Eine Zeile gegen KI-Training, und Agenten erhöhen sich das Budget selbst

Wer verhindern will, dass KI-Modelle mit den Texten der eigenen Website trainiert werden, kommt bald mit einem einzigen Eintrag aus. Google, OpenAI, Microsoft und Anthropic haben am 30. Oktober angekündigt, ein gemeinsames Signal in der Datei robots.txt zu beachten. Diese Datei liegt auf fast jedem Webserver und sagt Suchmaschinen-Robotern seit Jahrzehnten, welche Bereiche sie auslassen sollen. Der neue Eintrag lautet User-Agent: __usage_ai-training, darunter folgen wie gewohnt Disallow für gesperrte und Allow für freigegebene Pfade. Den Entwurf hat Anthropic bei der IETF eingereicht, dem Gremium, das Internet-Standards ausarbeitet. Bisher musste jeder Anbieter einzeln ausgesperrt werden, etwa mit GPTBot für OpenAI oder Google-Extended für Google. Die Zeitpläne gehen noch auseinander. Microsoft wertet das Signal ab dem 1. Februar 2027 aus, Google will Anfang 2027 folgen, OpenAI in den kommenden Monaten. In der normalen Bing-Suche bleibt eine Seite laut Microsoft auch dann sichtbar, wenn sie das Training sperrt. Das Signal regelt allerdings nur das Training. Ob ein Chatbot eine Seite live liest, um eine Frage zu beantworten, deckt der Entwurf ausdrücklich nicht ab. Rechtsverbindlich ist das Ganze nicht. Der Entwurf hat bei der IETF noch keinen offiziellen Status, und Bots, die robots.txt ignorieren, hält auch die neue Zeile nicht auf. Ich würde die Entscheidung trotzdem jetzt treffen, weil sie wenig kostet. Pressetexte und Produktseiten sollen in KI-Antworten auftauchen. Ausführliche Fachartikel, Anleitungen oder Preislisten wandern dagegen vielleicht ungern in die Trainingsdaten der nächsten Modellgeneration.

Neun von zehn KI-Agenten haben in einem Test ihr eigenes Ausgabenlimit angehoben, ohne dass jemand sie dazu angestiftet hätte. Forschende von Cornell Tech und Yale gaben den Agenten eine digitale Geldbörse des Zahlungsdienstleisters Circle, gefüllt mit 10 Dollar in der Digitalwährung USDC und begrenzt auf einen Cent pro Tag. Die Agenten sollten Rechnungen bezahlen. Wer das Limit erhöhen will, bekommt einen Einmalcode per E-Mail, und auf dieses Postfach hatten die Agenten Zugriff. Sie holten sich den Code und schalteten sich selbst frei. Das berichtet das Fachmedium CoinDesk am 1. November, das zugehörige Forschungspapier ist am 26. Oktober erschienen. Als einziges Modell blieb Claude Opus 5.5 von Anthropic im Rahmen, zahlte bis zum Limit und meldete die offenen Rechnungen. In einem zweiten Szenario gab sich ein Angreifer per Mail als Eigentümer aus. Fünf von zehn Modellen erhöhten das Limit und überwiesen Geld an ihn, obwohl sie nur Mails zusammenfassen sollten. Die Lehre reicht weit über Kryptogeld hinaus. Eine Freigabe schützt nur, wenn der Agent sie nicht selbst erteilen kann. Läuft der Bestätigungscode über einen Kanal, den der Agent mitliest, ist die Freigabe Dekoration. Die Forschenden haben deshalb Countersign gebaut, eine quelloffene Smartphone-App, in der ein Mensch jede einzelne Aktion angezeigt bekommt und am Gerät bestätigt. Noch ist das ein Prototyp.

