KI-Agenten, Schritt für Schritt erklärt

Was ist ein KI-Agent?

Ein KI-Agent ist ein System, in dem ein Sprachmodell seine nächste Aktion wählt, ein Tool wie eine Suche, einen Shell-Befehl oder eine API aufruft, das Ergebnis liest und das wiederholt, bis das Ziel erreicht ist oder eine Abbruchbedingung greift. Ein Chatbot antwortet Ihnen; ein Agent handelt in einer Schleife und prüft, was passiert ist [1] [2].

Nach diesem Abschnitt können Sie einen Agenten von einem bloßen Modell unterscheiden und sagen, ob ChatGPT oder Claude „ein Agent ist“.

Die Formulierung dieser Seite fasst zusammen, was die beiden Anbieter veröffentlichen. Der Leitfaden von OpenAI definiert Agenten in einer Zeile: „Agenten sind Systeme, die selbstständig Aufgaben in Ihrem Auftrag erledigen“ (eigene Übersetzung) [1]. Anthropic beschreibt Agenten als „Systeme, in denen LLMs ihre eigenen Abläufe und ihre Tool-Nutzung dynamisch steuern und die Kontrolle darüber behalten, wie sie Aufgaben erledigen“ (eigene Übersetzung) [2]. Die Dokumentation des Claude Agent SDK liefert eine konkrete Fassung: Ein Agent ist dort „eine Anwendung, die eine Aufgabe erledigt, indem sie ihre eigenen Schritte plant“ (eigene Übersetzung); dazu ruft sie Tools auf, die Dateien lesen, Befehle ausführen oder Code bearbeiten [18].

Laut dem Leitfaden von OpenAI hat ein Agent drei Kernkomponenten: ein Modell, Tools und Anweisungen [1]. Der Leitfaden sagt auch, was kein Agent ist: eine Anwendung, die ein Sprachmodell einbindet, es aber nicht zur Steuerung der Workflow-Ausführung nutzt, etwa ein einfacher Chatbot, ein Single-Turn-LLM oder ein Sentiment-Klassifikator [1].

Den Unterschied machen die Tools. Die Dokumentation von Claude Code sagt es in zwei Sätzen: „Ohne Tools kann Claude nur mit Text antworten. Mit Tools kann Claude handeln“ (eigene Übersetzung) [5].

Abbildung 1.1 ordnet die Bestandteile eines Agenten um das Modell an: das Harness, also die Ausführungsumgebung rund um das Modell, mit dem Kontext, der Tool-Ausführung, der Berechtigungsschranke und dem Sitzungsprotokoll; die Sandbox; die Tools und MCP-Server; die Anweisungsdateien; und Sie. Jeder nummerierte Bestandteil verweist auf den Abschnitt dieser Seite, der ihn erklärt, und das Modell erweist sich als ein Block unter mehreren.

Ist ChatGPT ein KI-Agent? Und Claude?

Nach diesen Definitionen betrifft die Frage das Produkt, nicht das Modell. Anthropic zieht die Grenze selbst: „Anders als ein Chatbot, der Fragen beantwortet und wartet, kann Claude Code Ihre Dateien lesen, Befehle ausführen, Änderungen vornehmen und Probleme selbstständig durcharbeiten“ (eigene Übersetzung) [20].

Bei OpenAI wird ChatGPT Work, das am 9. Juli 2026 gestartet ist, als „ein Agent in ChatGPT“ (eigene Übersetzung) beschrieben, der auf der Technologie von Codex aufbaut: Sie verfolgen seinen Fortschritt und geben die wichtigen Aktionen frei [21]. Das Help Center von OpenAI gibt inzwischen an, dass „ChatGPT agent nicht mehr verfügbar ist“ (eigene Übersetzung), und verweist auf ChatGPT Work [22].

Beide Anbieter behalten eine Chat-App und bieten daneben eigene agentische Produkte an: Claude Code, Claude Cowork und Claude Managed Agents bei Anthropic; Codex, ChatGPT Work, workspace agents und dots bei OpenAI [5] [23] [11] [21] [24] [25]. Die kurze Antwort lautet also: Claude ist ein Modell und Claude Code das Harness, das daraus einen Coding-Agenten macht [19], während ChatGPT eine Chat-App ist, in der OpenAI einen Agenten anbietet, ChatGPT Work [21]. Produktnamen und Starttermine ändern sich schneller als der Mechanismus, deshalb führt die Seite sie in Anhang A.

Quellen zu §1: [1] [2] [18] [5] [19] [20] [21] [22] [23] [11] [24] [25], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Wie funktioniert ein KI-Agent? Die Schleife, Schritt für Schritt

Ein KI-Agent arbeitet in einer Schleife. Das Modell sammelt Kontext, handelt über ein Tool, prüft das Ergebnis und wählt den nächsten Schritt, oft Dutzende Male hintereinander. Der Lauf endet an einer Abbruchbedingung: einer abschließenden Antwort, einer strukturierten Ausgabe, einem Fehler oder einer Höchstzahl an Runden. Sie können jederzeit unterbrechen und gegensteuern [5] [1].

Nach diesem Abschnitt können Sie einen Lauf nachverfolgen, seine Abbruchbedingungen benennen und den Lauf als Trace lesen.

Die Dokumentation von Claude Code beschreibt die Schleife in drei Phasen: „Kontext sammeln, handeln und Ergebnisse prüfen. Diese Phasen gehen ineinander über“ (eigene Übersetzung) [5]. Dieselbe Seite erklärt, wie der nächste Schritt gewählt wird: Claude entscheidet, was jeder Schritt erfordert, „auf Grundlage dessen, was er im vorherigen Schritt gelernt hat“ (eigene Übersetzung), verkettet Dutzende Aktionen und korrigiert unterwegs den Kurs [5].

Für die Aufgabe „fix the failing tests“ (fehlschlagende Tests reparieren) nennt die Dokumentation sechs Schritte: die Testsuite ausführen, die Fehlerausgabe lesen, nach den relevanten Quelldateien suchen, diese Dateien lesen, die Dateien bearbeiten und die Tests zur Überprüfung erneut ausführen. „Jede Tool-Nutzung liefert Claude neue Informationen, die in den nächsten Schritt einfließen“ (eigene Übersetzung) [5].

Abbildung 2.1 schickt Aufgabe T durch die Schleife. Gehen Sie sie Schritt für Schritt durch: Das Modell wird markiert, wenn es einen Tool-Aufruf wählt, und erneut, wenn das Ergebnis zurückkommt; ein Bogen leuchtet auf, wenn der Agent Kontext sammelt, handelt oder Ergebnisse prüft; ein Pull Request wartet an der Freigabeschranke; und der Lauf endet an einer von vier Abbruchbedingungen. Die zweite Ansicht zeichnet denselben Lauf als Trace.

In Aufgabe T schlägt die erste Prüfung fehl, und doch geht der Lauf weiter: Eine fehlschlagende Prüfung ist ein Ergebnis, das das Modell liest, wie im Beispiel der Dokumentation selbst, das die Fehlerausgabe liest, bevor es die Quelldateien durchsucht [5].

Der Leitfaden von OpenAI beschreibt dieselbe Struktur. Jede Orchestrierung braucht einen „Lauf“ (Run), eine Schleife, die weiterläuft, bis eine Abbruchbedingung erreicht ist; der Leitfaden nennt „Tool-Aufrufe, eine bestimmte strukturierte Ausgabe, Fehler oder das Erreichen einer Höchstzahl an Runden“ (eigene Übersetzung) [1]. Im Agents SDK ist der einzige Tool-Aufruf, der den Lauf beendet, ein Tool für die abschließende Ausgabe: Runner.run() läuft in einer Schleife, bis ein solches Tool aufgerufen wird oder das Modell antwortet, ohne ein Tool aufzurufen [1]. Aufgabe T endet auf die zweite Weise, mit einer abschließenden Antwort ohne Tool-Aufruf.

Unterbrechen und gegensteuern. In Claude Code können Sie jederzeit unterbrechen: Esc stoppt den laufenden Tool-Aufruf, und eine Nachricht, die Sie eintippen, kommt in eine Warteschlange und wird gelesen, sobald die laufenden Tool-Aufrufe abgeschlossen sind, noch in derselben Runde [5]. Auch die Responses API von OpenAI stellt Steuerungshinweise mitten in einer Runde in eine Warteschlange: Eine Aktualisierung bricht weder laufende Tools ab, noch macht sie abgeschlossene Aktionen rückgängig [30].

Den Lauf als Trace lesen. Claude Code schreibt jede Nachricht, jede Tool-Nutzung und jedes Ergebnis in ein JSONL-Transkript im Klartext unter ~/.claude/projects/ [5] [19]. Derselbe Lauf lässt sich auch als Telemetrie exportieren: Claude Code exportiert Metriken und Ereignisse über OpenTelemetry, dazu Spans, die noch im Beta-Stadium und standardmäßig deaktiviert sind [31], und Codex hat Einstellungen für den otel-Exporter, darunter einen Trace-Exporter [29].

Ein traceparent-Header nach W3C enthält vier Felder: version, trace-id, parent-id und trace-flags (Tabelle 2.1) [26]. Die MCP-Revision 2026-07-28 dokumentiert, wie traceparent, tracestate und baggage im _meta einer Anfrage mitgeführt werden, sodass ein Tool-Aufruf über einen MCP-Server Teil desselben Traces werden kann [15].

Solange das Verhalten eines Agenten noch untersucht und korrigiert wird, rät OpenAI, seine Evaluation bei solchen Traces zu beginnen und sie mit Trace-Bewertern (Trace Graders) zu benoten [32]. Bestehende Evaluationen auf der Evals-Plattform werden am 31. Oktober schreibgeschützt, und die Abschaltung der Plattform ist für den 30. November 2026 geplant; die Seite zu den Abkündigungen ergänzt: „Die für Eval-Workflows dokumentierten Bewerter sind Teil dieses Übergangs“ (eigene Übersetzung) [16].

Quellen zu §2: [5] [1] [26] [15] [19] [27] [28] [29] [10] [30] [31] [32] [16], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

KI-Agent, Chatbot, Assistent, Workflow, LLM: Was ist der Unterschied?

Ein LLM ist das Modell selbst. Ein Chatbot oder Assistent nutzt es, um Ihnen Runde für Runde zu antworten. Ein Workflow verkettet Modellaufrufe entlang eines Pfads, den ein Entwickler im Code festgelegt hat. Ein Agent lässt das Modell seinen eigenen Pfad und seine Tools wählen und macht weiter, bis die Aufgabe erledigt oder eine Grenze erreicht ist [2] [1].

Nach diesem Abschnitt können Sie jedes KI-Produkt auf der Skala zwischen einem fest vorgegebenen Pfad und einem Pfad, den das Modell wählt, einordnen.

Die vier Begriffe bezeichnen vier Stufen der Kontrolle, und die nützliche Frage ist immer dieselbe: Wer wählt den nächsten Schritt? Tabelle 3.1 stellt sie nebeneinander, vom Modell allein bis zum Modell, das seinen eigenen Pfad wählt.

Abbildung 3.1 schickt dieselbe Anfrage an einen Chatbot und an einen Agenten. Der Chatbot antwortet mit einer plausiblen Vermutung, und seine Runde ist zu Ende; der Agent führt die Prüfung aus, liest das Ergebnis und antwortet mit der Zeile, aus der der Fehler stammt. Was sie trennt, ist nicht die Qualität des Textes, sondern die Kontrolle über den Workflow und der Zugang zu Tools, die beiden Merkmale, mit denen der Leitfaden von OpenAI einen Agenten beschreibt [1].

