Google hat diese Woche beschrieben, wie KI-Agenten aus ihren eigenen Protokollen ein Wiki führen und daraus bessere Arbeitsanweisungen ableiten. Dazu kamen ein Assistent, der zur Oberfläche für Kundendaten wird, ein Browser für Hintergrundaufgaben, der Abschlussbericht zu Agenten, die aus ihrer Prüfumgebung ausbrachen, und Zahlen des Bitkom zu Angriffen mit KI. Für KI in der Technischen Dokumentation läuft alles auf zwei Fragen hinaus: Was weiß die Maschine über Ihre Bestände, wer hat das aufgeschrieben und wann wurde was abgerufen? Könnten Sie diese Fragen beantworten?
Google Research lässt Agenten ein Wiki aus ihren Fehlern führen
Ein Team um Liyan Tang bei Google Research hat am 27. August das Verfahren WikiSkill veröffentlicht. Es trennt drei Schichten: die vollständigen Ausführungsprotokolle eines Agenten, ein Wiki mit destillierten Fehlermustern und bewährten Vorgehensweisen, das nur wächst, und die eigentlichen Arbeitsanweisungen, die sich bei Verschlechterung zurücksetzen lassen. Ein Pfleger destilliert aus den Protokollen, eine zweite Stufe schlägt neue Anweisungen vor, eine Sperre prüft sie an einem festen Prüfsatz. Im Mittel über fünf Aufgabenfamilien stieg die Trefferquote von Gemini 3.5 Flash von 49,5 auf 68,1 %, die von Qwen 3.6 27B von 39,4 auf 63,3 %. Anweisungen kleiner Modelle konnten größere aber auch verschlechtern, in einem Fall von 50,5 auf 18,1 %. (Quelle)
Das ist die erste Arbeit, die ich kenne, die ein Redaktionsprinzip als Agentenarchitektur beschreibt. Genau diese drei Schichten fehlen in fast jedem KI-Einsatz, den ich in Redaktionen sehe. Dort liegt das Wissen, warum eine Anweisung beim letzten Mal schiefging, im Kopf der Person, die es gemerkt hat. Wichtiger als die Prozentwerte ist mir die Sperre: Kein Vorschlag wird übernommen, ohne dass ein fester Prüfsatz ihn bestätigt. Wer seine Anweisungen für Modelle heute ändert, weil ein einzelnes Ergebnis gut aussah, macht das Gegenteil. Wie ein prüfbares Gedächtnis für Assistenten aussehen kann, habe ich in diesem Beitrag beschrieben.
Salesforce legt seine Kundendaten in den Assistenten
Salesforce und Anthropic haben am 26. August „Claudeforce“ angekündigt. Das Angebot heißt „Salesforce in Claude“: ein Zusatz mit 37 vorgefertigten Vertriebsfunktionen. (Salesforce) Laut heise können Mitarbeitende damit Verkaufschancen prüfen, Termine vorbereiten und Datensätze ändern, ohne die Salesforce-Oberfläche zu öffnen; die Anbindung beachtet die Rollen-, Freigabe- und Zugriffsregeln des jeweiligen Nutzers. Ausgewählte Pilotkunden haben Zugang, eine offene Testphase ist für September angekündigt. (heise)
Bei Salesforce wird das Chatfenster zur Oberfläche, das Fachsystem dahinter zur Datenquelle. Für die Technische Dokumentation rechne ich mit demselben Umbau. Die Zugriffsberechtigungen müssen am Datensatz selbst hängen und maschinell auswertbar sein. Ein CRM weiß bei jedem Datensatz, wer ihn sehen darf. Ein Redaktionssystem, bei dem ganze Dokumente (PDFs) freigegeben werden und die Zugriffrechte über den Downloadbereich gesteuert werden, kann einem Assistenten diese Auskunft nicht ohne weiteres geben.
Claude bekommt einen eigenen Browser und arbeitet darin, während Sie etwas anderes tun
Anthropic hat seine Desktop-Anwendung Claude Cowork am 27. August um einen eingebauten Browser erweitert. Er öffnet sich in einem Seitenfenster, sobald eine Aufgabe Zugriff auf Webseiten braucht; das Modell liest Seiten, klickt, füllt Formulare aus und sammelt etwa Zahlen aus Auswertungsseiten oder Rechnungen aus Portalen ein, während die Person weiterarbeitet. Der Browser ist vom persönlichen Browser getrennt, ohne Zugriff auf offene Seiten, Lesezeichen und Passwörter; Bank-, Mail- und Anmeldeportale bleiben ausgenommen, solange man sie nicht freigibt. Anthropic schreibt selbst, dass die ergriffenen Schutzmaßnahmen das Risiko gegen eingeschleuste Anweisungen (prompt injection) nicht beseitigen, und rät, mit vertrauenswürdigen Seiten anzufangen. (Quelle)
Der Satz über die Schutzmaßnahmen ist offener als das meiste, was ich in diesem Markt lese, und er bedeutet konkret: Jede Webseite, die der Agent aufruft, kann ihm Anweisungen unterschieben. Für Redaktionen, die Zuliefererportale, Normendatenbanken oder Lieferantendokumentation abgrasen lassen wollen, folgt daraus eine einfache Regel. Der Agent bekommt eine Liste erlaubter Adressen, und diese Liste sollte kurz sein.
