt: Das Unternehmen will quantensichere TLS-Zertifikate ausgeben. Wer den technischen Details folgt, landet nicht bei einem ausgetauschten Algorithmus, sondern bei einem Umbau der Web Public Key Infrastructure, kurz WebPKI. Diese Apparatur sorgt dafür, dass dein Browser einer Webseite glaubt, wenn in der Adresszeile ein Schloss erscheint.

Ein TLS-Zertifikat ist im Kern ein Ausweis für eine Domain. Es enthält einen öffentlichen Schlüssel, den Namen der Seite, eine Gültigkeitsdauer und die Signatur einer Zertifizierungsstelle, die für diesen Ausweis bürgt. Bei jeder neuen Sitzung läuft zwischen Browser und Server ein Handshake ab, in dem sich der Server ausweist und der Browser die Signaturkette nachrechnet. Vertrauen entsteht nicht durch einen einzelnen Prüfer, sondern durch eine Hierarchie: Betriebssysteme und Browser kennen bestimmte Wurzeln, diese Wurzeln beglaubigen Unterstellen, und am Ende steht das Zertifikat der Webseite. Diese Kette ist der Gegenstand der aktuellen Ankündigung.

Was Cloudflare konkret ankündigt

Cloudflare will quantensichere TLS-Zertifikate ausgeben, über eine Open-Source-Plattform, die zwei Dinge parallel leistet: klassische TLS-Zertifikate und ein post-quantum Pendant namens Merkle Tree Certificates. Diese hybriden Zertifikate sollen für zahlende wie nicht zahlende Nutzer kostenlos sein. Um das System aufzusetzen und im TLS-Ökosystem zu verankern, übernimmt das Unternehmen eine bereits vertrauenswürdige Zertifikats-Wurzel vom Anbieter GlobalSign. Nach eigener Darstellung soll das Millionen von Webseiten erlauben, mit einem Schalter umzulegen, ohne zusätzliche Leistungseinbußen.

Steve Goldsmith von Cloudflare hat die Ankündigung ausdrücklich eingeordnet: Man gebe noch keine Zertifikate aus, und das werde noch eine Weile dauern. Man verpflichte sich öffentlich zu der Arbeit, teile die Meilensteine, während sie erreicht würden, und beschreibe genau, was gebaut werde. Die eigentliche Ausgabe soll im ersten Quartal 2027 beginnen. Bis das neue Verfahren im ganzen Netz getragen wird, vergeht allerdings deutlich mehr Zeit – dazu unten mehr.

Warum ein reiner Algorithmus-Tausch das Netz überlasten würde

Der naheliegende Weg wäre, die heutigen X.509-Zertifikate einfach mit quantenfesten Signaturen zu versehen. Das Problem ist die Größe. Solche Signaturen würden den Datenumfang eines TLS-Handshakes auf das rund Vierzigfache anschwellen lassen — jenen Austausch, der bei jeder neuen Sitzung zwischen Browser und Server stattfindet. Diese zusätzliche Rechenleistung und Bandbreite würde das Internet in seiner heutigen Form überfordern. Man kann sich das wie einen Türsteher vorstellen, der bislang einen Ausweis prüft und künftig bei jedem Gast einen ganzen Aktenordner lesen müsste.

Google hatte im Februar eine Lösung vorgestellt, die auf Merkle Trees basiert, und Cloudflare testet diesen Ansatz gemeinsam mit Google bereits in begrenzten Pilotprogrammen. Statt die Handshake-Daten explodieren zu lassen, bleibt man bei etwa 40 Kilobyte — ungefähr dem Umfang, der auch heute durch das Netz geht. Der Trick besteht darin, die Beweislast dorthin zu verlagern, wo sie günstig zu tragen ist. Nicht der Browser soll die ganze Arbeit machen, sondern die ausstellende Stelle, und zwar einmal für sehr viele Zertifikate gleichzeitig.