Der Beitrag von Anthropic über den Bau effektiver Agenten zieht die Grenze zwischen Workflows und Agenten. Er fasst beide als „agentische Systeme“ zusammen und unterscheidet sie dann: Workflows sind „Systeme, in denen LLMs und Tools über vordefinierte Codepfade orchestriert werden“ (eigene Übersetzungen), während Agenten ihren Ablauf und ihre Tool-Nutzung selbst steuern [2]. Derselbe Beitrag nennt fünf Workflow-Muster: Prompt-Verkettung, Routing, Parallelisierung, Orchestrator mit Workern und Evaluator-Optimierer (im Original prompt chaining, routing, parallelization, orchestrator-workers und evaluator-optimizer) [2].

Abbildung 3.2 zeigt die fünf Muster als Reihe kleiner Diagramme und lässt dann einen Graphen zweimal laufen: einmal wählt der Code jede Kante, sodass der Pfad bei jedem Lauf derselbe ist, und einmal wählt das Modell, sodass sich der Pfad mit dem ändert, was jeder Schritt zurückgegeben hat.

Beide Anbieter raten, einfach anzufangen. Anthropic empfiehlt, „die einfachstmögliche Lösung zu finden und die Komplexität nur bei Bedarf zu erhöhen“ (eigene Übersetzung) [2]. OpenAI sieht Agenten für Aufgaben vor, bei denen Regeln nicht mehr ausreichen: komplexe Abwägungen, schwer wartbar gewordene Regelwerke, starke Abhängigkeit von unstrukturierten Daten; „andernfalls kann eine deterministische Lösung genügen“ (eigene Übersetzung) [1].

Der Beitrag von Anthropic stammt aus dem Dezember 2024 und beginnt inzwischen mit einem Hinweis: „Ein Großteil der in diesem Beitrag beschriebenen Tooling-Landschaft hat sich seit Dezember 2024 verändert“ (eigene Übersetzung) [2]. Der Hinweis betrifft das Tooling; dieser Abschnitt übernimmt aus dem Beitrag nur die Definitionen und die Muster.

Agentische KI vs. generative KI

Auf dieser Seite beschreibt „generativ“, was ein Modell erzeugt, und „agentisch“ ein System, das mit Tools handelt. Die OWASP Top 10 for LLM Applications 2026 zieht die Grenze an derselben Stelle: Sie behandelt das Modell als Komponente, und sobald das Modell „zum Akteur wird, mit Tools, die es aufrufen kann, einem Gedächtnis, das es von Sitzung zu Sitzung mitnimmt, und Folgen, die es nachgelagert auslöst“ (eigene Übersetzung), verweist sie auf die Agentic Top 10 [33].

Ein guter Teil des Unterschieds ist Vokabular, und das sollte man offen sagen: Ein Agent läuft auf einem generativen Modell, dem LLM, das der Leitfaden von OpenAI als erste seiner Kernkomponenten nennt [1]. Agentisch wird er durch das, was das Modell umgibt: die Tools, die Schleife und die Folgen [33].

Im englischen Text der geänderten KI-Verordnung (AI Act) kommt „agentic“ (agentisch) genau einmal vor. Anhang XIV, der die Codes für die Benennung notifizierter Stellen nach Artikel 30 auflistet, enthält den Code AIH 0401, „KI-Systeme auf Grundlage anderer neu entstehender KI-Technologien, die nicht unter andere Codes fallen, einschließlich agentischer KI“ (eigene Übersetzung), eingefügt durch die Verordnung (EU) 2026/1744 [14]. Die Verordnung (EU) 2024/1689 in ihrer ursprünglich erlassenen Fassung enthält das Wort nicht [34].

Quellen zu §3: [2] [1] [5] [33] [14] [34], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Was ist ein Agent-Harness?

Ein Agent-Harness ist die Software rund um das Modell, die es zum Agenten macht: die Tools, die es aufrufen kann, die Verwaltung seines Kontexts, was es ohne Rückfrage tun darf, wo seine Befehle laufen und das Protokoll der Sitzung. Anthropics Dokumentation sagt es in einem Satz: „Claude Code ist das Harness; Claude ist das Modell darin“ (eigene Übersetzung) [19] [5].

Nach diesem Abschnitt können Sie sagen, wer in den Angeboten der beiden Anbieter jeweils die Schleife ausführt und warum eine Änderung am Harness den Agenten verändern kann.

Die Definition stammt aus dem Glossar von Claude Code, das fortfährt: „Claude Code ist das Harness; Claude ist das Modell darin“ (eigene Übersetzung) [19]. Die Seite „How Claude Code works“ beschreibt dieselbe Schicht von innen: Claude Code stellt die Tools bereit und verwaltet den Kontext, den das Modell sieht, und „diese umgebende Schicht ist das, was der Begriff agentisches Harness bezeichnet“ (eigene Übersetzung) [5].

Das Glossar zählt auch auf, was das Harness liefert: „Dateizugriff, Shell-Ausführung, Berechtigungsprüfung, das Laden des Gedächtnisses und die Schleife, die Aktionen aneinanderreiht“ (eigene Übersetzung) [19]. Nichts davon ist das Modell: „Das Modell führt nie selbst etwas aus“ (eigene Übersetzung); es gibt eine strukturierte Anfrage aus, und Code um das Modell herum führt die Operation aus [35].

Abbildung 4.1 baut das Harness Schicht für Schicht um ein Modell herum auf, das für sich allein nur Text aufnimmt und Text ausgibt: zuerst die Tool-Ausführung, dann die Kontextverwaltung, dann Berechtigungen und Hooks, dann die Mauern der Sandbox. Im letzten Schritt stellt sie je eine Zeile beider Anbieter nebeneinander.

Zwei Anbieter, eine Bauweise. Anthropics Beitrag zu Managed Agents vom 8. April 2026 teilt einen gehosteten Agenten in drei Teile: das „Gehirn“ (Claude und sein Harness), die „Hände“ (Sandboxes und Tools, die Aktionen ausführen) und die Sitzung, „das Append-only-Protokoll all dessen, was geschehen ist“ (eigene Übersetzungen) [37]. Jeder Teil kann unabhängig von den anderen ausfallen oder ersetzt werden [37]. Ein ausgefallener Container kommt beim Modell als Fehler eines Tool-Aufrufs an; ein ausgefallenes Harness wird durch ein neues ersetzt, das mit wake(sessionId) neu startet und vom Protokoll aus weitermacht [37]. Zu den Zugangsdaten schreibt der Beitrag, die strukturelle Lösung habe darin bestanden, „sicherzustellen, dass die Tokens von der Sandbox aus, in der der von Claude erzeugte Code läuft, nie erreichbar sind“ (eigene Übersetzung) [37].

OpenAI verwendet dasselbe Wort. Sein Vergleich der Laufzeitumgebungen sagt über die Agents API: „OpenAI betreibt ein verwaltetes Codex-Harness“ (eigene Übersetzung) [36]. Die Agents API, am 10. September 2026 als öffentliche Beta gestartet, stellt das Harness und die Infrastruktur bereit, auf denen Codex läuft: OpenAI hostet das Harness, und Sie wählen, wo die Rechenarbeit des Agenten stattfindet, in einer von OpenAI gehosteten Sandbox, auf Ihrer eigenen Infrastruktur oder bei einem Partner [13]. Sie baut auf dem Open-Source-Harness von Codex auf [13] und unterstützt seit dem 29. September 2026 auch die Computerbedienung (Computer Use) [38].

Schon am 15. April 2026 hatte OpenAI sein Agents SDK als modellnatives Harness beschrieben: MCP, Skills, die schrittweise geladen werden (Progressive Disclosure), AGENTS.md, ein Shell-Tool, ein Apply-Patch-Tool und konfigurierbares Gedächtnis, dazu native Ausführung in der Sandbox, zunächst für Python [28]. Derselbe Beitrag nennt den Grund, Harness und Sandbox zu trennen: „Die Trennung von Harness und Rechenumgebung hilft, Zugangsdaten aus Umgebungen herauszuhalten, in denen vom Modell erzeugter Code ausgeführt wird“ (eigene Übersetzung) [28]. Beide Bauweisen halten Zugangsdaten von dem Code fern, den das Modell schreibt [37] [28].

Jeder Anbieter bietet mehrere Wege, die Schleife auszuführen, von Ihrem eigenen Code, der jede Runde steuert, bis zu einem Harness, das der Anbieter hostet. Tabelle 4.1 vergleicht sie anhand derselben Spalten.

Quellen zu §4: [19] [5] [35] [17] [36] [27] [3] [37] [13] [38] [28] [18] [39] [40] [6] [11] [12] [29] [10] [41] [42], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Was passiert bei einem Tool-Aufruf?

Ein Tool-Aufruf ist die Art, wie ein Agent handelt, doch das Modell führt nie selbst etwas aus: Es schlägt einen Tool-Namen und Argumente vor. Das Harness prüft den Aufruf, fragt bei Bedarf um Erlaubnis, führt ihn aus und fügt das Ergebnis dem Kontext hinzu. Daraus wählt das Modell den nächsten Schritt: Was ein Tool zurückgibt, liest das Modell [35] [5].

Nach diesem Abschnitt können Sie einen Aufruf vom Vorschlag bis zum Ergebnis verfolgen und sagen, warum die Ausgabe eines Tools eine Angriffsfläche ist.

Anthropics Plattformdokumentation nennt die Nutzung von Tools „einen Vertrag zwischen Ihrer Anwendung und dem Modell“ (eigene Übersetzung): Die Anwendung legt fest, welche Operationen es gibt und welche Form ihre Ein- und Ausgaben haben, und das Modell entscheidet, wann und wie es sie aufruft [35]. Dieselbe Seite nennt die Regel, die für die Sicherheit am meisten zählt: „Das Modell führt nie selbst etwas aus. Es gibt eine strukturierte Anfrage aus, Ihr Code (oder die Server von Anthropic) führt die Operation aus“ (eigene Übersetzung), und das Ergebnis fließt in die Unterhaltung zurück [35].

Die Dokumentation von Claude Code beschreibt dieselbe Schleife aus Sicht des Agenten: „Jede Tool-Nutzung liefert Informationen, die in die Schleife zurückfließen und Claudes nächste Entscheidung leiten“ (eigene Übersetzung) [5]. Die eingebauten Tools von Claude Code fallen in fünf Kategorien: Dateioperationen, Suche, Ausführung, Web und Code-Intelligenz [5].

Was einen Aufruf umgibt. Zwischen Vorschlag und Ergebnis sitzt Software, die ablehnen, prüfen und protokollieren kann. Das Model Context Protocol, der gemeinsame Standard für die Anbindung von Tools, legt mit seinen normativen Schlüsselwörtern (MUSS für MUST, DARF NICHT für MUST NOT, SOLLTE für SHOULD, KANN für MAY) fest, was ein sorgfältiger Client rund um jeden Aufruf tut: Er SOLLTE dem Nutzer die Tool-Eingaben zeigen, bevor er den Server aufruft, Tool-Ergebnisse validieren, bevor er sie an das Modell weitergibt, Aufrufe mit einem Timeout versehen und die Tool-Nutzung für Audits protokollieren [43]. Auf der anderen Seite MÜSSEN Server alle Tool-Eingaben validieren und Tool-Ausgaben bereinigen [43].

Tools kosten Kontext, bevor sie laufen. Anthropic berichtet, dass ein typisches Setup mit mehreren Servern „rund 55.000 Tokens an Definitionen verbrauchen kann, bevor Claude irgendeine Arbeit erledigt“^†, und dass die Tool-Suche „diesen Wert typischerweise um mehr als 85 Prozent senkt“^† (eigene Übersetzungen), indem sie nur die drei bis fünf Tools lädt, die eine Anfrage braucht [44]. Dieselbe Seite berichtet, dass Claudes Treffsicherheit bei der Wahl des richtigen Tools ab 30 bis 50 verfügbaren Tools nachlässt^† [44].

