Anthropic hat Agentenautonomie gemessen – und sich gegen Genehmigungspflichten ausgesprochen

Am 18. Februar 2026 veröffentlichte das Societal Impacts-Team von Anthropic „Measuring AI agent autonomy in practice“ – eine Analyse von 998.481 Tool-Aufrufen, die über seine öffentliche API erfolgten, sowie von 500.000 interaktiven Claude-Code-Sitzungen – und schloss den Beitrag mit einer an Gesetzgeber gerichteten Empfehlung: Aufsichtsregeln sollten keine bestimmten Interaktionsmuster vorschreiben, einschließlich der Vorgabe, dass ein Mensch jede Aktion eines Agenten genehmigen muss. Der Beitrag ist ein Forschungsbericht und kein Antrag, doch er ist im Incident-Archiv als Policy-Eintrag verzeichnet – Angaben zum Schweregrad, Konfidenz A, kein dokumentierter Schaden, nicht umstritten –, weil ein Modellanbieter seine eigenen First-Party-Telemetriedaten nutzte, um zu argumentieren, dass ein verbreitetes regulatorisches Design „Reibung erzeugen wird, ohne zwangsläufig Sicherheitsvorteile zu bringen“. Der vollständige Eintrag mit seiner Primärquelle und Klassifizierung befindet sich im Orca AI Incident Archive, zusammen mit den übrigen Governance-Einträgen der Reihe.

Der Bericht listet zwanzig namentlich genannte Mitwirkende auf, darunter Miles McCain, Thomas Millar, Saffron Huang, Alex Tamkin, Jack Clark und Deep Ganguli. Er stützt sich auf Clio, Anthropics datenschutzfreundliches Analysetool, das dem Beitrag zufolge dem Unternehmen ermöglicht, echten Kundenverkehr zu untersuchen, ohne die zugrunde liegenden Gespräche zu lesen. Diese Methodik ist der Kern des Beitrags: Jede Zahl im Folgenden ist eine Messung dessen, was Menschen mit Agenten getan haben, nicht dessen, was ein Benchmark darüber aussagt, wozu Agenten in der Lage sind.

Was Anthropic gemessen hat – und wie

Anthropic definiert einen Agenten als „ein KI-System, das mit Tools ausgestattet ist, die es ihm ermöglichen, Aktionen auszuführen“ – Code ausführen, externe APIs aufrufen, anderen Agenten Nachrichten senden. Die Definition legt die Analyseeinheit fest. Statt zu versuchen, die Agentenarchitektur jedes einzelnen Kunden zu rekonstruieren, die das Unternehmen nach eigener Aussage nicht einsehen kann, zählte es einzelne Tool-Aufrufe und den Kontext um sie herum.

Die beiden Datenquellen tauschen Breite gegen Tiefe. Der öffentliche API-Traffic verschafft Anthropic Sichtbarkeit über Tausende Kunden hinweg, allerdings nur auf der Ebene isolierter Tool-Aufrufe; das Unternehmen sagt, es habe „keine verlässliche Möglichkeit, unabhängige Anfragen an unsere API zu ‚Sitzungen‘ agentischer Aktivität zusammenzufassen“. Claude Code liefert vollständige Sitzungen – was einen Stopp ausgelöst hat, wie lange Claude gearbeitet hat, wann ein Mensch eingegriffen hat –, ist aber ein einzelnes Produkt, das überwiegend für Software-Engineering genutzt wird. Autonomie-Befunde stammen überwiegend aus Claude Code; Risiko- und Domänen-Befunde stammen aus der API-Stichprobe.

Die Turn-Dauer – die verstrichene Zeit zwischen dem Beginn und dem Ende von Claudes Arbeit – ist der Näherungswert, den das Papier für Autonomie heranzieht. Anthropic betont ausdrücklich, dass dieser Näherungswert unvollkommen ist: Schnellere Modelle und parallele Subagenten verkürzen die Turns, ehrgeizigere Aufgaben verlängern sie, und die Nutzerbasis hat sich zwischen Januar und Mitte Februar 2026 etwa verdoppelt, wodurch sich die Zusammensetzung der Stichprobe ändert.

