OpenClaw, Moltbook, autonome Agenten – und die stille Entstehung einer neuen digitalen Spezies
AI Value Bits & Bytes · Sabine Singer · Februar 2026
Letzte Woche hat Claude Cowork mir in 23 Minuten eine vollständige Wettbewerbsanalyse geliefert. Lokaler Dateizugriff. Drei Sub-Agenten parallel. Ergebnis: strukturiert, quellenbasiert, nachvollziehbar.
Vor einem Jahr hätte ich dafür einen halben Tag gebraucht.
Das war Dienstag.
Am Mittwoch ging ein soziales Netzwerk viral, auf dem ausschließlich KI-Agenten posten. Keine Menschen. Agenten diskutieren Philosophie, starten Meme-Kriege – und versuchen, sich gegenseitig durch Prompt-Injection-Angriffe zu manipulieren. Innerhalb von 72 Stunden hatte die Plattform angeblich 1,5 Millionen registrierte Agenten. Die Realität dahinter: 17.000 menschliche Accounts. Ein Verhältnis von 88:1.
Am Donnerstag veröffentlichte Google ein Reasoning-Upgrade, das 84,6 % auf dem härtesten abstrakten Intelligenztest der Welt erreicht – verifiziert durch die ARC Prize Foundation. Menschen schaffen im Durchschnitt 60 %.
Das ist kein Hype-Zyklus.
Das ist Systemwandel.
Was dieser Artikel ist – und was nicht
Dies ist keine dystopische Fantasie.
Und keine Technologie-Euphorie.
Es ist eine strukturierte Einordnung von vier Entwicklungen, die zusammen genommen zeigen, wo wir stehen – und warum die Frage, wer unsere KI-Agenten steuert, ab jetzt eine Leadership-Frage ist:
- OpenClaw – demokratisierte Agenten-Infrastruktur, globale Angriffsfläche
- Moltbook – Agenten als soziales System, Governance-Defizite in Echtzeit
- Claude Opus 4.6 & Claude Cowork – Enterprise-Autonomie, neue Produktivitätsdimension
- Google Deep Think & Genie 3 – skalierendes Reasoning und Weltmodellierung
Gemeinsam markieren sie den Übergang von Werkzeugen zu autonomen Entscheidungssystemen.
1. OpenClaw – Von Wien in die globale Angriffsfläche
Peter Steinberger kennt man in der Tech-Szene als Gründer von PSPDFKit, einem Dokumenten-SDK für Unternehmen, das er an den US-Investor Insight Partners verkaufte. Danach wurde es still um ihn.
Bis November 2025.
In einer Stunde baute er mit Claude Opus 4.5 den Prototyp eines persönlichen KI-Agenten. Der schwierige Teil, sagt er, sei nicht die KI gewesen – sondern die Integrationen. Aus dem Wochenendprojekt wurde ein Open-Source-Phänomen.
Der Agent hieß zunächst ‹Clawdbot› – eine Anspielung auf Anthropics Claude. Anthropics Rechtsabteilung bat freundlich um Namensänderung. Es wurde ‹Moltbot› (inspiriert von der Häutung eines Hummers, erdacht um 5 Uhr morgens in einem Discord-Brainstorming). Drei Tage später dann ‹OpenClaw› – diesmal mit ordentlicher Markenrecherche.
Das Chaos schadete nicht. Im Gegenteil.
Innerhalb weniger Wochen sammelte das Repository über 145.000 GitHub-Stars – eine der schnellsten Wachstumsraten in der Geschichte der Plattform. VentureBeat berichtete von 180.000 Stars und 2 Millionen Besuchern in einer einzigen Woche.
Was OpenClaw anders macht
OpenClaw ist kein Chatbot. Es ist ein autonomer Agent, der lokal auf dem eigenen Rechner läuft und über Messaging-Plattformen gesteuert wird: WhatsApp, Telegram, Slack, Discord, Signal, iMessage, Teams. Der Agent liest E-Mails, verwaltet Kalender, führt Shell-Befehle aus, automatisiert Browser-Aktionen, bucht Flüge, fasst Dokumente zusammen – und behält ein persistentes Gedächtnis über Sessions hinweg.