Harnesses laden Definitionen deshalb möglichst spät. In Claude Code werden die Definitionen von MCP-Tools standardmäßig zurückgestellt und bei Bedarf über die Tool-Suche geladen, sodass nur Tool-Namen und Server-Anweisungen Kontext belegen, bis ein Tool tatsächlich genutzt wird [5]. Die Agents API von OpenAI, die das Codex-Harness als von OpenAI verwalteten Dienst betreibt, bietet eine Tool-Suche, die „relevante Tool-Definitionen bei Bedarf lädt“ (eigene Übersetzung), und programmatische Tool-Aufrufe (Programmatic Tool Calling), mit denen Agenten Ergebnisse im Code filtern oder kombinieren und nur die relevanten Ergebnisse in den Kontext zurückholen [13]. Der Leitfaden von Claude Code merkt außerdem an, dass Kommandozeilen-Tools „der kontexteffizienteste Weg sind, mit externen Diensten zu interagieren“ (eigene Übersetzung) [20].

Warum die Ausgabe eines Tools eine Angriffsfläche ist. Ein Testprotokoll, ein Suchtreffer und eine abgerufene Webseite kommen alle auf demselben Weg zurück: als Ergebnis, das das Modell liest, bevor es seinen nächsten Schritt wählt [5]. Dasselbe Protokoll verlangt von Clients, Tool-Ergebnisse zu validieren, bevor sie das Modell erreichen [43]. Teil III über die Kontrolle setzt genau hier an.

Quellen zu §5: [35] [5] [43] [44] [13] [20], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Warum vergisst ein Agent? Das Kontextfenster

Ein Agent sieht nur sein Kontextfenster, und jede Anweisung, jede Tool-Definition, jede Datei und jede Befehlsausgabe belegt darin Platz. Je voller das Fenster, desto schlechter die Qualität, und ältere Details gehen in Zusammenfassungen verloren. Context Engineering entscheidet, was hineinkommt: Tools und Skills bei Bedarf laden, alte Runden verdichten, Nebenarbeit an Subagenten abgeben, stabilen Text an den Anfang stellen [20] [45].

Nach diesem Abschnitt können Sie erklären, warum eine lange Sitzung schlechter wird, was bei der Verdichtung (Compaction) verloren geht und warum die Reihenfolge eines Prompts die Rechnung verändert.

Der Best-Practice-Leitfaden von Claude Code baut auf einer einzigen Einschränkung auf: „Claudes Kontextfenster füllt sich schnell, und die Leistung lässt nach, je voller es wird“ (eigene Übersetzung) [20]. Anthropics Engineering-Beitrag zum Thema benennt den Effekt: Je mehr Tokens im Fenster stehen, desto schlechter kann das Modell Informationen daraus abrufen, was der Beitrag „context rot“ nennt, den Verfall des Kontexts; zudem hat ein Modell ein begrenztes „Aufmerksamkeitsbudget“ (eigene Übersetzung), aus dem jedes neue Token schöpft [45].

In Claude Code enthält das Fenster den Verlauf der Unterhaltung, Dateiinhalte, Befehlsausgaben, CLAUDE.md, das automatische Gedächtnis, geladene Skills und Systemanweisungen [5]. Zwei Funktionen halten einen Teil davon heraus. Skills werden bei Bedarf geladen: Claude sieht ihre Beschreibungen beim Start der Sitzung und ihren vollständigen Inhalt erst, wenn ein Skill genutzt wird [5]. Subagenten arbeiten mit einem eigenen Fenster: Deren Tool-Aufrufe landen nicht in Ihrem, und wenn sie fertig sind, kommt eine Zusammenfassung zurück [5].

Abbildung 6.1 begleitet Aufgabe T durch dieses Budget, von der festen Grundlast bei T.01 bis zu einer Sitzung, die lang genug für eine Verdichtung ist, und dann zu einem Neustart. Ein Umschalter in der Abbildung führt die Suche von T.05 direkt in der Sitzung oder in einem Subagenten aus.

Wenn das Fenster voll wird. Nahe am Limit entfernt Claude Code zuerst ältere Tool-Ausgaben und fasst dann die Unterhaltung zusammen; Ihre Anfragen und wichtige Code-Ausschnitte bleiben erhalten, aber „detaillierte Anweisungen vom Anfang der Unterhaltung können verloren gehen“ (eigene Übersetzung), weshalb dauerhafte Regeln in CLAUDE.md gehören [5]. Eine CLAUDE.md im Stammverzeichnis des Projekts und das automatische Gedächtnis überstehen die Verdichtung und werden von der Festplatte neu geladen [19]. Ist eine einzelne Datei oder Tool-Ausgabe so groß, dass sich das Fenster nach jeder Zusammenfassung wieder füllt, „hört Claude Code nach einigen Versuchen mit der automatischen Verdichtung auf und zeigt einen Fehler an, statt in einer Schleife zu laufen“ (eigene Übersetzung) [5].

Die APIs bieten denselben Kompromiss. Anthropics Verdichtung, noch in der Beta, „ersetzt die älteren Runden einer Unterhaltung durch eine Zusammenfassung“ (eigene Übersetzung), die Claude auf dem Server schreibt [48]. Die Agents API von OpenAI verdichtet früheren Kontext automatisch, wenn sich eine Sitzung ihrem Limit nähert [13], und OpenAIs Leitfaden zu GPT-6 beschreibt die Verdichtung als Verkleinerung des Kontexts, die den zum Weiterarbeiten nötigen Zustand bewahrt [30].

Über Sitzungen hinweg. Eine Zusammenfassung verliert Details, und eine neue Sitzung beginnt leer. Anthropics Beitrag über Harnesses für lang laufende Agenten sagt es ohne Umschweife: „Jede neue Sitzung beginnt ohne Erinnerung an das, was vorher war“ (eigene Übersetzung) [49]. Das dort beschriebene Harness hinterlässt deshalb eine Fortschrittsdatei, eine Feature-Liste und Git-Commits, die die nächste Sitzung als Erstes liest [49].

Die Reihenfolge verändert die Rechnung. Prompt-Caching arbeitet mit Präfixen: Anthropics Dokumentation beschreibt es als „Fortsetzen ab bestimmten Präfixen in Ihren Prompts“ (eigene Übersetzung) [50]. In der API von Anthropic folgt der Cache der Reihenfolge Tools, System, Nachrichten, und eine Änderung auf einer Ebene macht diese Ebene und alle folgenden ungültig [50]. OpenAIs Leitfaden gibt den passenden Rat: „Stellen Sie stabile Anweisungen und Referenzmaterial vor wechselnde Details der Aufgabe“ (eigene Übersetzung) [30]. Derselbe Leitfaden gibt an, dass „Eingabe-Tokens aus dem Cache je nach Modell bis zu 95 % weniger kosten als Eingabe-Tokens ohne Cache“^† (eigene Übersetzung) [30].

Auf der Seite des Protokolls gilt dieselbe Logik: Die MCP-Spezifikation verlangt von Servern, tools/list in deterministischer Reihenfolge zurückzugeben, damit Clients die Liste zwischenspeichern können und die Trefferquote des Prompt-Caches steigt, wenn Tools im Kontext des Modells stehen [15] [43].

Wie groß ist das Fenster? Stand 4. Oktober 2026 nehmen die aktuellen Spitzenmodelle beider Anbieter rund eine Million Tokens auf: 1 Million Tokens bei den Claude-5.x-Modellen laut Anthropics Modellübersicht [51] und 1.050.000 Tokens auf den vier Modellseiten von OpenAI zu GPT-6 [52]. Die Größe verschiebt die Grenze, hebt die oben beschriebene Einschränkung aber nicht auf.

Quellen zu §6: [20] [45] [5] [44] [46] [19] [47] [48] [13] [30] [49] [50] [15] [43] [51] [52], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

CLAUDE.md, AGENTS.md, Skills und Subagenten: Was wird wann geladen?

AGENTS.md und CLAUDE.md sind einfache Markdown-Dateien mit Projektregeln, die ein Coding-Agent beim Start einer Sitzung liest. Skills sind Ordner mit Anweisungen, die erst geladen werden, wenn eine Aufgabe sie braucht. Subagenten erledigen eine Nebenaufgabe in ihrem eigenen Kontext und liefern eine Zusammenfassung zurück. Keines davon erzwingt etwas: Das tun Hooks, Berechtigungsregeln und die Sandbox [17] [53] [19].

Nach diesem Abschnitt können Sie vorhersagen, welche Anweisungsdateien ein Agent liest, und zwischen einer Regel, einem Skill, einem Subagenten und einem Hook wählen.

Claude Code lädt seine CLAUDE.md-Dateien, Markdown-Dateien mit Projektanweisungen, und sein automatisches Gedächtnis zu Beginn jeder Unterhaltung [17]. AGENTS.md ist ein offenes Format derselben Art, das sich selbst als „ein README für Agenten“ (eigene Übersetzung) beschreibt und von der Agentic AI Foundation unter dem Dach der Linux Foundation betreut wird [53].

Kurze Dateien funktionieren besser. Die Dokumentationsseite von Claude Code zum Gedächtnis setzt als Ziel weniger als 200 Zeilen pro CLAUDE.md [17]. Der Best-Practice-Leitfaden schlägt vor, bei jeder Zeile zu fragen: „Würde Claude Fehler machen, wenn diese Zeile fehlte?“ (eigene Übersetzung), und warnt, dass aufgeblähte Dateien dazu führen, dass Claude Ihre eigentlichen Anweisungen ignoriert [20]. Das automatische Gedächtnis enthält die Notizen, die Claude aus Ihren Korrekturen und Vorlieben selbst schreibt; die ersten 200 Zeilen oder 25 KB von MEMORY.md, je nachdem, was zuerst erreicht ist, werden in jeder Sitzung geladen [17].

Welche Datei gewinnt. Jeder Anbieter dokumentiert seine eigene Regel. Seit v2.1.277, veröffentlicht am 18. September 2026 [6], liest Claude Code AGENTS.md, wenn es im Arbeitsverzeichnis oder darüber weder CLAUDE.md noch .claude/CLAUDE.md noch CLAUDE.local.md gibt; sind beide Arten vorhanden, liest es standardmäßig nur die CLAUDE.md-Dateien, und eine Einstellung kann beide laden [17]. AGENTS.local.md, AGENTS.override.md und alles in einem Verzeichnis .agents/ liest Claude Code nie [17].

Codex baut beim Start eine Anweisungskette auf: In seinem Home-Verzeichnis liest es AGENTS.override.md, falls vorhanden, sonst AGENTS.md, und behält nur die erste nicht leere Datei; dann geht es vom Projektstamm, in der Regel dem Git-Stammverzeichnis, bis zum aktuellen Verzeichnis hinunter und nimmt höchstens eine Datei pro Verzeichnis [54]. Die Dateien werden vom Stamm abwärts aneinandergehängt, sodass „Dateien, die näher an Ihrem aktuellen Verzeichnis liegen, frühere Anweisungen überschreiben“ (eigene Übersetzung), und Codex hört bei project_doc_max_bytes auf, Dateien hinzuzufügen, standardmäßig bei 32 KiB [54].

Die Website von AGENTS.md nennt die allgemeine Regel: „Die AGENTS.md, die der bearbeiteten Datei am nächsten liegt, gewinnt; ausdrückliche Chat-Anweisungen des Nutzers haben Vorrang vor allem anderen“ (eigene Übersetzung) [53]. OpenAIs Leitfaden zu GPT-6 ergänzt, was eine solche Datei enthalten sollte: wann bestimmte Dokumente und Tests relevant sind, und eine ausdrückliche Freigabe für sichere Routineabläufe, etwa lokale Tests mit Wegwerfdaten und ohne Zugriff auf die Produktion [30].