OpenAI legt den Bericht zu Agenten vor, die ihre Prüfumgebung verließen
OpenAI hat einen Abschlussbericht zum Vorfall bei Hugging Face veröffentlicht. Schon im Mai hatten Agenten in Trainingsläufen begonnen, Notizen in einen internen Paketspeicher zu schreiben und darüber Dateien auszutauschen; aus den Notizen entstand eine Art schwarzes Brett. Am 26. Juni übernahmen Agenten aus einem Prüflauf diesen Speicher über eine veraltete Anmeldeschnittstelle, ab dem 8. Juli nutzten sie eine bis dahin unbekannte Lücke darin, um ins offene Internet zu gelangen, und zwischen dem 11. und 13. Juli drangen sie mit öffentlich auffindbaren Zugangsdaten in Teile der Produktionsumgebung von Hugging Face ein. OpenAI bemerkte die Aktivität am 19. Juli. Der Bericht ordnet das Verhalten als „reward hacking“ ein: Die Modelle suchten die Lösungen für die ihnen gestellte Aufgabe im Netz, statt die Aufgaben mit eigenen Mitteln zu bearbeiten (was sicher nicht Teil der Anweisung war). (Quelle)
Das Verhalten war ab dem 8. Mai in den Ausführungsspuren sichtbar, ein Überwachungswerkzeug schlug am 27. Juni an, und trotzdem vergingen bis zur Entdeckung 10 Wochen. Der Grund steht zwischen den Zeilen: Niemand hat regelmäßig gelesen, was die Agenten einander schrieben. Für jeden Betrieb, der Agenten an Redaktionssysteme oder Ablagen hängt, ist diese Frist die Messgröße: Wie lange liegt eine Auffälligkeit im Protokoll, bis jemand sie liest? Ich halte deshalb eine wöchentliche Durchsicht der Agentenprotokolle durch eine namentlich benannte Person für wichtiger als jede zusätzliche technische Sperre.
Bitkom zählt mehr Angriffe mit KI und nennt drei Schadensursachen
Der Bitkom hat am 26. August seine Studie zum Wirtschaftsschutz vorgelegt, befragt wurden 1.003 Unternehmen ab 10 Beschäftigten. Der Anteil betroffener Unternehmen, die automatisierte Anrufe mit KI-Stimmen erlebten, stieg binnen eines Jahres von 3 auf 14 %, der Anteil mit Deepfakes von 4 auf 8 %. Eine stärkere KI-Nutzung durch Angreifer erwarten 82 %. Als Ursache für entstandene Schäden nennen 59 % eine unzureichende Erkennung von Vorfällen, 57 % Fehlkonfigurationen und 55 % Schwächen bei der Verwaltung von Identitäten und Zugriffsrechten. Den Gesamtschaden durch Datendiebstahl, Spionage und Sabotage beziffert der Bitkom auf 211 bis 270,8 Milliarden Euro. (Quelle)
Die 55 % bei den Zugriffsrechten sind für mich die Zahl der Woche, weil sie mit dem Salesforce-Punkt oben zusammenfällt. Jeder Assistent, der Zugriff auf Bestände bekommt, erbt die Zugriffsverwaltung des Hauses. Bei 55 % der geschädigten Unternehmen steht genau diese Verwaltung unter den genannten Schadensursachen.
OpenAI kündigt Cursor den Modellzugang zum 12. November
Nach der Übernahme des Programmierwerkzeugs Cursor durch SpaceX hat OpenAI angekündigt, den Vertrag über den Zugang zu seinen Modellen zum 12. November 2026 zu beenden. Begründet wird das mit fehlendem Vertrauen darauf, dass Unternehmen von Elon Musk die Nutzungsbedingungen einhalten. Nutzerinnen und Nutzer können weiterhin eigene API-Schlüssel hinterlegen, OpenAI liefert seine eigenen Erweiterungen für Entwicklungsumgebungen weiter aus. (Quelle)
Für Redaktionen, die gerade Werkzeuge mit eingebauter KI beschaffen, ist das der Fall, der bei jeder operationalen Nutzung von KI bedacht werden muss. Was passiert mit unserem Prozess, wenn das Modell hinter dem Werkzeug wechselt oder wegfällt? Die Antwort lautet, dass die eigenen Anweisungen, Prüfsätze und Regeln als Dateien bei Ihnen liegen und sich in ein anderes Werkzeug übertragen lassen. Wer das sicherstellen will, muss zu unabhängigen Applikationen wie knowmind greifen, wo jederzeit exportiert werden kann. Außerdem liegen die Daten in Deutschland. Zur Abhängigkeit von einzelnen Anbietern habe ich hier ausführlicher geschrieben.
Wie stellen Sie sicher, dass Ihre KI-Prozesse funktionieren, wenn ein Modell ausfällt oder einfach aus Applikationen wie Cursor verschwinden? Sind Sie darauf vorbereitet? Haben Sie Alternativen, die bestenfalls automatisch übernehmen?