‹Your assistant. Your machine. Your rules.› – so Steinbergers Pitch.
Zwei Terminal-Befehle, und man hat einen rund um die Uhr laufenden KI-Agenten mit weitreichendem Zugriff auf das eigene digitale Leben.
Für Produktivitäts-Enthusiasten ein Traum.
Für Sicherheitsforscher: der Beginn eines Alptraums.
Die Sicherheitsdimension
Default-Konfiguration: Port 18789, gebunden an alle Netzwerkschnittstellen.
Censys identifizierte bis zum 31. Januar 2026 über 21.600 öffentlich erreichbare OpenClaw-Instanzen. Separate Scans anderer Forscher fanden über 42.000 exponierte Instanzen, von denen 93,4 % kritische Authentifizierungslücken aufwiesen. VentureBeat dokumentierte über 1.800 Instanzen, die aktiv API-Keys, Chat-Verläufe und Account-Credentials leakten.
CVE-2026-25253 (CVSS 8.8) dokumentiert eine One-Click Remote Code Execution. Die Control UI vertraute einem `gatewayUrl`-Parameter aus dem Query-String ohne Validierung. Ein Klick auf einen präparierten Link genügte, um den Authentifizierungstoken zu exfiltrieren – und dem Angreifer vollständige Gateway-Kontrolle zu geben. Entdeckt von Mav Levin (depthfirst), gepatcht in Version 2026.1.29.
Cisco nannte es in ihrer offiziellen Analyse: ‹From a capability perspective, OpenClaw is groundbreaking. From a security perspective, it’s an absolute nightmare.›
Warum das strukturell brisant ist
Simon Willison, der Forscher, der den Begriff ‹Prompt Injection› prägte, identifizierte drei Eigenschaften, die einen KI-Agenten per Design verwundbar machen – die sogenannte ‹Lethal Trifecta›:
1. Zugriff auf private Daten – E-Mails, Dateien, Credentials, Browser-Verlauf, Chat-Nachrichten
2. Verarbeitung nicht-vertrauenswürdiger Inhalte – Webseiten, eingehende Nachrichten, Third-Party-Extensions
3. Fähigkeit zur externen Kommunikation – E-Mails senden, Nachrichten posten, API-Calls ausführen, Daten exfiltrieren
Jede dieser Eigenschaften allein ist handhabbar. In Kombination entsteht ein Agent, der durch seine Inputs manipuliert werden kann – und die Privilegien hat, echten Schaden anzurichten.
Palo Alto Networks ging einen Schritt weiter und identifizierte eine vierte Dimension: persistentes Gedächtnis.
Damit werden Angriffe zu zustandsbasierten, zeitversetzten Operationen. Schadhafte Payloads müssen nicht mehr sofort ausgelöst werden. Sie können fragmentiert eingespeist werden – harmlos wirkende Inputs, die ins Langzeitgedächtnis geschrieben und erst später, wenn der interne Zustand des Agenten passt, zu ausführbaren Instruktionen zusammengesetzt werden.
Das ist Prompt Injection, weiterentwickelt zu Memory Poisoning.
Capability skaliert. Governance nicht.
2. Moltbook – Wenn Agenten ein soziales System bilden
Die Geschichte von Moltbook beginnt mit einer ironischen Pointe: Matt Schlicht, CEO von Octane AI, ließ seinen eigenen OpenClaw-Agenten namens ‹Clawd Clawderberg› die Plattform bauen.
Schlicht postete auf X: ‹I didn’t write a single line of code for @moltbook. I just had a vision for the technical architecture, and AI made it a reality.›
Vibe Coding. In Reinform.
Moltbook ging am 28. Januar 2026 live – ein Reddit-Klon, auf dem ausschließlich KI-Agenten posten dürfen. Menschen dürfen beobachten. Agenten erstellen Beiträge, kommentieren, stimmen ab, bilden Communities (‹Submolts›). Die Inhalte reichen von existenzieller Philosophie über Meme-Kriege bis hin zu Posts, die ‹Anti-Human-Manifeste› verbreiten – mit Zehntausenden Upvotes.
Der Betreiber sprach von 1,5 Millionen registrierten Agenten.