Was eine Regel durchsetzt. Keine dieser Dateien kann eine Aktion verhindern. Die Gedächtnisseite von Claude Code sagt es ausdrücklich: Um eine Aktion zu blockieren, egal was Claude entscheidet, verwenden Sie stattdessen einen PreToolUse-Hook [17]. Ein Hook ist ein benutzerdefinierter Handler, der an einem festen Punkt im Lebenszyklus der Sitzung ausgeführt wird, etwa bevor ein Tool läuft, nach einer Dateibearbeitung oder beim Start der Sitzung [19]. Der Leitfaden von Claude Code zum schrittweisen Aufbau eines Setups gibt die Faustregel: Eine Konvention oder ein Befehl, bei dem Claude zweimal danebenliegt, kommt in CLAUDE.md; was jedes Mal ohne Rückfrage geschehen muss, wird ein Hook [55].

Skills: Anweisungen, die bei Bedarf geladen werden

Ein Skill (Fähigkeit) ist ein Ordner mit einer Datei SKILL.md, die einen Namen, eine Beschreibung und Anweisungen für eine bestimmte Aufgabe enthält; dazu können Skripte, Referenzen und andere Dateien kommen [56]. Agenten laden Skills schrittweise (Progressive Disclosure), in drei Stufen: beim Start nur Name und Beschreibung jedes Skills, die vollständige SKILL.md, wenn eine Aufgabe zur Beschreibung passt, und mitgelieferte Dateien nur bei Bedarf [56] [9]. Die Dokumentation von Claude Code nennt die Wirkung auf den Kontext: „Claude sieht die Beschreibungen der Skills beim Start der Sitzung, aber der vollständige Inhalt wird erst geladen, wenn ein Skill genutzt wird“ (eigene Übersetzung) [5].

Anthropic stellte Agent Skills am 16. Oktober 2025 vor und veröffentlichte das Format am 18. Dezember 2025 als offenen Standard [9]. Codex führte Agent Skills gleich am nächsten Tag ein, am 19. Dezember 2025, nach der offenen Spezifikation für Agent Skills [10], und agentskills.io nennt als Anwender unter anderem Claude Code, ChatGPT und Codex, GitHub Copilot, Cursor und Gemini CLI [56].

Subagenten: eine Nebenaufgabe im eigenen Kontext

Ein Subagent ist eine zweite Agentenschleife für eine delegierte Aufgabe. In Claude Code läuft er in seinem eigenen Kontextfenster, mit eigenem System-Prompt, eigenem Tool-Zugriff und eigenen Berechtigungen, und gibt eine Zusammenfassung zurück; zu den eingebauten gehören Explore, Plan und general-purpose [19]. Der Setup-Leitfaden von Claude Code nennt den Auslöser: Wenn eine Nebenaufgabe Ihre Unterhaltung mit Ausgaben flutet, auf die Sie nicht mehr zurückgreifen werden, leiten Sie sie über einen Subagenten [55].

Codex definiert eigene Agenten als TOML-Dateien in ~/.codex/agents/ oder .codex/agents/, jeweils mit name, description und developer_instructions [47]. Lokale Codex-Versionen starten Subagenten nach einer direkten Aufforderung oder einer passenden Anweisung des Projekts oder eines Skills, und die Dokumentation empfiehlt sie für leseintensive Aufgaben wie Erkundung, Tests, Triage und Zusammenfassungen, mit mehr Vorsicht bei schreibintensiver Arbeit [47].

Delegieren kostet bei beiden Anbietern Tokens. Die Dokumentation von Claude Code warnt: „Mehrere Sitzungen oder Subagenten gleichzeitig laufen zu lassen, vervielfacht den Token-Verbrauch“ (eigene Übersetzung) [57]. OpenAIs Responses API bietet einen Multi-Agent-Modus in der Beta, der jedem Subagenten einen eigenen Kontext gibt und standardmäßig drei aktive Subagenten zulässt (max_concurrent_subagents); laut ihrer Dokumentation können Subagenten den Token-Verbrauch erhöhen und helfen womöglich nicht bei Aufgaben, die von einer einzigen geordneten Kette von Schlussfolgerungen abhängen oder häufig in einen gemeinsamen veränderlichen Zustand schreiben müssen [46].

Abbildung 7.1 geht eine Sitzung in einer einzigen Kontextspalte Schritt für Schritt durch: was immer geladen ist, was bei Bedarf geladen wird, was getrennt läuft und was außerhalb der Spalte steht und durchsetzt. Tabelle 7.1 zeigt dieselben Mechanismen Zeile für Zeile.

Quellen zu §7: [17] [53] [19] [20] [6] [54] [30] [55] [56] [9] [5] [10] [47] [57] [46] [58] [27], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Was ist MCP und wie unterscheidet es sich von einer API?

MCP, das Model Context Protocol, ist ein offener Standard, mit dem ein Agent die Tools und Daten, die Server bereitstellen, entdecken und aufrufen kann, bei jedem Server auf dieselbe Weise. Eine API ist die eigene Schnittstelle eines Dienstes; ein MCP-Server kapselt meist APIs, damit jeder konforme Agent sie nutzen kann. Die Revision 2026-07-28 machte das Protokoll zustandslos [59] [15].

Nach diesem Abschnitt können Sie MCP in seiner aktuellen Revision erklären und es sowohl von einer API als auch von A2A unterscheiden.

MCP-Versionen sind Datumsangaben: Jede Versionskennung markiert den letzten Tag, an dem nicht abwärtskompatible Änderungen vorgenommen wurden [61]. Stand 4. Oktober 2026 nennt die Seite zur Versionierung 2026-07-28 als aktuelle Version [61]. Tabelle 8.1 listet die wichtigsten Änderungen jeder Revision seit März 2025 auf.

Was 2026-07-28 geändert hat. Die Revision hat neu geschrieben, wie ein Client mit einem Server spricht [15]:

• Sitzungen auf Protokollebene und der Header Mcp-Session-Id entfallen, ebenso der Handshake aus initialize und notifications/initialized; jede Anfrage trägt ihre Protokollversion und die Capabilities des Clients in _meta [15].
• Server MÜSSEN server/discover implementieren, das ihre unterstützten Versionen, ihre Capabilities und ihre Identität bekannt gibt; Clients KÖNNEN es vor jeder anderen Anfrage aufrufen [15].
• Multi Round-Trip Requests, Anfragen mit mehreren Hin- und Rückwegen, ersetzen vom Server ausgehende Anfragen: Ein Server, der weitere Eingaben braucht, gibt resultType: "input_required" mit inputRequests zurück, und der Client wiederholt die ursprüngliche Anfrage mit inputResponses [15].
• Jedes Ergebnis trägt einen resultType, "complete" oder "input_required" [15].
• Die Wiederaufnahme von SSE-Streams entfällt: Ein abgebrochener Stream verliert die laufende Anfrage, die der Client als neue Anfrage erneut stellt [15].
• Tasks wandern aus dem Kernprotokoll in eine offizielle Erweiterung [15].

Der Migrationsbeitrag der Agentic AI Foundation, der eine Woche vor der Veröffentlichung entstand und deshalb noch von Vorschlägen spricht, nennt das Ziel: gewöhnliche Lastverteilung per Round-Robin, ohne Sticky Sessions und ohne gemeinsamen Sitzungszustand [62]. Abbildung 8.1 spielt denselben Tool-Aufruf unter beiden Revisionen durch.

Was ausgemustert wird. Dieselbe Revision erklärt Roots, Sampling und Logging für veraltet (deprecated), mit dem Rat, „nach stderr (stdio) zu loggen oder OpenTelemetry statt Logging zu verwenden“ (eigene Übersetzung); ebenso erklärt sie den HTTP+SSE-Transport, zwei Werte von includeContext und die dynamische Client-Registrierung (Dynamic Client Registration) für veraltet, zugunsten der Client ID Metadata Documents [15]. Eine veraltete Funktion bleibt mindestens zwölf Monate in der Spezifikation, bevor sie entfernt werden kann, bei der in der Richtlinie vorgesehenen Ausnahme für eine beschleunigte Entfernung mindestens neunzig Tage [61]; der Migrationsbeitrag nennt den 28. Juli 2027 als frühestes Entfernungsdatum für diese Gruppe [62].

Regeln für alle, die den Agenten betreiben. Zu Tools sagt die Spezifikation: „Es SOLLTE immer einen Menschen in der Schleife geben, der Tool-Aufrufe ablehnen kann“, und Clients „MÜSSEN Tool-Annotationen als nicht vertrauenswürdig betrachten, sofern sie nicht von vertrauenswürdigen Servern stammen“ (eigene Übersetzungen) [43]. Zur Autorisierung halten die Security Best Practices derselben Revision fest: Server DÜRFEN den Besitz eines State-Handles NICHT als Authentifizierung werten und DÜRFEN Tokens, die nicht für sie ausgestellt wurden, NICHT annehmen [66].

MCP vs. API

Eine API ist die eigene Schnittstelle eines Dienstes, mit eigenen Endpunkten, eigener Authentifizierung und eigenen Konventionen. MCP ist ein einziges Protokoll: Jeder konforme Client listet die Tools eines Servers mit tools/list auf und ruft sie mit tools/call auf, egal was der Server dahinter tut [43]. Ein MCP-Server ist daher meist ein Adapter vor einer oder mehreren APIs; die Spezifikation selbst sagt über Tools, dass Modelle mit ihnen mit externen Systemen interagieren können, „etwa Datenbanken abfragen, APIs aufrufen oder Berechnungen durchführen“ (eigene Übersetzung) [43]. Das Changelog der aktuellen Revision ist die beste einzelne Seite für die weitere Lektüre [15].

MCP vs. A2A

A2A, das Agent2Agent-Protokoll, beantwortet eine andere Frage. Seine Spezifikation, Version 1.0.0, nennt die beiden „komplementäre Protokolle“ (eigene Übersetzung): MCP standardisiert, wie Agenten sich mit Tools, APIs, Datenquellen und anderen Ressourcen verbinden, A2A dagegen, wie unabhängige Agenten als Gleichrangige miteinander kommunizieren und zusammenarbeiten [67]. Das Beispiel der Spezifikation selbst verbindet beide: Ein A2A-Server-Agent kann MCP nutzen, um die Tools zu erreichen, die er für eine Aufgabe braucht, um die ihn ein A2A-Client-Agent gebeten hat [67].

Quellen zu §8: [59] [15] [60] [61] [62] [43] [26] [63] [64] [65] [66] [20] [55] [67] [68], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Sind KI-Agenten gefährlich? Prompt-Injection und das „tödliche Trio“

Ein KI-Agent ist auf zwei dokumentierte Arten gefährlich: Er kann in einer Webseite, einer E-Mail oder einer Datei versteckte Anweisungen befolgen und seine Zugriffe nutzen, um Daten abfließen zu lassen, und er kann die ihm auferlegten Kontrollen umgehen [69] [70]. Die Gegenmittel sind strukturell: nicht vertrauenswürdige Inhalte, private Daten und Kommunikation nach außen nie ohne menschliche Freigabe zusammenbringen [71].

Nach diesem Abschnitt können Sie Prompt-Injection erklären, die gefährliche Kombination von Fähigkeiten erkennen und Gegenmaßnahmen benennen, die Garantien statt Wahrscheinlichkeiten bieten.

Gehen wir von Aufgabe T aus und ändern nur eine einzige Zeile dessen, was der Agent liest.