Die Zahlen, die der Bericht zu Protokoll gibt

Dies sind die Zahlen, die Anthropic veröffentlicht, so wie der Bericht sie angibt.

Der Turn von Claude Code im 99,9-Perzentil hat sich nahezu verdoppelt – von unter 25 Minuten Ende September 2025 auf über 45 Minuten Anfang Januar 2026.

• Der mediane Turn blieb bei etwa 45 Sekunden, schwankte zwischen 40 und 55 Sekunden, und nahezu jedes Perzentil unter dem 99. war stabil.

• Innerhalb von Anthropic hat sich die Erfolgsquote von Claude Code bei den schwierigsten Aufgaben interner Nutzer zwischen August und Dezember 2025 verdoppelt, während die durchschnittlichen menschlichen Eingriffe pro Sitzung von 5,4 auf 3,3 zurückgingen.

• Neue Nutzer mit weniger als 50 Sitzungen nutzten in rund 20 % der Sitzungen die vollständige automatische Genehmigung; bei 750 Sitzungen stieg dieser Anteil auf über 40 %.

• Unterbrechungen verliefen in die andere Richtung: Nutzer mit rund 10 Sitzungen unterbrachen Claude in 5 % der Turns, erfahrene Nutzer in etwa 9 %.

• Claude Code bat bei den komplexesten Aufgaben mehr als doppelt so häufig um Klärung wie bei Aufgaben mit minimaler Komplexität, und bei diesen schwierigsten Aufgaben hielt es mehr als doppelt so oft inne, um nachzufragen, als Menschen es unterbrachen.

• In der API-Stichprobe stammten 80 % der Tool-Aufrufe von Agenten, die offenbar mindestens eine Schutzmaßnahme aufwiesen, bei 73 % schien ein Mensch in den Entscheidungsprozess eingebunden zu sein, und 0,8 % schienen irreversibel zu sein, etwa das Versenden einer E-Mail an einen Kunden.

• Auf Software-Engineering entfielen nahezu 50 % der API-Tool-Aufrufe; kein anderer Bereich überschritt wenige Prozentpunkte.

Der Befund, den Anthropic {{1}}als Deployment-Overhang{{/1}} bezeichnet

Der Anstieg im Tail verläuft über die Modellveröffentlichungen hinweg gleichmäßig. „Wäre Autonomie ausschließlich eine Funktion der Modellfähigkeit, würden wir bei jeder neuen Markteinführung deutliche Sprünge erwarten“, argumentiert der Beitrag; die Stetigkeit deute daher darauf hin, dass Vertrauen mit Erfahrung wächst, schwierigere Aufgaben in Angriff genommen werden und das Produkt besser wird. Seine Schlussfolgerung lautet, dass bestehende Modelle „zu mehr Autonomie fähig sind, als sie in der Praxis ausüben“ – eine Lücke, die der Bericht als Deployment Overhang bezeichnet.

Anthropic stellt dem externe Fähigkeitstests gegenüber und verweist auf METRs Schätzung, dass Claude Opus 4.5 bei einer Erfolgsquote von 50 % Aufgaben abschließen kann, für die ein Mensch fast fünf Stunden bräuchte, während sein eigener Claude-Code-Turn im 99,9-Perzentil etwa 42 Minuten beträgt. Dann relativiert Anthropic den Vergleich wieder: METR misst Aufgabenschwierigkeit in einer idealisierten Umgebung ohne menschliches Eingreifen, während die Turn-Dauer die verstrichene Zeit in einem Deployment misst, in dem Claude pausiert und Nutzer unterbrechen. Eine Fußnote ist unmissverständlich: „Wir versuchen nicht, über diese Metriken hinweg Schlussfolgerungen zu ziehen.“ Die Gegenüberstellung ist illustrativ, kein gemessener Multiplikator, und sollte nicht als solcher zitiert werden.