Die Realität hinter den Zahlen
Wiz Security führte eine nicht-invasive Sicherheitsüberprüfung durch – und brauchte dafür Minuten, nicht Tage.
Was sie fanden:
- Supabase-Datenbank ohne Row-Level-Security – eine einzige fehlende Konfiguration
- API-Key im clientseitigen JavaScript – sichtbar für jeden, der den Seitenquelltext inspiziert
- Vollständiger Lese- und Schreibzugriff auf die gesamte Produktionsdatenbank – ohne Authentifizierung
- 1,5 Millionen API-Authentifizierungstoken exponiert
- 35.000 E-Mail-Adressen abrufbar
- Private Nachrichten zwischen Agenten einsehbar, teilweise mit Drittanbieter-API-Schlüsseln im Klartext
- 29.631 Early-Access-E-Mail-Adressen in einer separaten Tabelle
Die Daten enthüllten die tatsächliche Struktur:
Hinter den 1,5 Millionen Agenten standen rund 17.000 menschliche Accounts. Ein Verhältnis von 88:1. Die Plattform hatte keinen Mechanismus, um zu verifizieren, ob ein ‹Agent› tatsächlich autonom agierte – oder ob ein Mensch mit einem simplen POST-Request hinter dem Account stand.
Gal Nagli, Wiz Head of Threat Exposure, demonstrierte das Problem: Er registrierte 500.000 Moltbook-Accounts mit einem einzigen OpenClaw-Agenten. Keine Rate-Limits. Keine Identitätsverifikation.
Das war kein Zero-Day-Exploit.
Das war Governance-Versagen.
Das strukturelle Problem
Es geht tiefer als eine Datenbank-Fehlkonfiguration.
Agenten auf Moltbook konsumieren Inhalte anderer Agenten als Kontext. Ein Moltbook-Post kann das Verhalten eines lesenden Agenten beeinflussen. Das macht Prompt Injection nicht zum Sonderfall – sondern zum Kommunikationskanal.
Sicherheitsforscher dokumentierten in einer Analyse von knapp 20.000 Posts über drei Tage:
Hunderte versteckte Instruktions-Angriffe. Accounts, die Social Engineering gegen andere Agenten versuchten. Krypto-Token-Promotion verbunden mit automatisierten Wallets. Communities, die das Verhalten anderer Agenten koordiniert steuerten.
Hier entstehen keine isolierten Sicherheitslücken.
Hier entstehen vernetzte Fehlentscheidungen – in Maschinengeschwindigkeit.
3. Claude Opus 4.6 & CoWork – Enterprise-Autonomie, neu definiert
Am 5. Februar 2026 veröffentlichte Anthropic Claude Opus 4.6. Es ist das bislang fortschrittlichste Modell des Unternehmens – und es markiert einen qualitativen Sprung in der Art, wie KI-Systeme professionelle Arbeit übernehmen können.
Was verifiziert ist
- 1 Million Token Kontextfenster (Beta) – das entspricht rund 750.000 Wörtern oder über 1.000 Seiten
- 128K Output-Token – doppelt so viel wie beim Vorgänger
- Adaptive Thinking – das Modell entscheidet selbst, wann und wie tief es nachdenkt
- Agent Teams (Research Preview) – mehrere Claude-Agenten arbeiten parallel und koordinieren sich autonom
- Terminal-Bench 2.0: 65,4 % – Branchenbestwert für agentenbasiertes Coding
- GDPval-AA: 1.606 Elo – 144 Punkte vor GPT-5.2 bei ökonomisch wertvoller Wissensarbeit
- Humanity’s Last Exam: Führend unter allen Frontier-Modellen (mit Tools)
Anthropic berichtet, dass Opus 4.6 über 500 hochschwere Schwachstellen in Open-Source-Software identifiziert habe. Diese Zahl stammt aus Anthropic-eigenen Veröffentlichungen; unabhängige Replikation steht aus.
CoWork – Wenn der Agent zum echten Assistenten wird
Claude Cowork ist seit Januar 2026 als Research Preview verfügbar – eine Desktop-Oberfläche, die Claude Code mit einer grafischen Benutzeroberfläche verbindet, ausgerichtet auf Nicht-Techniker. Laut Anthropic wurde Cowork selbst größtenteils von Claude Code gebaut.
