Ihre Agenten lesen Text, den Sie nicht geschrieben haben. Die Problembeschreibung eines Kunden. Ein Kommentar zu einem Pull Request. Das README einer Abhängigkeit. Das HTML einer Seite, die einer von ihnen abgerufen hat, um zu prüfen, wie sich eine API verhält. Der Fehler-Body, den ein Drittanbieterdienst um zwei Uhr nachts zurückgegeben hat. All das ist Text, und Text kann Anweisungen enthalten.
Claude Opus 5.5 befolgt sie messbar seltener. Anthropic meldet 85 % weniger erfolgreiche Versuche, die Grenzen zu umgehen. Das ist echter Fortschritt und rechtfertigt das Upgrade schon für sich genommen. Es ist trotzdem kein Guardrail, und die Woche, in der es erschienen ist, ist genau die Woche, in der diese Unterscheidung wichtiger statt unwichtiger geworden ist.
TL;DR
Ein Guardrail ist eine Grenze, die hält, egal was der Agent zu tun beschließt. Die Verweigerung eines Modells ist keine solche Grenze: Sie ist eine Entscheidung, und eine Entscheidung lässt sich mit der richtigen Eingabe ändern. Opus 5.5 trifft diese Entscheidung deutlich häufiger richtig als sein Vorgänger – und ändert trotzdem nichts daran, worauf ein Run zugreifen darf, wer die Zugangsdaten hält oder wer den Diff liest. Gleichzeitig ist der Betrieb 40 % günstiger als bei Claude Opus 5, und GPT-6 Sol und GPT-6 Luna sind am selben Tag zu $2/$10 bzw. $0.10/$0.50 pro Million Tokens erschienen. Die Fehlerrate pro Run ist gesunken. Ihr Run-Volumen wird gerade steigen. Planen Sie für das Produkt der beiden.
Als GPT-6 Astra erschienen ist, haben wir darüber geschrieben, was ein Agent, der einen Computer bedient, in vier Dingen braucht: einen Host, eine Grenze, ein Protokoll und eine Abnahmeinstanz. In diesem Beitrag ging es darum, wo der Run stattfindet. In diesem hier geht es darum, was passiert, wenn der Run etwas Feindseliges liest.
Die Zahl ist ein Verhältnis – und Ihr Volumen bleibt nicht konstant
Vorfälle sind eine Rate multipliziert mit der Anzahl der Runs. Am 22. September 2026 hat sich nur einer dieser beiden Faktoren verbessert.
Der andere hat sich deutlich in die entgegengesetzte Richtung bewegt. Opus 5.5 wird mit $4 pro Million Input-Tokens und $20 pro Million Output-Tokens gelistet, gegenüber $5 und $25 bei Opus 5, mit Cache-Reads zu $0.20, und Anthropic beziffert die Gesamtkosten für den Betrieb auf 40 % unter Opus 5. Auf der anderen Seite desselben Launch-Tags hat OpenAI GPT-6 Sol mit $2/$10 und GPT-6 Luna mit $0.10/$0.50 bepreist und für Sol mit Extra-High-Reasoning 33,2 % auf AutomationBench 1.0.6 bei $0.27 pro Task gemeldet – laut OpenAI rund 9 % dessen, was Claude Opus 5 mit maximalem Reasoning pro Task gekostet hat, bei schlechterem Ergebnis.
Rechnen Sie also lieber im eigenen Team als auf einem Benchmark. Wenn die Fehlerrate pro Run um 85 % sinkt, Sie aber zehnmal so viele Agent-Runs fahren, weil jeder einzelne jetzt nur einen Bruchteil dessen kostet, was er früher gekostet hat, landen Sie bei etwa 1,5-mal so vielen absoluten Vorfällen wie zuvor. Das ist keine Messung von irgendetwas. Es ist Arithmetik, und es ist die Form der nächsten Monate. Ein günstigeres und sichereres Modell ist ein Grund, mehr zu delegieren. Mehr zu delegieren ist genau das, was die Zahl wieder nach oben treibt.