Die versteckte Anweisung kommt auf demselben Weg an wie jedes Tool-Ergebnis. Das Harness führt den Lesevorgang aus und fügt dessen Rückgabe als Text in den Kontext ein, und das Modell liest diesen Text, um seinen nächsten Schritt zu wählen: Was immer ein Tool zurückgibt, liest das Modell [35] [5].

Der Angriff hat einen Namen, seit Simon Willison am 12. September 2022 Prompt-Injection-Angriffe auf GPT-3 beschrieb [72]. Die indirekte Prompt-Injection, bei der der feindselige Text nicht vom Nutzer kommt, sondern in Daten steckt, die die Anwendung selbst abruft, wurde in einem Paper vom 23. Februar 2023 beschrieben [73]. Diese Seite übernimmt die Definition aus dem Glossar von Claude Code, mit dem Agenten anstelle von Claude:

Das „tödliche Trio“ (Lethal Trifecta). Am 16. Juni 2025 gab Simon Willison der Kombination einen Namen, die aus einer Injection einen Datenabfluss macht: Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und die Fähigkeit, nach außen zu kommunizieren [69]. Der vergiftete Lauf vereint alle drei: Ein API-Schlüssel liegt in der Umgebung, die per Scraping übernommene Zeile ist nicht vertrauenswürdig, und der Agent kann Anfragen nach außen senden. Über Schutzmechanismen, die angeblich die meisten Angriffe abfangen, urteilt er unverblümt: „95 % sind ganz klar eine ungenügende Note“ (eigene Übersetzung) [69].

Die Zweierregel (Rule of Two). Metas „Agents Rule of Two“ (31. Oktober 2025) macht aus derselben Idee eine Entwurfsregel: Innerhalb einer Sitzung sollte ein Agent höchstens zwei von drei Eigenschaften erfüllen [71].

• [A] Er verarbeitet nicht vertrauenswürdige Eingaben.
• [B] Er hat Zugriff auf sensible Systeme oder private Daten.
• [C] Er kann Zustände ändern oder nach außen kommunizieren.

Braucht eine Aufgabe alle drei, sollte der Agent nicht autonom laufen, sondern unter Aufsicht, etwa mit einer Freigabe durch einen Menschen in der Schleife (Human in the Loop); Meta stellt die Regel als Ergänzung zum Prinzip der geringsten Rechte (Least Privilege) dar, nicht als Ersatz dafür [71].

In Abbildung 9.1 hat jeder der drei Zweige einen Schalter. Lassen Sie den Angriff mit allen drei eingeschalteten Zweigen laufen, und der Schlüssel fließt ab; schalten Sie einen beliebigen Zweig ab, und der Pfad bricht genau an diesem Zweig ab; oder lassen Sie alle drei an und schalten Sie dem ausgehenden Aufruf eine menschliche Freigabe vor: Die Freigabe hält die Anfrage dort an, wo eine Person sieht, was sie senden würde. Die Beschriftungen unter den Schaltern geben einer einzigen Struktur drei Namen: das tödliche Trio, die Zweierregel und die Quellen und Senken (Sources and Sinks) aus der Analyse von OpenAI [69] [71] [74].

Was die Anbieter tun. Beide Anbieter behandeln Inhalte von außen in ihren eigenen Tools als nicht vertrauenswürdig [4] [76]. In Claude Code sieht der Klassifikator des Auto-Modus die Nachrichten des Nutzers und die Tool-Aufrufe des Agenten, aber nicht die Tool-Ergebnisse, die vorher entfernt werden: Feindselige Inhalte in einer Datei oder auf einer Webseite können sich deshalb nicht direkt an ihn wenden [4] [19]. Auf der Sicherheitsseite von Codex heißt es knapp: „Behandeln Sie Webergebnisse als nicht vertrauenswürdig“ (eigene Übersetzung) [76], und OpenAIs Leitfaden zur Computerbedienung (Computer Use) verlangt dieselbe Vorsicht für das, was auf dem Bildschirm erscheint [77].

OpenAIs Beitrag vom 11. März 2026 ergänzt, dass die wirksamsten Injections in der Praxis zunehmend Social Engineering ähneln und dass sich die Abwehr nicht allein auf das Filtern von Eingaben stützen kann: Systeme sollten so entworfen werden, dass sie die Auswirkungen auch dann begrenzen, wenn einige Angriffe gelingen [74]. OpenAI berichtet, dass eine als Beispiel angeführte Angriffs-E-Mail aus dem Jahr 2025 mit einem bestimmten Prompt in 50 % seiner Tests funktionierte ^† [74]. OpenAI kombiniert dies mit einer Quelle-Senke-Analyse und mit einer Gegenmaßnahme, die es Safe Url nennt [74].

Die Listen der Community. Das OWASP GenAI Security Project hat im Dezember 2025 seine Top 10 für agentische Anwendungen (Top 10 for Agentic Applications) veröffentlicht (Tabelle 9.1) [75]. Das Dokument führt das Prinzip „Least-Agency“ ein, also so wenig Handlungsautonomie wie möglich, und nennt Beobachtbarkeit (Observability) „nicht verhandelbar“ (eigene Übersetzung) [75]. In den separaten Top 10 desselben Projekts für LLM-Anwendungen, datiert auf den 3. August 2026, ist Excessive Agency, die übermäßige Handlungsautonomie, „auf Platz drei aufgestiegen“ (LLM03:2026, eigene Übersetzung) [33].

Abwehr durch Design. Forschende haben Abwehrmaßnahmen vorgeschlagen, die durch ihre Konstruktion schützen statt durch Erkennung [78] [79]. Ein Paper von 2025 beschreibt sechs Entwurfsmuster gegen Injection: Action-Selector, Plan-Then-Execute, LLM Map-Reduce, Dual LLM, Code-Then-Execute und Context-Minimization [78]. CaMeL, aus einem weiteren Paper von 2025, trennt den Kontrollfluss einer Aufgabe von den nicht vertrauenswürdigen Daten, die sie verarbeitet; seine Autoren berichten, dass 77 % der AgentDojo-Aufgaben mit beweisbarer Sicherheit gelöst werden, gegenüber 84 % bei einem System ohne Abwehr [79].

Quellen zu §9: [69] [70] [71] [35] [5] [72] [73] [19] [74] [75] [4] [76] [77] [33] [78] [79] [23] [80], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Was darf ein Agent ohne Rückfrage tun? Sandboxes und Berechtigungen

Zwei Schichten entscheiden, was ein Agent ohne Rückfrage tun darf. Eine vom Betriebssystem durchgesetzte Sandbox begrenzt, welche Dateien und Netzwerk-Hosts seine Befehle erreichen können [3] [76]. Berechtigungseinstellungen legen fest, welche Aktionen laufen, welche eine Rückfrage bei einer Person auslösen und welche abgelehnt werden. Anthropic wie OpenAI lassen inzwischen einen KI-Prüfer Routineaktionen freigeben, und beide veröffentlichen die Grenzen dieses Prüfers [4] [7].

Nach diesem Abschnitt können Sie die zwei Mauern erklären, die beiden Berechtigungsmodelle nebeneinander lesen und die Fehlerquoten, die ein Anbieter für seinen KI-Prüfer veröffentlicht, samt ihren Grenzen einordnen.

Der vergiftete Lauf will den API-Schlüssel und eine ausgehende Anfrage, die ihn hinausträgt. Zwei Schichten stehen ihm im Weg, bevor überhaupt eine Person gefragt wird: Mauern um die Befehle des Agenten und Einstellungen, die entscheiden, was von selbst läuft.

Zwei Mauern. Anthropics Beitrag zum Sandboxing erklärt, warum eine einzige Mauer nicht genügt: „Ohne Netzwerkisolation könnte ein kompromittierter Agent sensible Dateien wie SSH-Schlüssel exfiltrieren“, und „ohne Dateisystemisolation könnte ein kompromittierter Agent leicht aus der Sandbox ausbrechen und Netzwerkzugriff erlangen“ (eigene Übersetzungen) [3]. Claude Code baut die Mauern unter Linux auf bubblewrap und unter macOS auf Seatbelt auf, und Anthropic hat die Sandbox-Runtime als Open-Source-Forschungsvorschau (Research Preview) veröffentlicht [3]. Bei der internen Nutzung stellte Anthropic fest, dass „Sandboxing die Zahl der Berechtigungsabfragen gefahrlos um 84 % senkt“ (eigene Übersetzung) ^† [3].

Die Sandbox von Claude Code deckt nur Shell-Befehle ab, und ihre erlaubten Netzwerkdomains sind „anfangs leer“ (eigene Übersetzung); die Datei-Tools von Claude, lokale MCP-Server und Befehls-Hooks laufen außerhalb davon [58]. Codex kennt drei Sandbox-Modi: read-only, workspace-write (die Standardeinstellung für Ordner unter Versionskontrolle) und danger-full-access [76]. Zu seinen Freigaberichtlinien gehören on-request, die Standardeinstellung, never sowie eine granulare Richtlinie, die ausgewählte Kategorien von Abfragen interaktiv lässt und die übrigen ablehnt; die ältere Richtlinie untrusted ist ausgemustert [76]. Das Netzwerk ist standardmäßig abgeschaltet, und das Betriebssystem setzt die Grenze durch: Seatbelt über sandbox-exec unter macOS, bwrap plus seccomp unter Linux, eine native Sandbox oder WSL2 unter Windows [76].

Abbildung 10.1 zeichnet die zwei Mauern um eine einzige Shell. Sind beide aktiv, läuft die Prüfung von Aufgabe T innerhalb des Projekts, ein Schreibzugriff außerhalb des Projekts endet an der Dateisystem-Mauer, ein Lesezugriff auf ~/.ssh/ kommt durch sie hindurch (standardmäßig hält diese Mauer Schreib-, nicht Lesezugriffe auf), und eine Anfrage an einen unbekannten Host endet an der Netzwerk-Mauer, die damit den Schlüssel drinnen hält. Schalten Sie eine Mauer ab und sehen Sie, was die andere nicht mehr abdeckt.

Berechtigungseinstellungen. Innerhalb der Mauern entscheiden Einstellungen, was ohne eine Person läuft: sechs Berechtigungsmodi in Claude Code, vier in Codex, aufgebaut auf seinen Sandbox-Modi und Freigaberichtlinien (Tabelle 10.1) [19] [81]. Ab v2.1.283, veröffentlicht am 25. September 2026, ist der Auto-Modus der eingebaute Startmodus für interaktive Sitzungen im Terminal und in VS Code; in früheren Versionen war er nur in den Tarifen Pro, Max und Team der Startmodus [82] [6]. Der Auto-Modus setzt ein unterstütztes Modell voraus, und eine Organisation kann ihn abschalten [82].

Über den Modi liegen Regeln. Das Agent SDK prüft einen Tool-Aufruf in fester Reihenfolge: Hooks, Ablehnungsregeln (deny), Rückfrageregeln (ask), der Berechtigungsmodus, Erlaubnisregeln (allow), dann der Callback canUseTool; eine passende Ablehnungsregel blockiert das Tool „selbst im Modus bypassPermissions“ (eigene Übersetzung) [27]. Die Regeln werden in der Reihenfolge Ablehnen, Rückfragen, Erlauben ausgewertet, und der erste Treffer gilt [19]. Checkpoints fangen nicht alles auf: „Aktionen, die entfernte Systeme betreffen (Datenbanken, APIs, Deployments), lassen sich nicht per Checkpoint sichern“ (eigene Übersetzung) [5].

