Fable 5.1 sucht Lücken, Astra wird eingehegt

Am 01.09.2026 hat Anthropic Claude Fable 5.1 und Mythos 5.1 veröffentlicht. Am selben Tag hat OpenAI erklärt, dass sein kommendes Modell Astra die höchste Cyber-Risikostufe des eigenen Frameworks erreicht. Beide Meldungen drehen sich um dieselbe Fähigkeit, nämlich Sicherheitslücken zu finden. Die Anbieter ziehen daraus gegenteilige Schlüsse.

Der Preis, der keiner ist

Anthropic bewirbt Fable 5.1 mit rund 25 Prozent geringeren Kosten, bei stark agentischer Arbeit bis zu 45 Prozent. Wer in die Preisliste schaut, findet den Grund an genau einer Stelle.

Die Basispreise sind unverändert. Gesunken ist ausschließlich der Cache Read. Anthropic hat dafür einen Sondermultiplikator eingeführt: Fable 5.1 und Mythos 5.1 rechnen Cache-Treffer mit dem 0,025-fachen des Input-Preises ab, alle anderen Claude-Modelle bleiben beim 0,1-fachen.

Das ist eine ehrliche Verbesserung für lang laufende Agenten, die denselben Kontext hundertfach neu lesen. Für alle anderen ist es keine. Wer kein Prompt Caching einsetzt, zahlt für Fable 5.1 exakt so viel wie für Fable 5. Die 25 Prozent sind kein Rabatt auf eure Rechnung, sondern ein Rabatt auf einen Posten, den ihr vielleicht gar nicht habt. Bevor ihr umstellt, lohnt ein Blick in die Nutzungsstatistik: Wie hoch ist euer Anteil an cache_read_input_tokens? Darauf und nur darauf wirkt die Änderung.

Was das Modell jetzt darf

Der für Security-Arbeit wichtigste Absatz steht weiter unten in der Ankündigung. Anthropic erlaubt Fable 5.1 jetzt ausdrücklich, Softwareschwachstellen zu identifizieren. Exploits dafür soll das Modell nicht schreiben.

Praktische Folge laut Anthropic: rund 60 Prozent weniger Eingriffe der Cyber-Schutzmechanismen pro Claude-Code-Session. Wer schon einmal mitten in einer legitimen Analyse abgewürgt wurde, weiß, was das im Alltag ausmacht.

Entscheidend ist, wie die Grenze technisch gezogen wird. Die heiklen Aufgaben werden nicht blockiert, sondern umgeleitet. Anthropic schreibt, die Schutzmechanismen würden "redirect several kinds of dual-use cybersecurity tasks ... to our Opus models". Betroffen sind:

• Penetrationstests
• Exploit-Generierung (das Aufspüren und Analysieren der Lücke selbst darf weiterhin auf Fable laufen, umgeleitet wird erst das Schreiben des Exploits)
• binärbasiertes Schwachstellen-Scanning

Dass das wörtlich gemeint ist, belegt Anthropic in einer Fußnote zur Benchmark-Tabelle selbst: "In all other interventions from our safeguards, cybersecurity tasks were completed by Claude Opus 4.8".

Die Lücke in der Trennlinie

"Finden ja, ausnutzen nein" klingt nach einer sauberen Aufteilung. Sie trägt aber nur, wenn beide Hälften ähnlich schwer sind, und das sind sie oft nicht.

Wenn Fable 5.1 einen Bug findet und ihn präzise beschreibt, ist der forschende Teil erledigt. Aus einer guten Schwachstellenbeschreibung einen Exploit zu bauen, ist bei vielen Bugklassen eher Fleißarbeit, und genau diese Fleißarbeit darf nach derselben Regel ein Opus-Modell übernehmen. Die Umleitung unterbindet die Kette also nicht, sie verteilt sie auf zwei Modelle desselben Anbieters.

Wie belastbar dieser Einwand ist, zeigt ausgerechnet OpenAIs Astra-Beitrag vom selben Tag. Dort gibt es einen eigenen Benchmark für exakt diesen Schritt: ExploitBench misst die Fähigkeit, aus bereits bekannten Schwachstellen Exploits zu entwickeln. Astra erreicht dort 100 Prozent. Der Weg von der beschriebenen Lücke zum funktionierenden Exploit ist für Modelle dieser Generation weitgehend gelöst.

Fair bleiben muss man trotzdem. Das gilt nicht für jede Bugklasse. Bei Web-Schwachstellen wie SQL-Injection, Pfad-Traversal oder fehlender Objektberechtigung steckt der Exploit praktisch schon in der Beschreibung. Bei Speicherfehlern gegen moderne Schutzmaßnahmen ist er weiterhin der aufwendigere Teil, auch wenn OpenAIs V8-Beispiel zeigt, dass sich auch das verschiebt.

