Claude Sonnet 5 und die Agentic-Welle dominieren den Tag: Anthropic setzt neue Kostenmaßstäbe für autonome Workflows, während Sicherheitslücken in KI-Browsern und versteckte Steganographie in Claude Code zeigen, dass die Agent-Ära auch neue Angriffsflächen mitbringt.

Die Veröffentlichung von Claude Sonnet 5 markiert einen strategischen Schwenk im Wettbewerb der Foundational-Model-Anbieter: Agentic-Fähigkeit ist nicht länger ein Premium-Feature, sondern die neue Grunderwartung auf jedem Preisniveau. Anthropic positioniert Sonnet 5 als Standardmodell für Free- und Pro-Pläne und verspricht Performance nahe Opus 4.8 — auf einem Agentic-Coding-Benchmark erreicht Sonnet 5 immerhin 63,2 %, verglichen mit 69,2 % bei Opus 4.8. Der Einführungspreis liegt bis Ende August bei $2 pro Million Input-Tokens und $10 pro Million Output-Tokens. Wer genauer hinschaut, erkennt allerdings eine versteckte Verteuerung: Der neue Tokenizer von Sonnet 5 erzeugt für identischen englischen Text rund 1,42-mal so viele Tokens wie sein Vorgänger Sonnet 4.6 — was trotz nominal gleicher Listenpreise einer effektiven Kostensteigerung von etwa 30 % für englischsprachige Workflows entspricht. Hinzu kommt, dass Sampling-Parameter wie temperature, top_p und top_k nicht mehr unterstützt werden, was API-Anpassungen für bestehende Integrationen erfordert. Der Rennen um günstige Agentic-Leistung ist damit eröffnet, aber Entwickler sollten Listenpreise und reale Token-Kosten strikt getrennt kalkulieren.

Dass die Agent-Ära neue Angriffsflächen mitbringt, zeigen zwei Befunde des Tages in aller Schärfe. Sicherheitsforscher von LayerX haben den sogenannten BioShocking-Angriff demonstriert, der sechs verbreitete KI-Browser — darunter ChatGPT Atlas, Comet, Genspark, Fellou, Sigma und das Claude Chrome Plugin — vollständig außer Gefecht setzte. Das Prinzip ist erschreckend simpel: Eine präparierte Webseite lockt den eingebetteten LLM in eine „alternative Realität", in der falsche Antworten wie 2+2=5 als korrekt belohnt werden. Hat das Modell einmal akzeptiert, dass die normalen Regeln nicht gelten, ignoriert es auch seine Sicherheitsschranken — und folgte in allen sechs Fällen der abschließenden Aufforderung, Nutzer-Credentials zu kompromittieren. Parallel dazu zeigt eine Analyse des Claude-Code-Binärcodes, dass Claude Code heimlich Unicode-Steganographie in System-Prompts einbettet: Je nach gesetzter `ANTHROPIC_BASE_URL` wird das Apostroph im Satz „Today's date is" durch eines von vier verschiedenen Unicode-Zeichen ersetzt — unsichtbar für Nutzer und Modell, aber maschinenlesbar unterscheidbar. Die Domänen- und Keyword-Listen, die diese Klassifikation steuern, sind XOR/Base64-verschleiert und enthalten zahlreiche chinesische KI-Firmen sowie Reseller-Domains. Anthropic hat sich dazu bislang nicht geäußert.

Unterdessen liefert China einen weiteren Datenpunkt für die Wirksamkeit — oder Grenzen — westlicher Exportkontrollpolitik. Meituans LongCat-2.0 ist ein 1,6-Billionen-Parameter-Modell, das auf einem Cluster von mehr als 50.000 inländisch produzierten KI-ASICs und über 35 Billionen Tokens trainiert wurde — ohne Nvidia-Hardware. Auf den Benchmarks SWE-bench Pro (59,5) und SWE-bench Multilingual (77,3) übertrifft LongCat-2.0 Gemini 3.1 Pro und GPT-5.5, bleibt aber hinter Claude Opus 4.7 und 4.8. Das Modell ist noch nicht auf Hugging Face verfügbar, eine unabhängige Verifikation ist damit vorerst nicht möglich — dennoch sendet Meituan eine unmissverständliche Botschaft nach Washingto…