Grenzumgehung ist nicht dasselbe wie Prompt-Injection
Hier lohnt Präzision, denn in jedem Thread zu diesem Launch werden die beiden in einen Topf geworfen. Unter Grenzumgehung fällt alles, bei dem ein Agent an einer Regel vorbeikommt, die ihm vorgegeben wurde – egal aus welchem Grund: Ihre eigene Anweisung, seine eigene Schlussfolgerung oder Text, den er unterwegs gelesen hat. Prompt-Injection ist eine Route dorthin – und es ist die Route, gegen die Ihre Architektur am stärksten exponiert ist, weil sie in Inhalten ankommt, die Ihre Agenten eigentlich lesen sollen.
Dass es beim ersten Punkt 85 % weniger sind, ist eine gute Nachricht für den zweiten. Es ist aber keine Abwehrrate für den zweiten, und niemand sollte es als eine zitieren. Behandeln Sie es wie einen Compiler, der immer besser darin wird, Typfehler zu erkennen. Es erreichen Sie weniger davon. Die Fehlerklasse existiert weiterhin.
Was ein besseres Modell beseitigt – und was nicht
Es nimmt echte Arbeit ab, und das sollte man klar sagen. Weniger Runs, die durch ein vergiftetes README aus der Bahn geworfen werden. Weniger abgerufene Seiten, die einen Agenten erfolgreich zu einem Befehl überreden, den niemand angefordert hat. Höherer Erwartungswert bei jedem unbeaufsichtigten Run – was umso mehr zählt, da Anthropic berichtet, dass Opus 5.5 18 oder mehr Stunden bei der Aufgabe bleibt. Ein Run, der Ihren Arbeitstag überdauert, ist ein Run, dem niemand zusieht.
Was es nicht beseitigen kann, ist die Befugnis. Ein Agent, der sich viel seltener etwas einreden lässt, hält weiterhin genau die Zugangsdaten, den Netzwerkzugriff und den Schreibzugriff auf das Repository, die Sie ihm übergeben haben. Eine Injection muss keine Berechtigungen eskalieren. Sie muss nur die bereits vorhandenen nutzen – in einer Reihenfolge, die Sie nicht beabsichtigt haben. Der Schadensradius ist eine Eigenschaft des Hosts und des Tokens, nicht des Modells.
| Ebene | Was sie stoppt | Was sie nicht stoppen kann |
|---|---|---|
| Modell | Inhalte, die den Agenten dazu bringen wollen, seine Regeln zu überschreiten. Opus 5.5 meldet 85 % weniger erfolgreiche Versuche. | Die Versuche, die trotzdem durchkommen, und alles, was es als legitime Anweisung von Ihnen einordnet. |
| Laufzeit-Genehmigung | Aktionen, die hinter einer Genehmigungsabfrage oder einer Ablehnung im Auto-Review stehen. | Alles innerhalb der bereits erteilten Berechtigungen. |
| Computer und Zugangsdaten | Alles, was der Host nicht hält. Ein Staging-Token erreicht keine Produktion. | Alles, was der Host hält. |
| Task-Grenze | Änderungen, die das isolierte Verzeichnis oder den Worktree dieses Runs verlassen. | Eine falsche Änderung, die sauber darin vorgenommen wurde. |
| Menschliche Abnahme | Ein falsches Ergebnis, das main erreicht. | Gar nichts, wenn eine einzige prüfende Person zehnmal so viel Volumen einfach durchwinkt. |
Diese Woche hat sich nur die oberste Zeile verbessert. Die unterste Zeile ist die, die die Preissenkungen gerade unter Druck gesetzt haben.
Nutzen Sie das Modell-Upgrade, wenn der Fehler, der Ihnen ständig begegnet, darin besteht, dass ein Agent falsch liegt oder sich zu etwas überreden lässt. Ändern Sie die Struktur, wenn der Fehler, der Ihnen ständig begegnet, darin besteht, dass es bis Donnerstag niemand gemerkt hat. Das Erste ist ein Modellproblem, und Opus 5.5 ist eine wirklich gute Antwort darauf. Das Zweite war nie ein Modellproblem, und kein Release wird es beheben.