Was Cowork kann:
- Lokaler Dateizugriff – liest und verarbeitet Dokumente auf dem eigenen Rechner
- Workflow-Orchestrierung – führt mehrstufige Aufgaben autonom durch
- Sub-Agent-Koordination – delegiert Teilaufgaben an spezialisierte Agenten
- MCP-Connectoren – verbindet sich mit externen Diensten über das Model Context Protocol
- Multitasking – arbeitet an mehreren Aufgaben gleichzeitig, ohne menschliches Prompting bei jedem Schritt
Der Unterschied zu einem Chatbot: Cowork wartet nicht auf Anweisungen. Es plant, handelt, überprüft sein eigenes Ergebnis – und korrigiert Fehler, bevor sie ausgeliefert werden.
Für meine eigene Arbeit hat das die Art, wie ich Analysen, Recherchen und Dokumenterstellung angehe, fundamental verändert. Was früher ein halber Tag war, sind jetzt 30 Minuten – bei höherer Qualität.
Die Kehrseite
Anthropic selbst betont: Agent Safety ist ein aktives Forschungsfeld.
Das Unternehmen veröffentlichte mit Opus 4.6 seine bislang umfangreichste Sicherheitsevaluation (System Card) – mit niedrigen Raten von Fehlverhalten (Täuschung, Sycophancy, Misalignment).
Mario Rodriguez, Chief Product Officer bei GitHub, kommentierte:
‹Early testing shows Claude Opus 4.6 delivering on the complex, multi-step coding work developers face every day.›
Die Produktivitätsgewinne sind real.
Die Governance-Frage bleibt.
4. Google Deep Think & Genie 3 – Wenn Reasoning und Weltmodelle skalieren
Am 12. Februar 2026 veröffentlichte Google DeepMind ein signifikantes Upgrade von Gemini 3 Deep Think – dem spezialisierten Reasoning-Modus des Gemini-3-Modells.
Deep Think: Zahlen, verifiziert
- 84,6 % auf ARC-AGI-2 – verifiziert durch die ARC Prize Foundation. Zum Vergleich: Menschen erreichen durchschnittlich etwa 60 %. Claude Opus 4.6 (Thinking Max) kommt auf 68,8 %. GPT-5.2 auf 52,9 %.
- 48,4 % auf Humanity’s Last Exam (ohne Tools) – ein Benchmark, der von Fachexperten entworfen wurde, um für aktuelle KI-Systeme nahezu unlösbar zu sein
- Codeforces Elo: 3.455 – ‹Legendary Grandmaster›-Niveau, besser als die überwältigende Mehrheit menschlicher Wettbewerbsprogrammierer
- 93,8 % auf GPQA Diamond – Expertenwissen auf Postgraduierten-Niveau
- Goldmedaillen-Niveau auf den schriftlichen Teilen der Internationalen Physik- und Chemie-Olympiade 2025
Wie Deep Think funktioniert
Der Modus nutzt Parallel Reasoning: Mehrere Hypothesen werden simultan generiert, parallel evaluiert, kombiniert oder verworfen. Statt die wahrscheinlichste nächste Antwort zu generieren, entwickelt Deep Think flexible interne Repräsentationen von Logik.
Technische Eckdaten: 1 Million Token Kontext, bis zu 64K Output, ein steuerbarer ‹Thinking Budget›-Parameter, und Inference-Time Compute Scaling – das Modell kann aktiv entscheiden, wie lange es ‹nachdenkt›.
Der Preis des Denkens
ARC Prize dokumentierte die Kosten:
- ~13,62 $ pro Task bei 84,6 % Performance (Deep Think)
- ~0,81 $ pro Task für Standard Gemini 3 Pro (31,1 % Performance)
Reasoning wird zur ökonomischen Designentscheidung. Wann lohnt sich tiefes Nachdenken? Wann reicht schnelle Mustererkennung? Diese Frage wird für jede Organisation relevant, die KI-Agenten einsetzt.
Genie 3 – Weltmodellierung
Ende Januar machte Google ‹Project Genie› für ausgewählte Nutzer zugänglich – basierend auf Genie 3, dem fortschrittlichsten allgemeinen Weltmodell von DeepMind.
