Claude Fable 5s „Kettle“-Leak: Die im signierten Denken versteckte interne Modell-ID — Was wir bisher wissen

Am 16. August um 23:29:45 Uhr PDT postete ein Forscher auf X eine Behauptung, die eine unscheinbare Ecke der Anthropic-API in eine „Was wir bisher wissen“-Geschichte verwandelte: Wenn man die serversignierte „Signatur“ entschlüsselt, die auf jedem Claude-Thinking-Block sitzt, so ihre Aussage, benennt Feld sechs das Modell, das tatsächlich geantwortet hat. In ihrer Lesart begannen Antworten, die öffentlich als claude-fable-5 gekennzeichnet sind – der Claude Fable 5 der Mythos-Klasse, den Anthropic seit dem 9. Juni 2026 breit ausgeliefert hat, zu 10/50 US-Dollar pro Million Tokens – eine interne Kennung zu tragen, die in keiner öffentlichen Dokumentation von Anthropic auftaucht: claude-kettle-e2c95a10-v2-prod. Nichts an der Antwortkennzeichnung änderte sich. Auch wurde nicht gezeigt, dass sich etwas an der Abrechnung, dem Top-Level-Modellfeld der API oder der Pinned-Snapshot-Garantie von Anthropic geändert hätte. Was sich änderte, war eine Zeichenkette, die in einem Feld vergraben war, dessen Parsen die Dokumentation Entwicklern ausdrücklich untersagt.

Dies ist ein Leak-Bericht, kein Urteil. Die Feststellung ist vier Tage alt, sie stützt sich auf die Entschlüsselung eines einzelnen Forschers, die nicht unabhängig reproduziert wurde, und An​thropic hat sich nicht dazu geäußert, worauf sich "Kettle" — oder das zugehörige Label MYCRO_MODEL_MANATEE — bezieht. Die nützliche Frage ist nicht: "Hat An​thropic Fable 5 ausgetauscht?" Die Beweise belegen das nicht. Die nützliche Frage ist, was es bedeuten würde, wenn eine interne Modell-ID unter einer öffentlichen Modell-ID erschiene — und was nicht. Hier ist, was wir bisher wissen.

Was das Leak tatsächlich aufdeckte

Das Signal ist ein einzelner X-Beitrag von @chetaslua (Status 2089783170896179632, gepostet am 16. August 2026), verfasst im üblichen „Zuerst mit Beweis“-Stil des Kontos. Die Behauptung, kurz gesagt:

Claudes Denkblöcke enthalten ein serverseitig signiertes Protobuf im Signaturfeld.

• Feld sechs dieses Protobufs, sagt der Forscher, enthält die Kennung des Modells, das die Antwort tatsächlich erzeugt hat.

Ab 23:29:45 Uhr PDT am 16. August trugen 2.582 von 2.582 untersuchten Signaturen denselben Wert: claude-kettle-e2c95a10-v2-prod.

• Ein zweites internes Label, MYCRO_MODEL_MANATEE, erschien ebenfalls in denselben Metadaten.

Die Angabe „2.582 von 2.582" übernimmt die rhetorische Arbeit: Sie ist der Beleg der Forschenden dafür, dass es sich nicht um einen Einzelfall oder einen A/B-Ausschnitt handelte, sondern um einen vollständigen Wechsel dessen, worauf die Kennung verweist. Was der Beitrag nicht enthält, ist die Methode hinter der Entschlüsselung – keine Rohsignaturen, kein Dekodierungs-Skript, kein abgeleitetes Protobuf-Schema, keine vollständigen Antwort-Metadaten. Die öffentliche Evidenz ist eine zusammenfassende Grafik. Das macht den Befund im selben Atemzug plausibel und derzeit nicht überprüfbar.

Warum die Signatur überhaupt ein „Feld sechs" hat

Jeder Thinking-Block, den Claude zurückgibt, enthält ein Signaturfeld. Laut An​thropics Thinking-Dokumentation ist diese Signatur „eine verschlüsselte Kopie der vollständigen Überlegungen“, die Sie in Multi-Turn- und Tool-Use-Konversationen unverändert zurücksenden sollen, und die API verwendet sie, „um zu verifizieren, dass Thinking-Blocks von Claude generiert wurden“. Bei Claude Fable 5 bewirkt das Standardverhalten, dass die Signatur die einzige sichtbare Spur ist: Wenn „display“ auf „omitted“ gesetzt ist – der Standard bei Fable 5, Mythos 5, Opus 5 und Sonnet 5 –, kommt der Thinking-Block mit einem leeren Thinking-Feld und nur der ausgefüllten Signatur zurück.