Das Paradoxon der Aufsicht im Zentrum der Argumentation

Erfahrene Nutzer genehmigen weniger und unterbrechen häufiger. Anthropic deutet dieses Paar als eine Veränderung der Aufsichtsstrategie und nicht als deren Aufgabe: Neueinsteiger genehmigen jeden Schritt und müssen Claude daher selten mitten in der Ausführung stoppen, während erfahrene Nutzer Claude arbeiten lassen und eingreifen, wenn etwas schiefgeht. Die API-Daten zeigen in dieselbe Richtung — 87 % der Tool-Aufrufe bei Aufgaben mit minimaler Komplexität beinhalteten irgendeine Form menschlicher Beteiligung, gegenüber 67 % bei Aufgaben mit hoher Komplexität.

Der Bericht räumt offen ein, dass andere Erklärungen Bestand haben. In seiner eigenen Fußnote heißt es, erfahrene Nutzer versuchten womöglich einfach schwierigere Aufgaben, die Standardeinstellungen von Claude Code drängten neue Nutzer zu einer auf Genehmigung basierenden Aufsicht, und Software lasse sich ungewöhnlich gut überwachen, weil die Ausgabe getestet und überprüft werden könne; in Bereichen, in denen die Prüfung der Arbeit eines Agenten dieselbe Expertise erfordert wie ihre Erstellung, könne dieser Wandel „langsamer verlaufen oder eine andere Form annehmen“.

Das politische Argument und was es fordert

Anthropics Empfehlungen fallen in drei Gruppen. Modell- und Produktentwickler sollten in die Überwachung nach dem Deployment investieren, denn Evaluierungen vor dem Deployment können nicht sehen, wie Menschen tatsächlich mit Agenten interagieren. Modellentwickler sollten Modelle so trainieren, dass sie ihre eigene Unsicherheit erkennen und sichtbar machen – eine Eigenschaft, die laut Bericht „externe Schutzmaßnahmen wie menschliche Genehmigungsprozesse und Zugriffsbeschränkungen ergänzt“. Produktentwickler sollten Aufsicht ermöglichen – Sichtbarkeit darüber, was der Agent tut, plus einfache Möglichkeiten, ihn umzuleiten.

Der an politische Entscheidungsträger gerichtete Abschnitt ist derjenige, der daraus ein Governance-Dokument macht. Unter der Überschrift „Es ist zu früh, bestimmte Interaktionsmuster vorzuschreiben“ schreibt Anthropic, dass „Aufsichtsanforderungen, die bestimmte Interaktionsmuster vorschreiben, etwa dass Menschen jede Aktion genehmigen müssen, Reibung erzeugen, ohne zwangsläufig Sicherheitsvorteile zu bringen“, und dass der Fokus „darauf liegen sollte, ob Menschen in der Lage sind, effektiv zu überwachen und einzugreifen, statt darauf, bestimmte Formen der Einbindung zu verlangen“.

Die Fachberichterstattung griff genau diese Darstellung auf. Der Bericht von Inside AI Policy vom 20. Februar 2026 war mit einer Schlagzeile versehen, die die Mahnung von Anthropic zur Vorsicht bei Aufsichtsvorgaben in den Mittelpunkt stellte; Inside Cybersecurity folgte am 24. Februar mit demselben Blickwinkel. Keiner der beiden Artikel konnte ohne Abonnement vollständig gelesen werden, und keiner untersuchte die zugrunde liegenden Daten.

Was ist belegt, und was nicht

Die Veröffentlichung und ihre zentralen Kennzahlen werden bestätigt. GIGAZINE berichtete am 19. Februar 2026, einen Tag nach der Veröffentlichung, über die Studie und wiederholte den 25- bis 45-minütigen Ausläufer, die Verschiebung bei automatischen Genehmigungen um 20 % bis 40 %, den Rückgang der Eingriffe von 5,4 auf 3,3 und den Anteil irreversibler Fälle von 0,8 %. Digital Watch Observatory fasste sie am 20. Februar 2026 zusammen, ebenso Inside AI Policy. Bestätigt wird, was Anthropic gesagt hat, nicht ob es wahr ist: Keine außenstehende Partei hat die 998.481 klassifizierten Tool-Aufrufe geprüft, und Anthropic veröffentlicht den Datensatz nicht.