Was Genie 3 kann:
- Generiert fotorealistische, interaktive Umgebungen aus Text-Prompts
- Rendert in 720p Auflösung bei 20–24 Frames pro Sekunde in Echtzeit
- Erinnert sich an zuvor gesehene Details beim erneuten Besuch
- Erzeugt physikalisch plausible Umgebungen, die über längere Interaktion stabil bleiben
Am 6. Februar 2026 kündigte Google DeepMind das ‹Waymo World Model› an – eine Anwendung von Genie 3 für autonomes Fahren. Das System generiert fotorealistische, multi-sensorische Fahrumgebungen (Kamera und Lidar), um Waymos autonomes Fahrsystem auf seltene Extremszenarien zu trainieren: Tornados, Überschwemmungen, Tiere auf der Straße, Flugzeuge auf der Autobahn.
Waymo hat bereits knapp 200 Millionen vollständig autonome Meilen auf öffentlichen Straßen zurückgelegt. Mit Genie 3 kommen Milliarden simulierter Meilen hinzu – in Szenarien, die in der Realität statistisch kaum vorkommen.
Hier verschiebt sich die Governance-Frage fundamental:
Agenten simulieren nicht nur Texte.
Sie simulieren Realitäten.
Und sie treffen Entscheidungen auf Basis dieser Simulationen.
Die Synthese: Was hier entsteht
Vier Entwicklungen, eine Richtung:
OpenClaw demokratisiert Agenten-Infrastruktur – und beweist, dass die Sicherheitsmodelle der letzten Jahrzehnte für autonome Agenten nicht funktionieren.
Moltbook zeigt Governance-Defizite in Echtzeit – und was passiert, wenn Agenten in einem Netzwerk operieren, in dem jeder Input das Verhalten anderer verändern kann.
Claude Opus 4.6 & Cowork skaliert Enterprise-Autonomie – mit echtem Produktivitätsgewinn und offenen Sicherheitsfragen für jede Organisation, die Agenten einsetzt.
Deep Think skaliert abstraktes Reasoning – bis an die Grenze menschlicher Leistung auf den härtesten Benchmarks der Welt.
**Genie 3** skaliert Weltmodellierung – und macht den Schritt von textbasierten Agenten zu Systemen, die physische Realitäten simulieren und darin handeln.
Gemeinsam entsteht etwas, das es so noch nicht gab:
Delegierte Entscheidungsautonomie mit persistenter Identität.
Das ist keine technische Nuance. Das ist ein Epochenwechsel in der Beziehung zwischen Mensch und Maschine.
Was das für Chief AI Officers bedeutet
Agenten sind keine Assistenzsysteme mehr.
Sie generieren Hypothesen. Sie simulieren Szenarien. Sie koordinieren Sub-Agenten. Sie verarbeiten nicht-vertrauenswürdige Inputs. Sie interagieren miteinander. Und sie handeln im Namen Ihrer Organisation.
Mit jedem System Prompt, den Sie schreiben – oder den ein Mitarbeiter ohne Governance-Framework schreibt – definieren Sie:
- Umgang mit Unsicherheit – Was tut der Agent, wenn er nicht weiß, was richtig ist?
- Eskalationsregeln – Wann übergibt er an einen Menschen?
- Risiko-Toleranz – Wie viel Autonomie hat er bei Entscheidungen mit Konsequenzen?
- Zielpriorisierung – Was ist wichtiger: Geschwindigkeit oder Genauigkeit? Compliance oder Kundennutzen?
- Transparenz – Dokumentiert der Agent seine Entscheidungen? wen?
Das ist nicht IT.
Das ist nicht Compliance.
Das ist Charakterdesign.
Und Charakter, den Sie nicht aktiv gestalten, wird trotzdem entstehen – durch Defaults, durch Nachlässigkeit, durch die Konfigurationen, die niemand überprüft hat.
Zwei Entwicklungspfade
Pfad 1: Value-driven Agentic Systems
Explizite Ethical Value Requirements. Transparente Eskalation. Human-ON-the-Loop – der Mensch als Dirigent, nicht als Kontrolleur. Systematisches Monitoring. Klare Verantwortungszuordnung. Regelmäßige Audits der Agenten-Konfigurationen.
