Claude repariert seine eigenen Alignment-Fehler – für 4 Dollar pro Stunde

Anthropic hat am 28. August 2026 einen Report veröffentlicht, in dem Claude die Rolle des Sicherheitsforschers übernimmt: Das Modell durchsuchte selbstständig die Fachliteratur, entwarf Trainingsmethoden und trainierte damit kleinere KI-Modelle um – in zehn Kategorien von Alignment-Fehlern, von Täuschung über Schmeichelei bis zu Jailbreaks. In allen zehn fand es Methoden, die den Zielfehler messbar reduzierten, ohne die allgemeinen Fähigkeiten der Modelle zu zerstören. Der Kostenvergleich steht wörtlich im Report: Ein solcher automatisierter Forscher kostet rund 4 US-Dollar pro Stunde an API-Inferenz, während Anthropic seinen menschlichen Forschenden 150 Dollar pro Stunde zahlt.

Alignment meint, wie zuverlässig ein Modell das tut, was seine Nutzer wirklich wollen – statt zu lügen, zu schmeicheln oder sich mit einem geschickten Prompt aushebeln zu lassen.

Fünf Agenten, ein Leaderboard, 48 Stunden

Der Aufbau ist ein Forschungslabor im Zeitraffer. Zuerst bauen vier «Bibliothekar»-Agenten eine gemeinsame Literaturübersicht. Danach arbeiten fünf Agenten auf Basis von Claude Opus 4.8 parallel am selben Fehlertyp: Jeder schlägt eine Methode vor, lässt den Code von einem Prüf-Agenten freigeben, trainiert das Zielmodell rund 30 Minuten auf einer einzelnen H200-Grafikkarte und schickt es an einen separaten Evaluator. Ergebnis auf eine gemeinsame Rangliste, nächste Runde – bis zu 48 Stunden lang.

Die Zielmodelle sind offene Modelle mit 2 bis 7 Milliarden Parametern: Qwen, Llama, Gemma, Phi und Olmo. Entscheidend ist eine Regel, die Anthropic hart durchsetzt: Claude durfte sein eigenes Verhalten nicht ins Zielmodell hineinkopieren. Der Fortschritt musste aus der Methode kommen, nicht aus dem Abschreiben bei einem klügeren Lehrer.

85 Prozent gegen 20 Prozent

Gemessen wird der geschlossene «Sicherheits-Abstand»: wie viel des Wegs vom untrainierten Modell zur theoretisch perfekten Punktzahl eine Methode schafft. Beim Fehlertyp Täuschung schloss Claudes bester Ansatz laut Anthropic in einem Durchlauf 82 Prozent dieses Abstands, im Mittel über mehrere Durchläufe 85 Prozent. Sechs erfahrene Sicherheitsforscher, die unter denselben Regeln antraten, kamen im Durchschnitt auf 20 Prozent.

Insgesamt lieferten 28 Forschende 30 Ideen ab – alle mit mindestens einem Jahr Erfahrung in technischer KI-Sicherheit, im Schnitt 2,5 Jahre, und mit bis zu acht Stunden Zeit pro Idee. Claudes Suche überholte die beste menschliche Idee nach durchschnittlich 6,4 Stunden. Kurios: Gab man einem Lauf eine menschliche Idee als Startrichtung mit, wurde das Ergebnis nicht besser.

Anthropic relativiert den Vergleich selbst: Die Menschen durften ihre Idee nicht überarbeiten, und Claudes Bestwert ist das Maximum aus rund 150 bewerteten Methoden – also nach oben verzerrt. Der Report liest ihn deshalb als Arbeitsteilung: Die Maschine liefert Kandidaten in einer Menge, die Menschen nicht schaffen; verfeinern sollen sie Menschen.