Dann fügt die Dokumentation einen Satz hinzu, der für jedes Leak, das auf diesem Feld aufbaut, von Bedeutung ist: „Das Signaturfeld ist opak: Interpretieren oder parsen Sie es nicht.“ Genau das Parsen ist es, was die Kettle-Behauptung tut. Das ist kein Beweis dafür, dass die Behauptung falsch ist – die Signatur muss für An​thropics eigenen Serving-Stack maschinenlesbar sein – aber es bedeutet, dass die Dekodierung gegen die ausdrückliche Anweisung des Anbieters erfolgte, auf der Grundlage eines undokumentierten Protokolls, und dass die Rekonstruktion dieses Protokolls durch den Forscher nicht veröffentlicht wurde. Jede Schlussfolgerung, die auf „Feld sechs bedeutet das Serving-Modell“ aufbaut, erbt diese Unsicherheit.

Was es nicht beweist

Beginnen wir mit dem, was die Beweislage tatsächlich hergibt: Eine Antwort, die öffentlich als claude-fable-5 gekennzeichnet war, trug eine zuvor nicht berichtete interne Kennung. Das ist schon alles. Die Kennung allein belegt nicht, dass An​thropic die Gewichte von Fable 5 ersetzt hat, dass ein leistungsfähigerer Nachfolger existiert, dass Antworten besser oder schlechter geworden sind, oder dass irgendeine Anfrage an ein kleineres Modell weitergeleitet wurde. „Kettle" könnte ein interner Serving-Deployment-Name für genau denselben Fable-5-Snapshot sein; es könnte der Name einer Router-Komponente sein; es könnte ein Klassifikator im Safety-Stack sein. Der Codename kann zwischen diesen nicht unterscheiden.

An​thropics eigene Versionierungsrichtlinie erklärt, warum das Leck damit vereinbar ist, dass sich nichts geändert hat. In der Dokumentation „Model IDs and versioning" stehen zwei Aussagen nebeneinander:

Anthropic aktualisiert weder die Gewichte noch die Konfiguration einer bestehenden Modell-ID. Wenn eine aktualisierte Version verfügbar ist, wird sie unter einer neuen Modell-ID veröffentlicht.

Die Modellgewichte sind für eine bestimmte ID festgelegt, aber die Serving-Infrastruktur rund um das Modell kann sich im Laufe der Zeit ändern. Diese Infrastruktur umfasst Komponenten wie den Request-Router, Sicherheitsklassifikatoren und die Sampling-Logik.

Dieser zweite Satz ist die gesamte konzeptionelle Kluft zwischen „Kettle ist ein Skandal“ und „Kettle ist ein routinemäßiger Montag.“ Die Dokumentation antizipiert sogar Verhaltensdrift: „Gelegentlich führen Infrastruktur-Updates zu geringfügigen Unterschieden im beobachtbaren Verhalten, selbst wenn sich Modell-ID und Gewichte nicht geändert haben.“ Ein neuer Router oder Serving-Deployment namens Kettle würde exakt in diesen Satz passen. Damit das Leak wirklich vernichtend wäre, müsste es entweder ein neues Modell hinter der ID trotz der Richtlinie zeigen oder einen Mechanismus, der die unten genannten Sichtbarkeitsregeln verletzt.

Das dokumentierte Fallback-Routing, das Fable 5 bereits hat

Claude Fable 5 verfügt bereits über einen Modellwechsel-Mechanismus, der real, dokumentiert und dazu gedacht ist, sichtbar zu sein. Sicherheitsklassifizierer prüfen Anfragen und können einen Teil davon – Anthropic nennt offensive Cybersicherheit, Dual-Use-Biologie, Modelldestillation und einige Arbeiten zur Entwicklung von Spitzen-Chips – an ein Claude Opus 5-Modell weiterleiten. Auf Verbraucheroberflächen soll der Fallback deutlich sichtbar sein: ein Hinweis, der Name des verwendeten Modells in der Antwort und der Modellwähler, der auf Opus umschaltet. In der API legt die Antwort das verwendete Modell über das Top-Level-Modellfeld und einen eigenen Fallback-Inhaltsblock offen.

