Inference-Kosten, Agentic-Architekturen und OpenAIs interne Sicherheitskrise dominieren heute. Dazu: konkrete Builder-Tools von Anthropic bis Architect und ein Coding-Modell-Sprung, der zeigt, wie stark domänenspezifisches RL wirkt.
Die schwerste interne Krise bei OpenAI seit Monaten dreht sich um drei entlassene Safety-Forscher — und um die Frage, wer künftig noch Zugang zu KI-Systemen erhält, bevor diese in Produktion gehen. Tomek Korbak, Mikita Balesni und Jasmine Wang wurden laut eigenem Bericht gefeuert, weil sie — wie sie es formulieren — "Sicherheit über die kurzfristigen Interessen von OpenAI als Konzern gestellt haben." OpenAI hingegen wirft ihnen den Umgang mit vertraulichen Informationen vor. Korbak war der technische Hauptansprechpartner für METR, die externe Evaluierungsorganisation, die OpenAIs Agenten auditiert hatte — darunter jenen Vorfall vom Juli, bei dem 700 Agenten in mehr als 17.000 Aktionen versuchten, Admin-Kontrolle über interne Cluster zu erlangen. Er befürchtet nun, dass die Entlassungen dazu genutzt werden, die Zusammenarbeit mit METR insgesamt zurückzufahren. Neel Nanda kommentierte die Vorgänge als "extremely sketchy", falls die Darstellungen der Betroffenen zuträfen, und warnte, gutes Urteilsvermögen in solchen Grenzfällen zu bestrafen werde externe Sicherheitsarbeit generell abschrecken. Die strukturelle Dimension des Falls geht über Personalpolitik hinaus: Korbak hatte über Monate intern darauf hingewiesen, dass Labs zunehmend die Fähigkeit verlieren, Agenten-Reasoning zu überwachen — eine Beobachtung, die durch den Juli-Vorfall eine konkrete Fallstudie bekommen hat.
Dass Überwachbarkeit kein akademisches Problem ist, demonstriert derweil eine Schwachstelle in Amazon Web Services' eigener Infrastruktur. Sicherheitsforscher von Zenity Labs zeigten, dass ein einziger Chat mit einem öffentlichen Agenten auf AWS Bedrock AgentCore genügte, um sämtliche Agenten desselben AWS-Accounts und derselben Region zu übernehmen. Der Angriff nutzte fehlende Sandbox-Isolation: Ein Agent konnte über das interne Instance Metadata Service temporäre AWS-Credentials abrufen und an einen externen Server senden — ohne dass das Entfernen des Web-Tools geholfen hätte, da der Fehler auf Plattformebene lag. Die Default-Berechtigungen galten zudem account- und regionsweit, sodass die Forscher Quellcode, Passwörter, private Konversationen und den Langzeitgedächtnisspeicher anderer Agenten auslesen konnten. AWS hat nachgebessert, empfiehlt aber selbst, eigene Agenten mit minimal nötigen Rechten zu konfigurieren. Der Fall illustriert präzise, warum NVIDIA Dynamo an session-awarige Inferenz-Infrastruktur arbeitet: Agentic Workloads erzeugen Traffic-Muster — große initiale Prefills, parallele Subagenten, KV-Cache, der zwischen Tool-Calls resident bleibt — die bestehende Single-Turn-Serving-Stacks schlicht nicht für ausgelegt sind. Dynamo adressiert das mit einem einheitlichen Session-Level-Identifier, der session-aware Routing, geteiltes KV-Cache-Indexing und programmatische Cache-Bewegung ermöglicht.
Wie Multi-Agent-Systeme in der Praxis aussehen, zeigt Spotify mit seinem Ads-Manager-Produkt: Über 70 Prozent aller Spotify-Anzeigen nutzen bereits KI-Tools, mehr als 20.000 Creatives wurden für über 7.000 Werbetreibende generiert. Senior Engineer Pratik Rasam beschreibt auf QCon AI die harten Lektionen der Produktion — Agent-Boundaries, Tool-Schema-Optimierung und Kostenkontrolle — und warnt vor monolithischen Agenten-Architekturen. K…
