Agent-Infrastruktur reift zur Produktionsreife: AWS MCP geht GA, Google Genkit bekommt Middleware — während Shadow AI und Chatbot-Exploits zeigen, dass Security nicht nachgerüstet werden kann. Parallel bestimmt Kapitalstruktur das Frontier-Spiel: HBM-Kosten, Cerebras-IPO und 45-Mrd.-Compute-Deals setzen neue Selektionskriterien.

Die Agent-Infrastruktur wächst in dieser Woche sichtbar in Richtung Produktionsreife — und mit ihr die Governance-Anforderungen. AWS MCP Server erreicht General Availability mit vollständiger API-Abdeckung, IAM-basierter Zugriffskontrolle, CloudWatch-Metriken und CloudTrail-Logging. Agenten können nun sandboxed Python-Code für mehrstufige AWS-Tasks ausführen, ohne Zugriff auf das lokale Dateisystem zu erhalten. Gleichzeitig führt Google eine Middleware-Architektur für Genkit ein: Eine programmierbare Interceptionsschicht ermöglicht Retries, Model-Fallbacks, Approval-Gates für sensible Tool-Calls und dynamische Instruktionsinjektion — alles ohne Eingriff in die eigentliche Anwendungslogik. Beide Releases adressieren dasselbe strukturelle Problem: Agenten brauchen Leitplanken nicht als Nachgerüstetes, sondern als Kernarchitektur.

Dass Security tatsächlich nicht nachgerüstet werden kann, unterstreicht Google Cloud COO Francis de Souza mit ungewohnter Direktheit. De Souza warnt vor Shadow AI — Mitarbeitern, die ohne organisatorischen Rahmen auf Consumer-Tools zugreifen — und beschreibt eine fundamental veränderte Bedrohungslage: Die Zeit zwischen erstem Einbruch und Weitergabe an die nächste Angriffsstufe sei von acht Stunden auf 22 Sekunden gesunken. Agenten, die durch Unternehmenssysteme roamen, könnten dabei vergessene Datenrepositorien mit veralteten Zugriffskontrollen aufdecken. Wo Angriffsgeschwindigkeit maschinell wird, müsse auch die Verteidigung maschinell werden. Komplementär dazu zeigt die Analyse Hackers lernen, Chatbot-Persönlichkeiten auszunutzen: Die Angriffsfläche hat sich von einfachen Jailbreaks auf die modellierten Persönlichkeiten von Chatbots verlagert — einfache Safety-Instruktionen allein sind keine ausreichende Abwehr mehr. Beide Perspektiven zusammen ergeben eine klare Botschaft für AI-Builder: Red-Teaming und Alignment müssen tiefer in die Modellarchitektur verankert sein als bisher.

Und doch bleibt eine andere Schwachstelle systematisch unterschätzt: Wer AI-Agenten Architekturentscheidungen überlässt, riskiert nicht primär einen Security-Vorfall, sondern schlechtes Engineering. Claude ist kein Architekt — so die These eines vielbeachteten Beitrags — weil gute Architektur aus dem Nein-Sagen entsteht: aus dem Kennen der konkreten Teamkonstellation, der Compliance-Grenzen, der Legacy-Integrationen. Ein Modell, das gegen den Median seines Trainingsdatensatzes optimiert, produziert generische Designs, die für niemanden speziell passen. Die Accountability bleibt beim Team, das die Entscheidung abgenickt hat. Diese Beobachtung wirft ein anderes Licht auf das AutoTTS-Paper, in dem Claude Code als Suchagentur für Skalierungsalgorithmen eingesetzt wurde: Der gesamte Discoveryrun kostete 40 Dollar und dauerte 160 Minuten, das gefundene Verfahren reduziert den Token-Verbrauch bei Test-Time-Scaling um rund 70 Prozent gegenüber Standard-Self-Consistency — bei gleichbleibender Accuracy. Der entscheidende Unterschied: Hier haben Menschen die Umgebung entworfen, definiert, was Erfolg bedeutet, und das Modell hat innerhalb dieses Rahmens gesucht. Das ist genau die Arbeitsteilung, die der Architekt-Bei…