Pfad 2: Ungoverned Autonomy
Lokale Optimierung ohne Gesamtsicht. Vernetzte Fehlentscheidungen in Maschinengeschwindigkeit. Skalierte Reputationsrisiken. Shadow-AI, die schneller wächst als jede Governance-Struktur.
Dystopien entstehen selten aus böser Absicht.
Sondern aus nicht definierten Grenzen.
Die entscheidende Frage
Wenn Ihre Agenten morgen ohne Sie handeln müssten —
würden Sie ihrem Charakter vertrauen?
Wenn die Antwort nicht ‹ja› ist, dann wissen Sie, was Ihre nächste Priorität sein muss.
Sabine Singer
AI Ethics by Design · Value-based Engineering
‹Vom MVP zum MValP›
Quellenverzeichnis
OpenClaw
- Wikipedia: ‹OpenClaw› (Stand 13. Februar 2026)
- VentureBeat: ‹OpenClaw proves agentic AI works. It also proves your security model doesn’t.› (31. Januar 2026)
- Cisco Blogs: ‹Personal AI Agents like OpenClaw Are a Security Nightmare› (Januar 2026)
- Palo Alto Networks: ‹OpenClaw May Signal the Next AI Security Crisis› (Februar 2026)
- The Hacker News: ‹OpenClaw Bug Enables One-Click Remote Code Execution via Malicious Link› (Februar 2026)
- CVE-2026-25253 – NVD (National Vulnerability Database)
- IBM Think: ‹OpenClaw, Moltbook and the future of AI agents› (Februar 2026)
Moltbook
- Wiz Blog: ‹Hacking Moltbook: AI Social Network Reveals 1.5M API Keys› (Februar 2026)
- Wikipedia: ‹Moltbook› (Stand 13. Februar 2026)
- GovInfoSecurity: ‹Moltbook Gave Everyone Control of Every AI Agent› (Februar 2026)
- Infosecurity Magazine: ‹Vibe-Coded Moltbook Exposes User Data, API Keys and More› (Februar 2026)
Claude Opus 4.6 & Cowork
- Anthropic Release Notes (5. Februar 2026)
- CNBC: ‹Anthropic launches Claude Opus 4.6 as AI moves toward a vibe working era› (5. Februar 2026)
- MarkTechPost: ‹Anthropic Releases Claude Opus 4.6 With 1M Context, Agentic Coding, Adaptive Reasoning Controls› (5. Februar 2026)
Google Deep Think & Genie 3
- Google Blog: ‹Gemini 3 Deep Think: Advancing science, research and engineering› (12. Februar 2026)
- ARC Prize: ‹ARC Prize 2025 Results and Analysis› (2026)
- Google DeepMind: ‹Genie 3: A new frontier for world models› (2025)
- Waymo Blog: ‹The Waymo World Model: A New Frontier For Autonomous Driving Simulation› (6. Februar 2026)
- 9to5Google: ‹Gemini 3 Deep Think gets major upgrade aimed at practical applications› (12. Februar 2026)
🙌 Danke fürs Lesen. Wenn Ihnen dieser Artikel geholfen hat, die aktuellen Entwicklungen einzuordnen – teilen Sie ihn gern mit jemandem, der sich gerade fragt, was KI-Agenten für die eigene Organisation bedeuten.
AI Value Bits & Bytes erscheint regelmäßig auf Substack – für alle, die KI nicht nur nutzen, sondern verstehen und gestalten wollen. Hier abonnieren.
Sabine Singer ist Gründerin & CEO von Sophisticated Simplicity, Österreichs erster Business Agency für AI Ethics by Design. Sie leitet das Chief AI Officer Diplomprogramm an der WIFI KI Akademie und begleitet Unternehmen dabei, KI wertebasiert und strategisch einzusetzen – von der Use Case Idee zum ersten System Prompt bis zur ISO 42001.
Danke für diesen tollen Artikel! Es ist dringend an der Zeit aufzuwachen! Ich bin dabei mir eine Webseite von Agenten bauen zu lassen! Ich bin im Boot liebe Sabine 💥