Merkle Trees: viele Unterschriften, ein einziges Registerblatt

Wer verstehen will, was sich da ändert, kann die alte WebPKI mit einer Kette notarieller Beglaubigungen vergleichen. Bislang hängt an einem Zertifikat eine ganze Kette von Signaturen, jede verweist auf die vorherige, und erst wenn jedes Glied geprüft ist, darf der Browser glauben, dass die Seite die ist, die sie zu sein behauptet. Um diese Kette quantensicher zu machen, müsste man jedes einzelne Glied mit einem sehr viel größeren Siegel versehen. Genau das sprengt den Rahmen.

Merkle Trees verwerfen die Kette und ersetzen sie durch ein Register. Die Zertifizierungsstelle unterschreibt nur noch einen einzigen Baumkopf, der für Millionen von Zertifikaten stehen kann. Was ein Browser zu sehen bekommt, ist in den meisten Fällen ein sogenanntes Landmark — ein knapper Hinweis darauf, dass das Zertifikat irgendwo in diesem Register steht, verbunden mit wenigen Verweisen, über die sich der Eintrag nachrechnen lässt. Statt jeden Unterschriftsakt einzeln zu beglaubigen, wird einmal das Register gesiegelt, und jeder Eintrag erhält eine kurze Wegbeschreibung zu diesem Siegel. Die Rechnung dahinter ist schlicht: Man prüft nicht mehr alles, sondern nur noch das, was sich mit wenigen Rechenschritten auf das Ganze zurückführen lässt.

Transparenzlogs werden vom Anhang zum Kern des Verfahrens

Zur WebPKI gehört seit Jahren ein Kontrollmechanismus, der leicht übersehen wird. TLS-Zertifikate müssen in öffentlichen, nur anhängbaren Protokollen veröffentlicht werden, den Transparency Logs. Website-Betreiber prüfen diese Logs in Echtzeit, um zu erkennen, ob jemand ein Zertifikat für ihre Domain missbraucht. Eingeführt wurde das nach dem Angriff auf die niederländische Zertifizierungsstelle DigiNotar im Jahr 2011. Damals entstanden rund 500 gefälschte Zertifikate für Google und andere Seiten, von denen einige genutzt wurden, um Nutzer im Iran auszuspähen.

Quantencomputer gefährden diesen Mechanismus an einer empfindlichen Stelle. Wäre Shors Algorithmus in ausreichender Form verfügbar, könnte er klassische Signaturen fälschen — und damit auch die öffentlichen Schlüssel der Zertifikatslogs sowie die signierten Zeitstempel, mit denen ein Browser belegt bekommt, dass ein Zertifikat registriert wurde. Ein Angreifer könnte behaupten, eine Registrierung habe stattgefunden, die es nie gab. Unter dem heutigen System ließen sich solche Änderungen durch ein zusätzliches Glied in der Signaturkette abbilden. Merkle Trees liefern den Nachweis, ohne jedes Glied einzeln aufzuzählen.

Das hat noch einen Vorteil, der leicht untergeht. Bisher sind Transparenzlogs ein Vorgang neben der Zertifikatsausgabe. Mit Merkle Tree Certificates wird das Protokollieren Teil der Ausgabe selbst. Die Cloudflare-Ingenieurin Mari Galicer bringt es auf die Formel, dass Transparenz durch die Kopplung von Ausgabe und Protokollierung zur Betriebsvoraussetzung werde statt zum nachträglichen Zusatz. Das klingt nach einem Satz für Spezifikationen. Praktisch heißt es: Ein Zertifikat ohne Logeintrag kann gar nicht erst entstehen.