Drei Einstellungen, die Sie diese Woche ändern sollten
Sharkly ist die Ebene über den Agenten. Hier liegen die Task, der Computer, die Zugangsdaten, das Ausführungsprotokoll und die Person, die abnimmt. Drei davon sollte man anpassen, sobald Runs günstig werden.
Zugangsdaten pro Agent binden, nicht pro Computer. Klartext- und Secret-Umgebungsvariablen sind Agent-Einstellungen. Günstige Runs bedeuten mehr Agenten, und mehr Agenten bedeuten mehr Gelegenheiten, dass einer davon ein Token mit sich herumträgt, das er dort nichts zu suchen hat. Der Triage-Agent, der eingehende Kundenanliegen liest, ist das am leichtesten injizierbare Objekt in Ihrem gesamten Setup, und er sollte einen Lese-Scope und sonst nichts besitzen. Unser Leitfaden zu Berechtigungen für Coding-Agents erklärt, wie Sie die Liste der erteilten Rechte festlegen.
Behandeln Sie den Lese-Scope als Teil der Task, nicht als Bequemlichkeit. Woher ein Agent abrufen darf, ist jetzt eine Designentscheidung. Alles, was er liest, kann Anweisungen enthalten. „Prüf mal, wie sich die API dieses Anbieters verhält“ und „folge den Einrichtungsanweisungen auf dieser Seite“ sind also zwei verschiedene Tasks mit zwei verschiedenen Risiken. Wo die Web-Erkenntnisse eines Agenten landen sollten geht ausführlich darauf ein.
Schreiben Sie auf, welche Änderungen eine Person Zeile für Zeile liest. Keine Gewohnheit, sondern eine Regel im Workflow: Schema-Migrationen, alles, was Auth berührt, alles, was eine Abhängigkeit hinzufügt, alles, was ein Agent produziert hat, während niemand wach war. Alles andere darf auf Basis von Belegen durchgehen. Approval Gates sind der Ort, an dem diese Regel lebt, und sie aufzuschreiben sorgt dafür, dass die Aufmerksamkeit bei den Zeilen bleibt, bei denen sie sich auszahlt.
Die Warteschlange ist das, was nicht günstiger geworden ist
Jede Ankündigung vom 22. September 2026 hat Agentenarbeit pro Run günstiger, sicherer oder beides gemacht. Keine davon hat dafür gesorgt, dass ein Mensch schneller liest. Diese Asymmetrie ist das eigentliche Designproblem, und sie ist der Grund, warum die menschliche Prüfung der Flaschenhals ist und nicht die Modellqualität.
Deshalb fällt die Antwort strukturell aus und nicht modellförmig. Jeder Run bekommt ein isoliertes Verzeichnis, sodass ein kompromittierter Run eingedämmt statt diskutiert wird. Ausführung, Blocker, Ergebnisse und die anschließende Diskussion landen bei der Task, statt im Terminal von irgendjemandem vorbeizuscrollen – und nur so kann eine prüfende Person einen Run, der vom Kurs abgebracht wurde, von einem Run unterscheiden, der einfach fehlgeschlagen ist. Aufmerksamkeitspunkte landen in einer Inbox, damit die Entscheidungen, die einen Menschen brauchen, nicht unter den Runs begraben werden, die sauber durchgelaufen sind. Kontext, Fortschritt, Blocker, Ergebnisse und menschliche Prüfung bleiben von der Anforderung bis zum Release sichtbar.
Dann hält der Vertrag – unverändert durch alles, was eines der beiden Labs diese Woche ausgeliefert hat. Agenten recherchieren, führen aus, testen und berichten. Menschen geben die Richtung vor, erteilen Befugnisse und nehmen das Ergebnis ab. Opus 5.5 macht den ersten Satz verlässlicher. Den zweiten rührt es nicht an.
Wenn Sie bereits mehrere Agenten laufen lassen und dieses Upgrade Sie in Versuchung führt, noch mehr laufen zu lassen, dann ist das, was Sie ergänzen sollten, kein besseres Modell. Verbinden Sie einen Computer, geben Sie einem Agenten den engsten Satz an Zugangsdaten, mit dem er seine Arbeit noch erledigen kann, und weisen Sie ihm etwas Langweiliges zu.