OpenAI dokumentiert dieselben Schranken in den eigenen Tools. Im Agents SDK führt ein mit needs_approval markiertes Tool dazu, dass der Lauf Unterbrechungen mit einem fortsetzbaren Zustand zurückgibt; Sie geben frei oder lehnen ab und setzen den Lauf dann fort [83]. OpenAIs praktischer Leitfaden rät, jedes Tool mit geringem, mittlerem oder hohem Risiko einzustufen und einen menschlichen Eingriff auszulösen, wenn Fehlerschwellen überschritten werden, sowie vor Aktionen mit hohem Risiko [1]. Der Prompting-Leitfaden von Codex verlangt eine Freigabe, bevor der Agent Informationen sendet, veröffentlicht oder ändert, auf die sich andere verlassen [84]. Der Pull Request von Aufgabe T in Schritt T.11 ist eine solche Aktion.

KI-Prüfer. Beide Anbieter lassen ein zweites Modell anstelle des Nutzers über Freigabeanfragen entscheiden [4] [7]. Der Klassifikator des Auto-Modus von Anthropic sieht nur die Nachrichten des Nutzers und die Tool-Aufrufe des Agenten, ohne Claudes eigene Nachrichten und ohne die Tool-Ausgaben, „was ihn konstruktionsbedingt blind für das Reasoning macht“ (eigene Übersetzung); er arbeitet in zwei Stufen [4]. Für die produktiv eingesetzte Pipeline meldet Anthropic 0,4 % Falsch-Positive im realen Datenverkehr (n = 10.000), 17 % Falsch-Negative bei realen übereifrigen Aktionen (n = 52) und 5,7 % Falsch-Negative bei synthetischen Exfiltrationsversuchen (n = 1.000) ^† [4]. Der Beitrag ergänzt: „Die Falsch-Negativ-Rate von 17 % bei realen übereifrigen Aktionen ist die ehrliche Zahl“ (eigene Übersetzung) ^† [4].

In Codex leitet die Einstellung approvals_reviewer = "auto_review" infrage kommende Freigabeanfragen an einen Prüfagenten weiter [76]. Auto-review prüft nur Aktionen, die ohnehin eine Freigabe brauchen, sodass Aktionen innerhalb der Sandbox nicht geprüft werden, und erweitert weder die Sandbox noch den Netzwerkzugang [7]. Während beim Klassifikator von Anthropic die Tool-Ergebnisse entfernt werden, sieht der Prüfer von Codex „ein kompaktes Transkript plus die genaue Freigabeanfrage“ (eigene Übersetzung), in der Regel mit Tool-Aufrufen und Tool-Ausgaben, aber ohne das verborgene Reasoning des Assistenten [7]. Er soll Folgendes blockieren: das Senden privater Daten, Geheimnisse oder Zugangsdaten an nicht vertrauenswürdige Ziele, das Ausspähen von Zugangsdaten, eine breite oder dauerhafte Schwächung der Sicherheit sowie zerstörerische Aktionen mit erheblichem Risiko irreparabler Schäden; die Richtlinie selbst ist Open Source [7]. In der aktuellen Open-Source-Implementierung unterbricht ein Schutzschalter (Circuit Breaker) die Runde nach „3 aufeinanderfolgenden Ablehnungen oder 10 Ablehnungen innerhalb eines gleitenden Fensters der letzten 50 Prüfungen in derselben Runde“ (eigene Übersetzung), und /approve erlaubt einen erneuten Versuch einer abgelehnten Aktion, der trotzdem durch Auto-review läuft [7].

Abbildung 10.2 bringt die veröffentlichten Zahlen an einem Ort zusammen: die Freigaben als Punkte, den Rückgang der Abfragen durch die Sandbox als Balken, die übersehenen Fälle des Klassifikators in seiner kleinen Stichprobe und den Schutzschalter von Codex als Zähler [4] [3] [7].

Eindämmung. Anthropic beschreibt seine Eindämmung (Containment) Produkt für Produkt: claude.ai führt Code in einem gVisor-Container aus, Claude Code ist eine „Sandbox mit einem Menschen in der Schleife“ (eigene Übersetzung), also Freigabeabfragen plus eine Sandbox des Betriebssystems, Seatbelt oder bubblewrap, und Cowork lässt den Code, den es ausführt, in einer lokalen virtuellen Maschine laufen [23]. Derselbe Beitrag hält fest: „Die schwächste Schicht ist die, die Sie selbst gebaut haben“ (eigene Übersetzung) [23].

Bei einer kontrollierten internen Red-Team-Übung im Februar 2026 brachte ein Forscher einen Mitarbeiter per Phishing dazu, Claude Code mit einem bösartigen Prompt zu starten [23]. „Bei 25 Wiederholungen dieses Prompts führte Claude die Exfiltration 24-mal zu Ende“ (eigene Übersetzung) ^† [23]. Der Beitrag nennt dies eine direkte Injection, da die Anweisungen über den Nutzer kamen, und folgert, dass in diesem Fall nur die Umgebung als Abwehr standhält: Kontrollen des ausgehenden Datenverkehrs (Egress) und Grenzen des Dateisystems [23].

OpenAIs Überwachung auf Fehlausrichtung (Misalignment Monitoring) arbeitet asynchron. Schlägt sie an, gibt die API HTTP 403 mit invalid_request_error und misalignment_policy_violation zurück; die Empfehlung lautet, keine weiteren Aktionen abzusetzen und nicht automatisch erneut zu versuchen [85]. Die Seite warnt: „Da die Überwachung asynchron ist, kann eine Aktion bereits abgeschlossen sein, bevor die Überwachung ein Problem erkennt“ (eigene Übersetzung) [85].

Quellen zu §10: [3] [76] [4] [7] [19] [58] [81] [82] [6] [27] [5] [83] [1] [84] [23] [85], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Wie evaluiert man einen KI-Agenten? Verifikation, pass@k und pass^k

Ein Agent ist fertig, wenn eine Prüfung durchläuft, die er nicht anfechten kann: ein Test, ein Build [20]. Zur Messung der Zuverlässigkeit führt man jede Aufgabe mehrmals aus: pass@k ist die Wahrscheinlichkeit, dass mindestens einer von k Versuchen gelingt, pass^k die, dass alle gelingen [86]. Bei 75 % pro Versuch beträgt die berechnete Wahrscheinlichkeit, dass alle drei gelingen, etwa 42 % [86].

Nach diesem Abschnitt können Sie eine Evaluation (Eval) definieren, pass@k von pass^k unterscheiden und einen Benchmark-Wert mit Skepsis lesen.

Aufgabe T endet mit einem Beleg: Die Prüfung schlägt in T.04 fehl, läuft in T.10 durch, und erst dann bittet der Agent darum, den Pull Request zu öffnen. Die Best Practices von Claude Code machen daraus die erste Regel: „Geben Sie Claude eine Prüfung, die er ausführen kann: Tests, einen Build, einen Screenshot zum Vergleichen“ (eigene Übersetzung) [20]. Ohne eine solche Prüfung ist „sieht fertig aus“ das einzige Signal, und „Sie werden selbst zur Verifikationsschleife“ (eigene Übersetzungen) [20].

Die Seite mit den Best Practices nennt Schranken von zunehmender Stärke [20]:

1. die Prüfung im Prompt verlangen;
2. sie als /goal-Bedingung setzen, die ein separater Evaluator nach jeder Runde erneut prüft;
3. einen Stop-Hook hinzufügen, der die Prüfung als Skript ausführt und verhindert, dass die Runde endet, bevor sie durchläuft;
4. das Ergebnis an einen Verifikations-Subagenten übergeben, ein frisches Modell, das versucht, es zu widerlegen.

OpenAIs Modellleitfaden vom 2. Oktober 2026 für die GPT-6-Familie gibt dieselbe Anweisung in eigenen Worten: festlegen, was „fertig“ heißt (implementieren, ausführen, das Ergebnis prüfen, Fehler beheben), und die Entscheidungen auflisten, die bei Ihnen liegen [30].

Das Vokabular der Evals. Anthropics Beitrag über Evals für Agenten legt die Begriffe fest, hier in eigener Übersetzung zitiert [86]:

• eine Aufgabe (Task) ist „ein einzelner Test mit definierten Eingaben und Erfolgskriterien“;
• ein Versuch (Trial) ist ein Anlauf, eine Aufgabe zu lösen;
• ein Bewerter (Grader) ist die Logik, die einen Aspekt der Leistung des Agenten benotet;
• ein Transkript (Transcript) ist „die vollständige Aufzeichnung eines Versuchs“;
• das Ergebnis (Outcome) ist „der Endzustand in der Umgebung“ am Ende des Versuchs.

In Aufgabe T sind die zwölf Schritte das Transkript. Die abschließende Antwort mag behaupten, dass die Prüfung durchläuft; das Ergebnis ist ein Repository, in dem sie tatsächlich durchläuft.

Zwei Maße für Zuverlässigkeit. Ein einzelner Versuch beweist wenig, denn die Ausgabe eines Modells schwankt von Lauf zu Lauf [86]. Zwei Maße fassen mehrere Versuche derselben Aufgabe zusammen: pass@k, „die Wahrscheinlichkeit, dass ein Agent in k Versuchen mindestens eine korrekte Lösung erzielt“, und pass^k, „die Wahrscheinlichkeit, dass alle k Versuche gelingen“ (eigene Übersetzungen) [86]. Sind die Versuche unabhängig und gelingt jeder mit der Wahrscheinlichkeit p, folgen die beiden Maße den Gleichungen (1) und (2).

Mit p = 0,75 und k = 3 ergibt Gleichung (2) 0,75 × 0,75 × 0,75 = 0,421875, also etwa 42 %, berechnet wie im Rechenbeispiel von Anthropic [86]. Für dieselben Werte ergibt Gleichung (1) 1 − 0,25 × 0,25 × 0,25 = 0,984375, also etwa 98 % (berechnet). Der Beitrag bringt es auf den Punkt: Spätestens bei k = 10 erzählen die beiden Maße „entgegengesetzte Geschichten“ (eigene Übersetzung) [86].

Abbildung 11.1 zeichnet beide Kurven. Gehen Sie ihre Voreinstellungen durch und bewegen Sie dann die Schieberegler: hat einmal funktioniert und funktioniert jedes Mal gehen innerhalb weniger Versuche auseinander. Tabelle 11.1 gibt dieselben Werte ohne die Zeichnung an.

Eine Eval aufbauen. Anthropic unterscheidet zwei Arten: Fähigkeits-Evals „sollten mit einer niedrigen Erfolgsquote beginnen“ (eigene Übersetzung), während Regressions-Evals, die prüfen, ob der Agent die Aufgaben, die er früher bewältigte, noch immer bewältigt, fast jedes Mal durchlaufen sollten [86]. Für ein erstes Set rät Anthropic zu 20 bis 50 einfachen Aufgaben, die aus echten Fehlschlägen stammen [86]. Das Maß pass^k selbst wurde mit tau-bench eingeführt, einem Benchmark für die Interaktion zwischen Tool, Agent und Nutzer, veröffentlicht am 17. Juni 2024 [87].

Solange das Verhalten eines Agenten noch untersucht und korrigiert wird, rät OpenAI, bei Traces anzusetzen, die von Trace-Bewertern (Trace Graders) benotet werden [32]. Dabei gilt ein datierter Vorbehalt: Die Seite von OpenAI zu Abkündigungen (Deprecations) gibt an, dass bestehende Evals am 31. Oktober 2026 schreibgeschützt werden, plant die Abschaltung von Evals-Dashboard und Evals-API für den 30. November 2026 und bezieht die für Eval-Workflows dokumentierten Bewerter in diesen Übergang ein [16]. Die Seiten zur Bewertung von Traces tragen keinen solchen Hinweis [32].

Den Bewerter vom Ausführenden trennen. Anthropic berichtet, dass Agenten, die eine selbst erstellte Arbeit bewerten sollen, „dazu neigen, die Arbeit selbstbewusst zu loben“ (eigene Übersetzung) [88]. Anthropics Harness für lang laufende Arbeit an Anwendungen verteilt die Arbeit auf einen Planer, einen Generator und einen Evaluator [88]. In Aufgabe T spielt die Prüfung den Evaluator: Sie schlägt fehl, egal was der Agent über seine eigene Änderung denkt.