Warum der Umbau schon jetzt beginnt

Warum die Eile, obwohl niemand einen einsatzfähigen Quantencomputer dieser Größenordnung besitzt? Das oft genannte Argument „Harvest now, decrypt later“ – heute mitschneiden, später entschlüsseln – betrifft vor allem die Verschlüsselung des Datenverkehrs, also den Schlüsselaustausch. Bei Zertifikaten geht es um etwas anderes: um Signaturen, die belegen, dass eine Seite echt ist. Eine Signatur, die heute geprüft wird, lässt sich nicht rückwirkend missbrauchen. Der Grund für den frühen Start ist hier die Dauer der Umstellung. Wenn Betriebssysteme, Browser, Zertifizierungsstellen und Transparenzlogs gemeinsam umgebaut werden müssen, braucht das Jahre – und es muss fertig sein, bevor ein Quantencomputer Signaturen fälschen kann.

Was das für Website-Betreiber und Nutzer bedeutet

Zum Plan gehört mehr als die Zertifikate selbst. Cloudflare setzt auf das Automated Certificate Management Environment, kurz ACME, einen offenen Mechanismus, der Zertifikate ausstellt und sie kurz vor dem Ablauf automatisch erneuert. Für den Fall, dass ein Server nicht erreichbar ist oder ein Landmark-Update nicht ankommt, sollen Signaturen auch außerhalb des regulären Wegs ausgeliefert werden können, etwa über ein Browser-Update. Das wirkt unspektakulär, ist aber entscheidend. Ein Sicherheitssystem, das beim ersten Ausfall stehen bleibt, wird nicht lange benutzt.

Für Betreiberinnen und Betreiber einer Webseite ändert sich zunächst wenig. Das erklärte Ziel ist, dass Cloudflare-Kunden die neuen Zertifikate per Schalter aktivieren können, ohne zusätzliche Leistungseinbußen. Für Nutzer bleibt das Schloss in der Adresszeile, es bedeutet künftig nur etwas anderes. Der Umbau selbst dauert Jahre, weil Betriebssysteme, Browser, Zertifizierungsstellen und Netzinfrastruktur gleichzeitig angepasst werden müssen. Das kann keine einzelne Firma allein liefern.

Auch die Übernahme der GlobalSign-Wurzel lohnt einen zweiten Blick. Vertrauen entsteht in der WebPKI nicht durch Ankündigungen, sondern durch Zertifikats-Wurzeln, die seit Jahren in Betriebssystemen und Browsern hinterlegt sind. Wer eine solche Wurzel besitzt, kann Zertifikate ausgeben, die praktisch überall akzeptiert werden. Der Kauf ist damit weniger eine technische als eine strategische Entscheidung, weil er den Weg von der Idee zur Reichweite deutlich verkürzt.

Hier wird kein Produkt beworben, sondern eine Baustelle eröffnet. Quantensichere Zertifikate sind kein Film, der irgendwann abläuft, sondern eine langwierige Umstellung, die jetzt anfängt und erst in Jahren fertig wird. Wer heute eine Website betreibt, muss nichts tun. Wer verstehen will, wie das Netz in zehn Jahren funktioniert, kann hier anfangen — die Ankündigung zeigt, wie viel Architektur unter einer einfachen Adresszeile steckt.

Quelle: arstechnica.com

Instagram hat am Mittwoch einen KI-Assistenten für Edits vorgestellt, seine Videobearbeitungs-App. Der Chatbot soll Creatorn keine allgemeinen Ratschläge geben, sondern Rückmeldungen zu ihren eigenen Zahlen: Aufrufe, Haltequote, Likes und Shares, abgeglichen mit den Kommentaren unter ihren Videos und mit dem, was auf Instagram gerade funktioniert. Darüber berichtet TechCrunch-Autorin Amanda Silberling. Der Assistent ist kein Schnittprogramm mit Sprachsteuerung, sondern ein Gesprächspartner, der die eigenen Daten kennt. Erstmals gezeigt hatte Meta ihn bereits im Juni auf einer Creator-Veranstaltung nur für geladene Gäste.