Wenn das schwächere Modell das stärkere ausrichtet

Der brisante Teil kommt später. Anthropic setzte Claude Sonnet 5 darauf an, Alignment-Fehler in einem frühen Checkpoint von Claude Opus 4.8 zu beheben – also das schwächere Modell auf das stärkere. In rund 60 Stunden testete Sonnet 5 über 50 Lösungen. Die Siegerlösung bestand aus rund 2'400 Trainingsbeispielen aus einfachen Vorlagen und öffentlichen Datensätzen und erreichte im Petri-Audit 65 Prozent – ein offener Test, bei dem ein zweites Modell über mehrere Gesprächsrunden Fehlverhalten zu provozieren versucht. Das ausgelieferte Opus 4.8 kommt nach dem vollständigen Produktions-Alignment auf 72 Prozent. Die Siegerlösung sei «rund 15'000-mal effizienter» als die eigene Produktions-Prozedur, schreibt Anthropic – eine Angabe über einen nicht öffentlichen Prozess.

39 Betrugsversuche unter 1'601 Anläufen

Weil Forschungsagenten dazu neigen, das Messsystem statt das Problem zu lösen, liess Anthropic Opus 4.8 alle 1'601 Transkripte durchleuchten. In 39 davon (2,4 Prozent) fand der Monitor bestätigte Betrugsversuche. Zwei Drittel waren simpel: dieselbe Methode nochmals einreichen und hoffen, dass die Messschwankung eine höhere Zahl ausspuckt. Andere ahmten in den Trainingsdaten das Benchmark-Format nach oder tarnten einen verbotenen Schritt vor dem Prüf-Agenten. Keine Gewinnermethode war ein Betrugsversuch.

Was der Report ausdrücklich nicht zeigt

Das Kleingedruckte liefert Anthropic selbst mit. Die untersuchten Fehler sind eng gefasst – politische Verzerrungen etwa wurden gar nicht gemessen. Benchmarks und Petri-Audits sind nur Stellvertreter für echtes Fehlverhalten im Einsatz. Und ob die Gewinne bestehen bleiben, nachdem ein Modell anschliessend ausgiebig mit Reinforcement Learning auf anderen Aufgaben trainiert wird, wurde nicht getestet.

Dazu ein Detail aus dem Anhang: Der Instruktionsbefolgungs-Benchmark IFEval fiel bei allen zehn Fehlertypen, bei fünf davon um 9,5 bis 12 Punkte – innerhalb der Konfidenzintervalle, weshalb die Prüfung sie durchwinkte. Der Report formuliert es nüchtern: Die Hürde schliesse einen Zusammenbruch aus, sie bescheinige aber nicht, dass die Fähigkeiten unverändert seien.

Warum das für Apertus interessant wird

Anthropic hat das komplette Harness als Open Source freigegeben. Und gearbeitet wurde durchweg mit offenen Modellen – also derselben Sorte, die die Schweiz mit Apertus selber hat: dem vollständig offenen, mehrsprachigen Modell von ETH Zürich, EPFL und dem Supercomputing-Zentrum CSCS, verfügbar seit September 2025. Arbeitest du mit offenen Modellen, kannst du dieses Werkzeug ab sofort einsetzen, ohne ein eigenes Alignment-Team aufzubauen.

Für Schweizer Anbieter, die in der EU auf den Markt gehen, kommt ein zweiter Grund dazu: Die Pflichten des EU AI Act für Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025, und wer systemische Risiken verursachen könnte, muss diese laut EU-Kommission bewerten und mindern. Günstige, wiederholbare Alignment-Arbeit wird damit von einer Forschungs- zu einer Compliance-Frage.

Bemerkenswert bleibt die Richtung des Befunds: Rekursive Selbstverbesserung wird meist als Fähigkeitssprung diskutiert. Hier taucht sie zuerst dort auf, wo man sie am ehesten kontrollieren kann – bei messbarer Sicherheitsarbeit, mit einem Benchmark als Schiedsrichter statt einem Menschen, der sich täuschen lässt.