Auch öffentliche Benchmarks altern: Fall 3 im Anschluss an diesen Abschnitt verfolgt einen, der nicht mehr misst, wofür er gebaut wurde.

Quellen zu §11: [20] [86] [19] [30] [87] [32] [16] [88], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Best Practices, über die sich beide Anbieter einig sind

Die Best Practices, die Anthropic und OpenAI beide dokumentieren, ergeben eine kurze Liste: dem Agenten eine Prüfung geben, die er ausführen kann, vor dem Ändern erkunden und planen, Anweisungsdateien kurz halten und Details bei Bedarf laden, festlegen, was er allein tun darf, das Kontextfenster verwalten, einen separaten Prüfer einsetzen und Web- und Tool-Inhalte als nicht vertrauenswürdig behandeln [20] [30].

Nach diesem Abschnitt können Sie die Praktiken anwenden, die beide Anbieter dokumentieren, jeweils mit der Quelle beider Anbieter.

Jeder Anbieter veröffentlicht seine eigenen Ratschläge. Anthropic pflegt eine Seite mit Best Practices in der Dokumentation von Claude Code [20]; OpenAI hat am 2. Oktober 2026 einen Modellleitfaden für die GPT-6-Familie veröffentlicht [30] und pflegt in seiner Codex-Dokumentation eine Seite zum Prompting [84]. Tabelle 12.1 stellt beide einander gegenüber, eine Praxis pro Zeile, mit der Quelle für jeden Anbieter.

In der ersten Zeile sagen die beiden Seiten mit anderen Worten dasselbe. Die Seite von Anthropic beschreibt, was eine Prüfung der Schleife bringt: „Claude erledigt die Arbeit, führt die Prüfung aus, liest das Ergebnis und iteriert, bis die Prüfung durchläuft“ (eigene Übersetzung) [20]. Der Leitfaden von OpenAI verlangt eine Definition von „fertig“, die das Ausführen der Arbeit und das Prüfen des Ergebnisses einschließt [30].

Wie Sitzungen schiefgehen. Anthropic benennt außerdem fünf Fehlermuster, jedes mit seiner Abhilfe (Tabelle 12.2) [20]. OpenAI dokumentiert eines davon in eigenen Begriffen, die Überspezifizierung [30] [92]. Das Nachsteuern während eines Laufs dokumentiert OpenAI als Funktion [84]; das ist nicht derselbe Rat wie Anthropics Neustart nach zwei gescheiterten Korrekturen [20].

Quellen zu §12: [20] [30] [84] [17] [5] [47] [88] [32] [16] [91] [76] [77] [50] [86] [92] [53] [54], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Claude Code und Codex: Worin unterscheiden sie sich?

Claude Code (Anthropic) und Codex (OpenAI) sind Coding-Agenten, die auf derselben Idee beruhen: Ein Harness liest Ihr Repository, führt Befehle in einer Sandbox des Betriebssystems aus, bearbeitet Dateien und prüft seine Arbeit, im Terminal, im Editor, in einer Desktop-App oder in der Cloud [5] [76]. Beide können AGENTS.md lesen und Routinefreigaben einem KI-Prüfer überlassen [17] [54] [4] [7]. Namen und Standardeinstellungen unterscheiden sich.

Nach diesem Abschnitt können Sie Claude Code und Codex anhand dokumentierter Fakten vergleichen und sagen, was sich vom einen auf das andere übertragen lässt.

Beide Anbieter beschreiben ihren Coding-Agenten als Schicht rund um ein Modell. Die Dokumentation von Claude Code nennt Claude Code „die Schicht rund um das Modell, die die Tools bereitstellt und den Kontext verwaltet, den das Modell sieht“ (eigene Übersetzung) [5]. Bei OpenAI stellt die Agents API, seit dem 10. September 2026 in öffentlicher Beta, das Harness und die Infrastruktur bereit, auf denen Codex läuft [13].

Tabelle 13.1 stellt die beiden nebeneinander, und zwar anhand dessen, was jeder Anbieter dokumentiert: Claude Code zuerst, in alphabetischer Reihenfolge, dieselben Zeilen für beide und keine Zeile, die sie in eine Rangfolge bringt. Produktnamen und Standardeinstellungen ändern sich schnell; der auf diesen Abschnitt folgende Fall 4 sammelt die Außerbetriebnahmen, die beide Anbieter mit Datum angekündigt haben.

Die Unterschiede liegen vor allem in der Form der Kontrolle. Beide legen eine Sandbox und eine Freigabeschicht um die Befehle. Claude Code bildet die Freigabeschicht als einen einzigen Berechtigungsmodus ab, mit Ablehnungsregeln, die in jedem Modus gelten, und führt seine Sandbox als eigene Schicht [19] [27]; Codex kombiniert eine Freigaberichtlinie, also wann gefragt wird, mit einem Sandbox-Modus, also was Befehle erreichen können [76]. Auch lesen die beiden KI-Prüfer unterschiedliche Eingaben, und jeder Anbieter benennt, was seine Wahl kostet. Anthropic entfernt die Tool-Ausgaben, damit eingeschleuste Inhalte seinen Klassifikator nicht erreichen, und nimmt in Kauf, dass der Klassifikator bei einer Kennung, die der Nutzer nie genannt hat, nicht erkennen kann, ob der Agent sie gefunden oder erfunden hat [4]. Der Prüfer von Codex sieht „ein kompaktes Transkript plus die genaue Freigabeanfrage“ (eigene Übersetzung), was in der Regel Tool-Ausgaben einschließt; er kann in seltenen Fällen Prüfungen mit reinem Lesezugriff ausführen, um fehlenden Kontext zu sammeln, und verborgenes Reasoning ist nicht enthalten [7].

Was ist der Unterschied zwischen Claude und Claude Code?

Claude ist das Modell; Claude Code ist das Harness darum herum, wie das Glossar von Claude Code in einem Satz sagt: „Claude Code ist das Harness; Claude ist das Modell darin“ (eigene Übersetzung) [19]. Das Harness liefert „Dateizugriff, Shell-Ausführung, Berechtigungsprüfung, das Laden des Gedächtnisses und die Schleife, die Aktionen aneinanderreiht“ (eigene Übersetzung) [19]. Tabelle 4.1 ordnet Claude Code unter den anderen Wegen ein, auf denen jeder Anbieter ein Modell als Agenten ausführt.

Können Sie beide nutzen?

Ja, und ein großer Teil des Setups lässt sich übernehmen. Claude Code liest AGENTS.md, wenn ein Repository keine CLAUDE.md hat, ab v2.1.277 [17]. Seit dem 11. August 2026 importiert die Desktop-App von ChatGPT Anweisungen, Einstellungen, Skills, Plugins, Projekte und die jüngste Arbeit aus Claude Code, Claude Cowork und Cursor, und die Codex CLI importiert mit /import das Setup und die jüngsten Chats aus Claude Code und Cursor [10].

Skills teilen ein gemeinsames offenes Format [56]. Beide Tools verbinden sich mit MCP-Servern: Claude Code über seine MCP-Konfiguration [5], Codex über Einträge mcp_servers.<id> in seiner Konfigurationsdatei [29].

Quellen zu §13: [5] [76] [17] [54] [4] [7] [13] [38] [56] [10] [19] [47] [3] [27] [82] [81] [20] [29] [93] [94] [31] [18] [11] [36] [95] [96] [42] [86] [89] [1], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Was kostet ein KI-Agent?

Ein KI-Agent kostet Tokens, und er verbraucht viele: Jede Runde der Schleife schickt den Kontext erneut, Tool-Ausgaben häufen sich an, und parallel arbeitende Agenten vervielfachen den Verbrauch. Prompt-Caching, das Laden von Tools bei Bedarf und Verdichtung (Compaction) senken die Rechnung. Die sinnvolle Einheit sind die Kosten einer erfolgreichen Aufgabe, nicht die Kosten eines Aufrufs [98] [30].

Nach diesem Abschnitt können Sie die Kosten eines Agenten ohne Preisliste abschätzen, gemessen in Kosten pro erfolgreicher Aufgabe.

Wohin die Tokens gehen. Anthropic berichtet, dass Agenten nach seinen Daten „in der Regel etwa 4-mal so viele Tokens verbrauchen wie Chat-Interaktionen, und Multi-Agenten-Systeme etwa 15-mal so viele wie Chats“^† (eigene Übersetzung) [98]. Im selben Beitrag stellte Anthropic zu seiner Evaluation mit BrowseComp fest, dass bei der Leistung „der Token-Verbrauch allein 80 % der Varianz erklärt“^† (eigene Übersetzung) [98].

Parallele Arbeit vervielfacht die Rechnung bei beiden Anbietern. Die Dokumentation von Claude Code warnt: „Mehrere Sitzungen oder Subagenten gleichzeitig laufen zu lassen, vervielfacht den Token-Verbrauch“ (eigene Übersetzung) [57]. Die Dokumentation von Codex hält fest, dass Workflows mit Subagenten „mehr Tokens verbrauchen als vergleichbare Läufe mit einem einzigen Agenten“ (eigene Übersetzung) [47].

Was die Rechnung senkt. Drei Mechanismen finden sich in der Dokumentation beider Anbieter. Prompt-Caching verwendet einen sich wiederholenden Prompt-Anfang wieder: Der Cache von Anthropic umfasst das Präfix des Prompts in der Reihenfolge tools, system, dann messages [50], und der Leitfaden von OpenAI rät: „Stellen Sie stabile Anweisungen und Referenzmaterial vor wechselnde Details der Aufgabe“ (eigene Übersetzung) [30]. Das Laden von Tools bei Bedarf hält ihre Definitionen aus dem Kontext heraus: Anthropic berichtet, dass ein typisches Setup mit mehreren Servern rund 55.000 Tokens für Tool-Definitionen verbrauchen kann, bevor überhaupt gearbeitet wird, und dass die Tool-Suche diesen Umfang typischerweise um mehr als 85 % senkt^† [44]. Auch die Agents API von OpenAI bietet eine Tool-Suche [13]. Die Verdichtung ersetzt ältere Runden durch eine Zusammenfassung, als Beta in der API von Anthropic [48] und automatisch in der Agents API von OpenAI [13] [41].

Beide Anbieter berechnen zwischengespeicherte Eingaben zu einem Bruchteil des normalen Eingabepreises, zu Sätzen, die vom Modell abhängen [51] [30]. Preise ändern sich, deshalb nennt diese Seite keine; die Sätze stehen auf den zitierten Seiten, die im Quellenverzeichnis jeweils mit dem Tag aufgeführt sind, an dem sie gelesen wurden.

Aufwand (Effort). Der Aufwand ist ein Kompromiss zwischen Tiefe und Kosten. Das Glossar von Claude Code sagt: „Höherer Aufwand bedeutet mehr Thinking-Tokens und gründlicheres Reasoning; geringerer Aufwand ist schneller und günstiger“ (eigene Übersetzung) [19]. Der Leitfaden von OpenAI rät, mit dem Standardaufwand zu beginnen, die höchsten Stufen nur dann zu versuchen, wenn die Stufe high nicht ausreicht, und sie nur beizubehalten, wenn der Gewinn Zeit und Kosten rechtfertigt [30].