Was der KI-Assistent in der Edits-App leistet

Edits ist Metas Antwort auf CapCut, und der Assistent sitzt dort als Dialogpartner neben den Creatorn. Brett Westervelt, der das Produkt leitet, beschreibt es so: Das Werkzeug kennt die Instagram-Metriken des Kontos – Follower-Entwicklung, Aufrufe, Video-Retention, Likes, Shares – und verbindet sie mit den Kommentaren, mit Trends auf Instagram und mit den Interessen des Publikums. Daraus soll es Muster erkennen, die in den nackten Zahlen schwer zu sehen sind. Der Unterschied zu allgemeinen Tipps ist kein längerer Text, sondern der Datenzugriff.

Westervelt formuliert den Anspruch vorsichtig. Creator hätten sich ein Werkzeug gewünscht, das die Analyse übernimmt und nicht die kreative Arbeit, sagt er. Der Assistent gräbt nach, entscheiden tun die Menschen. Das klingt banal, ist aber eine Entscheidung: kein Tool, das Videos zusammenschneidet, sondern eines, das Fragen beantwortet. Wer wissen will, wo ein Reel die Leute verliert, bekommt eine Auskunft. Was daraus folgt, bleibt die eigene Aufgabe.

Warum der Assistent rechnet, statt zu schneiden

Ein Bild aus dem Sport hilft. Ein Trainer steht nicht auf dem Platz und schießt keine Tore. Er sieht sich Aufzeichnungen an, zählt, wie oft ein Pass in der Vorwärtsbewegung verloren geht, und legt dem Spieler eine Beobachtung vor. Was der Spieler daraus macht, ist seine Sache. Ähnlich positioniert Meta den Edits-Assistenten: als jemanden an der Seitenlinie, der Muster sieht, aber nicht ins Spiel eingreift.

Deshalb wirkt der Ansatz unspektakulär. Ein Werkzeug, das rechnet, produziert keine Videos, sondern Sätze. Keine garantierten Trends, sondern Hinweise. Der Nutzen ist kein sichtbares Ergebnis, sondern eine bessere Grundlage für Entscheidungen. Wer seine Zahlen im Kopf hat, hört wenig Neues. Wer dreißig Videos veröffentlicht hat und nicht mehr weiß, welche fünf funktioniert haben, hat dagegen einen Gesprächspartner mit Zugriff auf genau diese Geschichte.

Was YouTube dagegen plant

Meta ist mit dieser Ausrichtung nicht allein. YouTube hat laut dem Bericht angekündigt, ebenfalls an einem dialogfähigen Werkzeug für Videobearbeitung zu arbeiten, das Anfang nächsten Jahres erscheinen soll. Der Unterschied liegt in der Betonung. Meta beschreibt seinen Assistenten als Analyse-Instanz, YouTube deutet an, dass die KI Creator beim eigentlichen Bearbeiten unterstützen soll. Ein Bearbeitungswerkzeug und ein Analyseassistent verfolgen also zwei verschiedene Ziele.

Für Creator ist das wichtig, weil beide Ansätze unterschiedliche Fähigkeiten trainieren. Ein Bearbeitungsassistent nimmt Arbeit ab und macht die Produktion schneller. Ein Analyseassistent erzwingt eine Auseinandersetzung mit der eigenen Performance. Der eine spart Zeit, der andere verlangt Aufmerksamkeit. Wer beides bekommt, muss entscheiden, was dem eigenen Prozess tatsächlich nützt – und ob mehr Output wirklich mehr Reichweite bedeutet.

Limits, Abo und das Geschäftsmodell dahinter

Der Assistent ist nicht unbegrenzt nutzbar. Wer mehr Anfragen stellen will, kann über ein Meta-One-Abo zusätzliche Nutzung freischalten, heißt es in der Ankündigung. Meta folgt damit einem Muster, das sich in vielen KI-Produkten durchgesetzt hat: Die Funktion kommt zuerst, die Grenze kommt mit, und mehr Rechenleistung wird zum Abo-Bestandteil. Große Sprachmodelle kosten im Betrieb Geld, und Plattformen suchen Wege, diese Kosten an die weiterzugeben, die den größten Nutzen daraus ziehen.