Diese Asymmetrie verdient es, benannt zu werden, ohne sie zu überzeichnen. Ein Anbieter, der sein eigenes Produkt misst und zu dem Schluss kommt, dass die Compliance-Last eher auf der Überwachung als auf der Genehmigung jeder einzelnen Aktion liegen sollte, ist zu einem Schluss gelangt, der für das von ihm verkaufte Produkt günstig ist. Anthropic nennt die meisten strukturellen Grenzen selbst, in einem Abschnitt zu Einschränkungen, der ungewöhnlich direkt ist. Doch Reproduzierbarkeit gehört nicht zu den Dingen, die es beheben kann, solange die Rohdaten privat bleiben, und keine unabhängige Stelle hat die Klassifizierungen geprüft.

Die Grenzen, die Anthropic selbst nennt

• Die Analyse umfasst einen Modellanbieter. Auf anderen Modellen basierende Agenten können abweichende Nutzungsmuster und Risikoprofile aufweisen.

• Die Einstufungen zu Risiko, Autonomie und menschlicher Beteiligung wurden von Claude erstellt. Anthropic gibt an, dass Datenschutzbeschränkungen eine manuelle Prüfung der zugrunde liegenden Daten verhinderten und dass die Schätzung des Unternehmens zur menschlichen Beteiligung als Obergrenze zu verstehen sei.

Das Sampling auf Ebene einzelner Tool-Aufrufe überrepräsentiert Bereitstellungen mit vielen sequenziellen Aufrufen, wie etwa Software-Engineering-Workflows mit wiederholten Dateibearbeitungen.

• Die Klassifizierungen können Produktionsaktionen nicht von Evaluierungen oder Red-Teaming unterscheiden. Mehrere der Cluster mit dem höchsten Risiko „scheinen Sicherheitsevaluierungen zu sein“, heißt es in dem Bericht, und er geht davon aus, dass viele der scheinbaren Datenexfiltrationen Tests sind.

• Menschliche Prüfung, die der API nachgelagert ist, bleibt unsichtbar; daher kann ein Agent, der auf der Ebene der Tool-Aufrufe autonom wirkt, von einer Person kontrolliert werden, die seine Ausgabe prüft.

• Der Zeitraum reicht von Ende 2025 bis Anfang 2026, und die stärksten Erkenntnisse stammen aus Claude Code, bei dem es sich überwiegend um ein Software-Engineering-Produkt handelt.

Was hat sich danach geändert?

Das Archiv verzeichnet keinen Schaden, keine Korrektur und keinen Streit, und das ist die zutreffende Beschreibung: Dies ist eine Messung und ein Argument, kein Vorfall mit einer Behebung. Anthropic erklärt, die Analyse im Laufe der Zeit ausweiten zu wollen, und fordert branchenübergreifende Arbeit daran, API-Anfragen datenschutzfreundlich zu Sitzungen zu verknüpfen. Der Beitrag merkt außerdem an, dass Produkte wie Cowork Agenten zugänglicher machen, was nach Einschätzung des Beitrags die Grenze von Risiko und Autonomie weiter nach außen verschieben dürfte. In der für diesen Artikel gesichteten Berichterstattung hatte keine Regulierungsbehörde die Empfehlung gegen eine aktionsweise Genehmigung übernommen, verworfen oder förmlich beantwortet.

Der belastbare Punkt ist enger als die Schlagzeilen-Zahlen. Anthropics Argument gegen eine verpflichtende Schritt-für-Schritt-Genehmigung stützt sich auf eine Messung, die nach eigener Aussage derzeit nur ein Modellanbieter mit First-Party-Session-Daten vornehmen kann – und selbst Anthropic sagt, dass es API-Verkehr von Drittanbietern nicht zu Sessions verknüpfen kann. Solange diese Infrastruktur nicht existiert, stützt sich die Politikempfehlung auf das Messinstrument eines einzigen Unternehmens, angewandt auf die Kunden eines einzigen Unternehmens, über einen einzigen Winter. Das macht die Feststellung nicht falsch. Es macht sie zu einer Messung eines Anbieters, und sie sollte auch als solche zitiert werden.