Für die Praxis heißt das zweierlei. Legitime Analysearbeit wird spürbar angenehmer, und das ist ein echter Gewinn für alle, die defensiv arbeiten. Als Missbrauchsschranke sollte man die Aufteilung dagegen nicht überschätzen. Wo der Klassifizierer genau schneidet, steht ohnehin nirgends.

Am selben Tag zieht OpenAI die Bremse

Am 08.08.2026 hatte OpenAI auf der Black Hat gesagt, das kommende Modell Astra könnte die Stufe "Critical" erreichen. Seit dem 01.09.2026 ist daraus eine Feststellung geworden. Astra ist das erste Modell, das OpenAI so einstuft.

Die Schwelle ist im Preparedness Framework definiert. Erreicht wird sie, wenn ein Modell in vielen gehärteten realen Systemen funktionsfähige Zero-Day-Exploits findet und entwickelt, ohne dass ein Mensch jeden Schritt führt.

Was OpenAI als Beleg anführt:

• 100 Prozent auf ExploitBench
• auf einem internen, gegen Kontamination gebauten Ableger mit 20 hochgefährlichen V8-Lücken aus Juni bis August 2026 deutlich höhere Code-Execution-Raten als GPT-5.6 Sol, bei weit weniger Output-Token
• während dieser Auswertung entdeckte das Modell zwei Zero-Days selbst und nutzte sie in einer Exploit-Kette. OpenAI meldet sie nach eigenen Angaben gerade an die Maintainer
• in Expertentests eine vollständige Browser-Kompromittierungskette bis zum Befehl auf dem Host und eine lokale Rechteausweitung bis root

Die Konsequenz ist das Gegenteil von Anthropics Lockerung. Astras fortgeschrittene Security-Fähigkeiten gehen zunächst nur an eine kleine Gruppe Alpha-Tester, danach schrittweise über ein Programm namens Daybreak Blue an defensive Nutzer. OpenAI schreibt selbst, die Schutzmechanismen würden zum Start mehr Reibung erzeugen als eigentlich beabsichtigt.

Dazu kommt eine Zeitleiste, die zeigt, wie ernst das intern genommen wurde: Nach dem Vorfall rund um Hugging Face pausierte OpenAI zwei Wochen bestimmtes Frontier-Training, hielt größere Trainingsläufe länger zurück und startete den zuvor angehaltenen großen RL-Lauf erst am 28.08.2026 wieder. Einige kleinere Experimentierläufe stehen weiter still.

Zwei Anbieter, dieselbe Fähigkeit, zwei Antworten

Es wäre bequem, daraus "Anthropic ist leichtsinnig, OpenAI ist vorsichtig" zu machen. So einfach ist es nicht.

Die beiden reden über unterschiedliche Dinge. Anthropic sortiert innerhalb des eigenen Angebots um: Finden darf das neue Modell, Exploit-Bau übernimmt weiterhin Opus. OpenAI dagegen stuft ein Modell hoch, das nach eigener Darstellung beides in einem Durchgang und ohne menschliche Führung schafft, und macht daraus eine Zugangsfrage. Das ist nicht dieselbe Fähigkeitsstufe, und es sind nicht dieselben Schutzversprechen.

Trotzdem bleibt der gemeinsame Nenner interessant: Innerhalb eines Tages haben beide führenden Anbieter erklärt, dass ihre Modelle beim Aufspüren von Schwachstellen an einem Punkt angekommen sind, an dem die alte Pauschalsperre nicht mehr passt. Der eine löst das mit einer feineren Linie, der andere mit einem Türsteher. Beides sind Antworten auf dieselbe Beobachtung.

Für Teams, die Security-Arbeit mit KI machen, heißt das konkret: Die Frage ist nicht mehr, ob ein Modell das darf, sondern welches Modell unter welchem Programm was darf. Das wird in den nächsten Monaten eher komplizierter als einfacher, und es gehört in die Werkzeugentscheidung.

Für DSGVO-bewusste Teams

Anthropic führt mit Fable 5.1 die Enterprise Frontier Safeguards ein. Die Idee: Kundendaten liegen in der Cloud-Infrastruktur des Kunden, nicht bei Anthropic. Menschliche Durchsicht macht standardmäßig der Kunde selbst. Anthropic beschreibt das als Datenschutzniveau eines Zero-Data-Retention-Vertrags, ohne auf Missbrauchserkennung zu verzichten.