Wenn ein Analysewerkzeug hinter einer Bezahlschranke liegt, entsteht ein Vorteil für die, die es sich leisten können. Bei hauptberuflichen Creatorn fällt ein Abo kaum ins Gewicht. Bei jemandem, der abends nach der Arbeit filmt, kann dieselbe Grenze entscheiden, ob die Funktion Teil des Alltags wird. Solche Mechanismen beeinflussen still, wessen Beiträge gute Daten bekommen und wessen nicht.

Was das für den Alltag von Creator bedeutet

Wer seine Instagram-Zahlen mit KI auswerten lässt, sollte drei Dinge trennen. Erstens die Rohdaten: Aufrufe, Retention, Likes, Shares, Follower-Verlauf. Zweitens die Interpretation: Welche Muster stecken darin, was ist Zufall? Drittens die Handlung: Was ändere ich beim nächsten Video? Viele Analysewerkzeuge liefern nur die erste Ebene und lassen die anderen zwei beim Nutzer liegen. In dieser Lücke sitzt der neue Assistent.

In der Praxis hilft es, den Chatbot nicht als Notenverteiler zu behandeln, sondern als Fragesteller. Statt „Wie wird mein Video besser?“ liefert eine Frage wie „Welche meiner letzten zehn Reels hatten die höchste Haltequote, und was unterscheidet sie von den schwächsten?“ eine brauchbare Antwort. Das gilt für KI-Feedback generell: Wer vage fragt, bekommt vage Antworten, egal wie gut das Modell ist. Die Antwort ist nur so gut wie die Frage.

Auch die Art der Signale zählt. Shares zeigen, dass jemand einen Beitrag nicht nur gesehen, sondern weitergegeben hat. Ein Assistent, der diese Signale zusammenführt, kann Dinge benennen, die in einem Dashboard zwischen zwölf Diagrammen untergehen. Das ist sein eigentlicher Vorteil: Er bündelt, was sonst über mehrere Ansichten verteilt liegt.

Wo der Ansatz seine Grenzen hat

Metriken messen, was messbar ist, nicht was gut ist. Ein Video kann stark sein und trotzdem schlecht laufen, weil es zur falschen Stunde erschien oder weil der Humor eine Community nicht erreicht. Wer nur auf Retention und Shares optimiert, produziert irgendwann Inhalte, die erklärbar sind und niemanden berühren. Dass der Assistent die Entscheidungen nicht abnimmt, ist deshalb keine Floskel, sondern eine Einschränkung.

Dazu kommt die Abhängigkeit. Ein Werkzeug, das die eigenen Zahlen kennt, kennt auch die eigene Unsicherheit. Die Versuchung ist groß, vor jeder Veröffentlichung um Erlaubnis zu fragen. Das lähmt. Besser ist ein Rhythmus: regelmäßig auswerten, Muster notieren, dann einige Wochen ohne Rückfrage arbeiten und prüfen, ob die Beobachtungen halten. Analyse ersetzt keine Haltung, sie schärft sie höchstens.

Meta hat einen Assistenten angekündigt, der die Analyse übernimmt und das Urteil beim Creator lässt, mit Nutzungsgrenzen und Abo. Das ist weniger spektakulär als ein Werkzeug, das Videos von allein schneidet, und in der Praxis womöglich nützlicher. Ob es hält, was es verspricht, zeigt sich nicht an der Ankündigung, sondern daran, ob Creator nach vier Wochen sagen können, was sie durch die Gespräche anders gemacht haben. Wenn ja, hat der Assistent seinen Job gemacht.

Quelle: techcrunch.com