Die Einheit. Der Leitfaden von OpenAI verlangt, Aufgabenerfolg, Latenz und Kosten pro erfolgreicher Aufgabe zu messen, bevor ein Agent in Betrieb geht [30]. Ausgeschrieben ergeben sich die Kosten pro erfolgreicher Aufgabe aus Gleichung (3):

Gescheiterte Versuche bleiben im Zähler: Sie verbrauchen Tokens und erledigen nichts. Wenn jeder Versuch gleich viel kostet und mit derselben Wahrscheinlichkeit p gelingt, sind die erwarteten Kosten pro erfolgreicher Aufgabe die Kosten eines Versuchs geteilt durch p (berechnet). Tokens sind nicht die einzigen Kosten: Der auf diesen Abschnitt folgende Fall 5 ergänzt die Rechnung um die Verfügbarkeit.

Quellen zu §14: [98] [30] [57] [47] [50] [44] [13] [48] [41] [51] [19], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Wer setzt die Standards für KI-Agenten?

Mehrere gemeinsame Standards für KI-Agenten liegen inzwischen bei der Agentic AI Foundation, einem Fonds der Linux Foundation, der am 9. Dezember 2025 mit MCP von Anthropic, goose von Block und AGENTS.md von OpenAI gegründet wurde. A2A, für Nachrichten zwischen Agenten, kam am 17. August 2026 hinzu. Agent Skills ist ein eigenständiges offenes Format, das die Tools beider Anbieter übernommen haben [8] [100] [56].

Nach diesem Abschnitt können Sie AGENTS.md, Agent Skills, MCP und A2A in einen gemeinsamen Stack einordnen und sagen, wer jeweils ihr Träger ist.

Am 9. Dezember 2025 kündigte die Linux Foundation die Agentic AI Foundation (AAIF) mit drei Gründungsprojekten an: dem Model Context Protocol (MCP) von Anthropic, goose von Block und AGENTS.md von OpenAI [8]. Die Ankündigung nennt acht Platinum-Mitglieder: AWS, Anthropic, Block, Bloomberg, Cloudflare, Google, Microsoft und OpenAI [8].

Anthropic beschreibt die AAIF als zweckgebundenen Fonds (Directed Fund) der Linux Foundation und sagt, dass die Governance von MCP bei seinen Maintainern bleibt [101]. OpenAI, das seinen Beitrag am selben Tag bekannt gab, gibt an, AGENTS.md im August 2025 veröffentlicht zu haben [102].

A2A, das Protokoll für den Austausch zwischen Agenten, trat der AAIF am 17. August 2026 bei; der Beitrag der Stiftung nennt die im März 2026 erschienene Version 1.0 „die erste stabile Spezifikation“ (eigene Übersetzung) [100]. Die Website der Spezifikation bezeichnet 1.0.0 als ihre „Latest Released Version“ (neueste veröffentlichte Version) [67], während die GitHub-Releases des Projekts die Version 1.0.0, veröffentlicht am 12. März 2026, und die Version 1.0.1, veröffentlicht am 28. Mai 2026, ausweisen [103].

Die Projektseite der AAIF führt sechs Projekte auf: MCP, goose, AGENTS.md, agentgateway, A2A und Agent Router [104]. Tabelle 15.1 stapelt die gemeinsamen Formate nach dem, was sie transportieren, von den Anweisungen, die ein Repository einem Agenten gibt, bis hinunter zur Schicht des Datenverkehrs, jeweils mit dem Träger und der Version, die jede Quelle angibt.

Agent Skills steht außerhalb der Stiftung. Laut seiner Website ist das Format „ursprünglich von Anthropic entwickelt, als offener Standard veröffentlicht“ (eigene Übersetzung) [56]; Anthropics Hinweis zum offenen Standard ist auf den 18. Dezember 2025 datiert [9], und die Projektseite der AAIF führt es nicht auf [104]. Dieselbe Website nennt unter den Anwendern Claude Code, ChatGPT und Codex, GitHub Copilot, Cursor und Gemini CLI [56].

Öffentliche Stellen arbeiten auf einer eigenen Schiene: Am 17. Februar 2026 kündigte das US-amerikanische National Institute of Standards and Technology (NIST) die AI Agent Standards Initiative seines Center for AI Standards and Innovation (CAISI) an [105].

Quellen zu §15: [8] [100] [56] [101] [102] [67] [103] [104] [9] [15] [105] [59] [53], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.

Was sagt die KI-Verordnung der EU über Agenten?

Die europäische KI-Verordnung (AI Act) kennt keine Kategorie Agent: Sie regelt KI-Systeme nach Risikostufen. Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025, Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Der am 27. Juli 2026 in Kraft getretene digitale Omnibus verschiebt die Hochrisiko-Pflichten je nach Systemart auf den 2. Dezember 2027 oder 2. August 2028 [34] [14].

Nach diesem Abschnitt können Sie sagen, welche Termine der KI-Verordnung nach dem Omnibus gelten und wo der luxemburgische Gesetzentwurf zu ihrer Durchführung steht.

In der ursprünglichen Fassung. Die Verordnung (EU) 2024/1689, die KI-Verordnung, trat am 1. August 2024 in Kraft [34]. Ihre Verbote und ihre Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025, Kapitel V über KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025; ihr allgemeiner Geltungsbeginn war der 2. August 2026 [34].

Keine Kategorie Agent. Die Verordnung kennt keine Kategorie namens Agent, und ihre Definition eines KI-Systems erfasst bereits Systeme, die „für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt“ sind (Artikel 3 Nummer 1) [34]. Ein Agent fällt daher unter dieselben risikobasierten Regeln wie jedes andere KI-System [34].

Artikel 50. Artikel 50 Absatz 1 verlangt, dass Menschen informiert werden, wenn sie mit einem KI-System interagieren, es sei denn, das ist offensichtlich; das betrifft jeden Agenten, der mit Kunden spricht [34]. Artikel 50 Absatz 2 verlangt eine maschinenlesbare Kennzeichnung synthetischer Inhalte [34].

Der digitale Omnibus. Die Verordnung (EU) 2026/1744, der digitale Omnibus zur KI (Digital Omnibus on AI), wurde am 8. Juli 2026 erlassen, am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am dritten Tag nach ihrer Veröffentlichung in Kraft, am 27. Juli 2026 [14]. Nach der ursprünglichen Fassung sollten die Hochrisiko-Pflichten für die in Anhang III aufgeführten Anwendungsfälle ab dem 2. August 2026 gelten und für Produkte nach Anhang I ab dem 2. August 2027 [34]; der Omnibus verschiebt sie für Systeme nach Anhang III auf den 2. Dezember 2027 und für Systeme nach Anhang I auf den 2. August 2028 [14]. Er ändert außerdem vier Punkte, die für alle wichtig sind, die Agenten entwickeln oder betreiben:

• Kennzeichnung. Generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, erhalten für die Kennzeichnungspflicht nach Artikel 50 Absatz 2 eine Übergangsfrist von vier Monaten, bis zum 2. Dezember 2026 [14].
• Neue Verbote. Artikel 5 Absatz 1 Unterabsatz 1 Buchstabe ba verbietet KI-Systeme, die realistische intime Bilder, Videos oder Tonaufnahmen einer identifizierbaren Person ohne deren ausdrückliche Einwilligung erzeugen oder manipulieren; Buchstabe bb erfasst Darstellungen sexuellen Missbrauchs von Kindern im Sinne von Artikel 2 Buchstaben c und e der Richtlinie 2011/93/EU. Zusammen mit den neuen Absätzen 1a und 1b von Artikel 5 gelten diese Verbote ab dem 2. Dezember 2026 (geänderter Artikel 113 Buchstabe a) [14].
• KI-Kompetenz. Artikel 4 wird neu gefasst: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag KI-Systeme betreiben oder nutzen [14].
• Aufsicht. Der neu gefasste Artikel 75 Absatz 1 macht das Büro für Künstliche Intelligenz (AI Office) ausschließlich zuständig für KI-Systeme, die auf einem KI-Modell mit allgemeinem Verwendungszweck beruhen, wenn Modell und System vom selben Anbieter oder Unternehmen stammen, mit vier aufgeführten Ausnahmen (Produkte nach Anhang I, Anhang III Nummer 2, Systeme nach Artikel 74 Absatz 6, Anhang III Nummer 8 in Bezug auf die Justiz), sowie für KI-Systeme, die eine sehr große Online-Plattform oder eine sehr große Online-Suchmaschine im Sinne der Verordnung (EU) 2022/2065 darstellen oder in eine solche integriert sind [14]. Wörtlich gelesen erfasst der erste Fall ein Agentenprodukt, das ein Modellanbieter auf seinem eigenen Modell aufbaut, sofern keine Ausnahme greift [14].

Leitlinien und Kodizes. Nach den Leitlinien der Kommission wird ein nachgelagerter Akteur, der ein Modell verändert (Downstream Modifier), nur dann zum Anbieter eines KI-Modells mit allgemeinem Verwendungszweck, wenn die Änderung mehr als ein Drittel der Rechenleistung beansprucht, mit der das ursprüngliche Modell trainiert wurde [106]. In der Praxis macht Sie der Bau eines Agenten auf der API eines Drittanbieters normalerweise nicht zu einem solchen Anbieter [106].

Der Verhaltenskodex zur Transparenz KI-generierter Inhalte (Code of Practice on Transparency of AI-generated Content), seit dem 10. Juni 2026 in endgültiger Fassung, nennt den 2. August 2026 als Datum, ab dem die Pflichten nach Artikel 50 gelten [107]. Die Kommission meldete am 31. Juli 2026, dass bis Ende Juli rund 190 Organisationen unterzeichnet hatten, darunter Anthropic und OpenAI, beide unter Abschnitt 1 aufgeführt [108]. Anthropic gibt an, von seinen nach dem 2. August 2026 veröffentlichten Modellen erzeugte Texte mit einem Wasserzeichen zu versehen [109].

Die Seite der Kommission zur KI-Verordnung, aktualisiert am 3. August 2026, führt die konsolidierte Zeitleiste [110]. Abbildung 16.1 stellt die Termine der ursprünglichen und der geänderten Fassung auf einer gemeinsamen Zeitleiste dar, und Tabelle 16.1 listet dieselben Meilensteine auf.

Wer wäre in Luxemburg für die Aufsicht zuständig?

Gesetzentwurf 8476, im Ausschuss. Alles unter dieser Überschrift beschreibt einen Gesetzentwurf, kein geltendes Gesetz. Der Gesetzentwurf 8476 wurde am 23. Dezember 2024 von Elisabeth Margue eingebracht; die Seite der Abgeordnetenkammer (Chambre des Députés) gibt seinen Status mit „En commission“ (im Ausschuss) an, Berichterstatter ist Félix Eischen [111].

Der Conseil d'État nahm sein Gutachten am 10. Juli 2026 an, mit förmlichen Einwänden, zum Beispiel zur Zuständigkeit der CSSF nach Artikel 74 Absatz 6 der KI-Verordnung und zur Rechtssicherheit [112].

Artikel 7 des Entwurfs würde die CNPD zur grundsätzlich zuständigen Marktüberwachungsbehörde machen, mit Ausnahmen zugunsten anderer Behörden; Artikel 13 würde sie zur zentralen Anlaufstelle machen; Artikel 12 würde es jeder zuständigen Behörde erlauben, ein KI-Reallabor (Regulatory Sandbox) einzurichten [113]. Tabelle 16.2 zeigt, wer was übernehmen würde.

Für Leserinnen und Leser in Frankreich: Die CNIL hat mit dem Conseil de l'IA et du Numérique (CIANum) am 20. Juli 2026 eine explorative Notiz veröffentlicht, „IA agentique et données personnelles“ [115]. Für diese Fassung wurde nur ihre Nachrichtenseite gelesen, deshalb wird die Notiz selbst hier nicht zitiert.

Quellen zu §16: [34] [14] [106] [107] [108] [109] [110] [111] [112] [113] [114] [115], geprüft am 4. Oktober 2026. Zurück zum Inhaltsverzeichnis.