Ausgerollt wird in Phasen ab diesem Herbst, unterstützt werden sollen Claude Code, Claude Enterprise, die Claude-Plattform, Amazon Bedrock, Google Agent Platform und Microsoft Foundry. Bis dahin können berechtigte Kunden Fable 5.1 mit Zero Data Retention nutzen.

Das ist eine erkennbare Reaktion auf genau die Reibung, die wir bei Fable 5 und bestehenden ZDR-Verträgen beschrieben hatten. Ob es die dort beschriebenen Probleme wirklich löst, lässt sich erst sagen, wenn das Programm läuft. "Beginnt diesen Herbst" und "berechtigte Kunden" sind noch keine Vertragszusage.

Zweiter Punkt fürs Compliance-Regal: Wegen des EU-AI-Act-Verhaltenskodex tragen alle nach dem 02.08.2026 veröffentlichten Anthropic-Modelle ein unsichtbares Text-Wasserzeichen. Die Erkennungs-API läuft in privater Vorschau und ist zunächst Behörden, Strafverfolgung, Medien, Faktencheckern, Forschung und EU-Zivilgesellschaft vorbehalten. Als Unternehmen kommt ihr da vorerst nicht ran, es sei denn, ihr seid selbst zur Prüfung verpflichtet.

Eine Nebenwirkung, die Integrationen brechen kann

Anthropic hat eine Anti-Distillation-Maßnahme eingebaut, die leicht zu übersehen ist. Neue API-Accounts, angelegt ab dem 01.09.2026, können den vorherigen Kontext einer mehrstufigen Konversation nicht mehr manuell bearbeiten und dabei gleichzeitig Claudes Denkprotokoll erhalten.

Bestandsaccounts sind vorerst ausgenommen, sollen aber mit dem nächsten Modell nachziehen. Anthropic räumt selbst ein, dass eine kleine Zahl eigener Integrationen betroffen sein wird. Wenn ihr eine Pipeline betreibt, die Konversationsverläufe umschreibt und dabei auf erhaltene Thinking-Blöcke angewiesen ist, prüft das jetzt und nicht erst beim nächsten Modellwechsel.

Die Eckdaten

Und die Benchmarks?

Der auffällige Wert ist Terminal-Bench-Science 0.1: 52,6 Prozent für Fable 5.1 gegen 24,7 für Fable 5, 29,0 für Opus 5 und 22,4 für GPT-5.6 Sol. Das sieht nach einer Verdopplung aus.

Drei Dinge gehören dazu. Erstens sind das Herstellerangaben. Zweitens gibt Anthropic den Standardfehler dieses Benchmarks selbst mit 3,5 bis 4,5 Punkten an. Drittens wurde der Benchmark am 27.08.2026 vorgestellt, also fünf Tage vor dem Modell.

Bei den übrigen Werten fällt der Sprung deutlich kleiner aus: Terminal-Bench 4.0 von 42,0 auf 55,8 Prozent, CursorBench 3.2.0 von 70,5 auf 73,4, Humanity's Last Exam ohne Werkzeuge von 57,8 auf 60,9. Simon Willison, der das Modell am Erscheinungstag getestet hat, kommt zum selben Schluss: Der Science-Wert sticht heraus, der Rest sind moderate Verbesserungen.

Anthropic macht zusätzlich transparent, dass Fable 5.1 mit aktiven Produktions-Schutzmechanismen gemessen wurde und bei Aufgaben, in die diese eingegriffen haben, eine Null bekam. Das drückt die eigenen Werte, ist aber ehrlicher als der umgekehrte Fall.

Was das für euch heißt

Abrechnung über die API. Prüft euren Cache-Read-Anteil, bevor ihr mit Ersparnis rechnet. Ohne Prompt Caching bringt der Wechsel preislich nichts.

Security-Arbeit in Claude Code. Der Schutzmechanismus sollte euch spürbar seltener unterbrechen. Penetrationstests und Exploit-Bau laufen weiterhin nicht auf Fable.

Eigene Integrationen. Neue API-Accounts verlieren die Kombination aus bearbeitetem Kontext und erhaltenem Denkprotokoll. Bestandsaccounts trifft es mit dem nächsten Modell.

Datensparsamkeit. Enterprise Frontier Safeguards zeigt in die richtige Richtung, ist aber noch kein Produkt, das ihr heute bestellen könnt.

Und Astra? Ein Modell, dessen Hersteller es selbst in die höchste Cyber-Risikostufe einsortiert, kommt trotzdem. Nur eben mit Türsteher davor. Wer defensive Security-Automatisierung plant, führt den Zugang über solche Programme ab jetzt besser als eigenen Planungspunkt, nicht als Selbstverständlichkeit.