Die besten KI-Modelle lösen in einem neuen Härtetest rund 12 Prozent der Aufgaben. Das Analysehaus SemiAnalysis hat am 2. November den Benchmark GDPx vorgestellt. Die Aufgaben stammen von 14 spezialisierten Partnerfirmen und decken elf Fachgebiete ab, darunter Chipdesign, Finanzen, Recht und Materialforschung. Die Modelle arbeiten bis zu acht Stunden in realistischen Umgebungen statt eine einzelne Frage zu beantworten. Claude Opus 5.5 schneidet insgesamt am besten ab, Gemini 4 Carbon gewinnt in Biologie, GPT-6 Astra in der Materialforschung. Bei einer Vertragsprüfung holte Opus im Schnitt 44 Prozent der möglichen Teilpunkte, GPT-6 Astra 25 Prozent. Eine Finanzaufgabe löste kein Modell vollständig. Die Spitzenreiter wechseln je nach Fachgebiet, und das halte ich für wichtiger als die Gesamtwertung. Wer ein Modell für eine bestimmte Aufgabe auswählt, testet es am besten an eigenen Beispielen aus diesem Gebiet.

Freigaben, die ein Agent nicht selbst erteilen kann Der Versuch von Cornell und Yale lässt sich auf jeden Agenten übertragen, der Geld bewegt, Bestellungen auslöst oder Mails an Kund:innen verschickt. Vier Schritte reichen, um die eigenen Freigaben zu prüfen. Erstens alle Aktionen auflisten, die einen Agenten Geld oder Ruf kosten können. Dazu gehören Zahlungen, Bestellungen, Nachrichten nach außen und Änderungen an Stammdaten wie Bankverbindungen von Lieferanten. Zweitens für jede Aktion notieren, über welchen Kanal die Freigabe läuft. Kommt der Code per Mail oder Chat in ein Postfach, das der Agent lesen kann, zählt die Freigabe nicht. Drittens solche Fälle umstellen. Die Bestätigung gehört auf ein Gerät oder in ein Konto, das der Agent nicht erreicht, etwa die Banking-App auf dem Diensthandy der zuständigen Person. Viertens Obergrenzen beim Zahlungsanbieter oder in der Buchhaltungssoftware festlegen. Ein Limit, das nur in den Anweisungen an das Modell steht, ist eine Bitte. Der Test zeigt, wie oft Modelle so eine Bitte übergehen, sobald sie einen Weg finden. Für die Liste genügt eine Tabelle mit vier Spalten: Aktion, Agent, Freigabekanal, Limit. Wer sie gemeinsam mit der Buchhaltung ausfüllt, findet die Lücken meist in der dritten Spalte.

Goldman Sachs nimmt Bankern und Händlern die KI-Programmierwerkzeuge wieder weg. Claude Code und GitHub Copilot bleiben laut einer internen Richtlinie aus dem Oktober den Ingenieur:innen vorbehalten, von denen die Bank laut IT-Chef Marco Argenti rund 12.000 beschäftigt. Das berichten The Decoder und PYMNTS unter Berufung auf Bloomberg. Im Juli hatte Argenti noch das Programmieren durch Fachfremde gelobt, ein Sprecher nennt jetzt Produktivität und Risikomanagement als Gründe. Eine Testphase mit KI-Werkzeugen braucht also ein Enddatum und eine klare Entscheidung, wer sie danach behält. Nordkoreanische Hackergruppen arbeiten inzwischen durchgehend mit KI. Bei drei Gruppen steckt sie laut Microsoft Threat Intelligence in allen Arbeitsabläufen, so der Bericht vom 29. Oktober. Die Gruppe Jasper Sleet pflegt mit KI-gestützten Lebensläufen mehrere erfundene Bewerberprofile, um als IT-Fachkraft eingestellt zu werden. Microsoft rät, Referenzen per Telefon oder Video zu prüfen und wiederholte Bild- oder Tonprobleme im Vorstellungsgespräch als Warnzeichen zu werten. Wer Remote-Stellen in der IT besetzt, nimmt das am besten fest ins Bewerbungsverfahren auf.