Die Kettle-Behauptung beschreibt etwas anderes, und genau dieser Unterschied wäre der entscheidende Punkt: eine interne Kennung, die unter einer Antwort erscheint, die das öffentliche Fable-5-Label behalten hat. Der Beitrag des Forschers zeigt weder einen Fallback-Hinweis noch ein geändertes API-Modellfeld noch einen Fallback-Block – wäre dies der Fall, würde die Geschichte lauten: „Der dokumentierte Fallback wurde ausgelöst“, nicht „An​thropic leitet stillschweigend um.“ Ohne das hat der Leak nicht gezeigt, dass eine Sichtbarkeitsgarantie verletzt wurde, denn er hat nicht gezeigt, was Kettle ist.

Warum es wichtig ist, auch wenn sich nichts geändert hat.

Feste Modell-IDs sind ein Vertrauensmechanismus. Die Dokumentation von Anthropic verspricht, dass „die zugrunde liegende Modellarchitektur eines Modell-IDs über die gesamte Lebensdauer dieser ID konstant bleibt“, wenn man es in einer API-Anfrage verwendet – genau das ist der Grund, warum ein Team Benchmarks gegen claude-fable-5 durchführen und erwarten kann, dass das Ergebnis im nächsten Quartal noch aussagekräftig ist. Eine versteckte Kennung unter dieser ID, egal was sie ist, erinnert daran, dass die Garantie Gewichte und Konfiguration abdeckt, nicht den gesamten Pfad von der Anfrage bis zum Token. Wenn jemals ein tatsächlich anderes Modell ohne Offenlegung unter einer öffentlichen ID liefe, wären jede Evaluierung, jede Kostenprognose und jeder Qualitäts-Regressionstest, die an diese ID gekoppelt sind, stillschweigend ungültig.

Der Abrechnungsaspekt verschärft das Ganze. Claude Fable 5 kostet 10 $ pro Million Eingabe-Tokens und 50 $ pro Million Ausgabe-Tokens – An​thropics höchster veröffentlichter Tarif. Falls sich das tatsächlich verwendete Modell jemals von der abgerechneten ID unterschieden hätte, stellt sich die Frage, welcher Tarif gilt und wer das entscheidet. Das Leak liefert keinen Beleg dafür, dass das passiert ist; der Punkt ist nur, dass das Signaturfeld die erste Stelle wäre, an der man nach einem Anzeichen dafür sucht.

Auch der Zeitpunkt ist bemerkenswert. Dies ist das dritte An​thropic-Signal innerhalb von neun Tagen: am 7. August gab das Unternehmen bekannt, dass es den Biologie-Klassifikator von Fable 5 neu trainiert hatte, wodurch die biologiebezogenen Fallbacks in internen Tests um rund 85 % reduziert wurden; am 14. August räumte der Responsible Scaling Policy Risk Report ein unveröffentlichtes internes „Model 2“ ein, das An​thropic als „spürbare Verbesserung“ gegenüber Claude Mythos 5 bezeichnet und das es nicht zu veröffentlichen plant. Beide sind Anbieteraussagen, aber zusammen zeigen sie, dass An​thropic die Systeme rund um Claude Fable 5 aktiv verändert – Klassifikatoren am 7., ein eingestandener interner Nachfolger am 14. – während die claude-fable-5-ID unverändert bleibt. Kettle wäre dieselbe Art von Geschichte, nur ohne die Offenlegung.

Was man dagegen tun kann

Für API-Aufrufer ist die praktische Position langweilig und richtig: Eine Kennung ist kein Beweis für einen Austausch, und aus dem Leak lässt sich noch nichts ableiten. Was Sie tun können, ist, selbst Beweise zu schaffen. Protokollieren Sie das Top-Level-Modellfeld und alle Fallback-Blöcke in den tatsächlich empfangenen Antworten und beobachten Sie Token- und Kostendeltas bei einer festen Workload. Wenn ein dokumentierter Fallback auslöst, wird er genau an diesen Stellen sichtbar. Das ist der einzige Test, der für Ihre Workload zählt, und er hängt nicht davon ab, dass jemand das Signaturformat von An​thropic entschlüsselt.

Wenn Sie über OrcaRouter an Claude Fable 5 routen, kommt dasselbe Antwortformat zurück, das auch An​thropic liefert, und da wir die Listenpreise des Anbieters ohne Aufschlag durchreichen, gibt es keinen zweiten Preissatz, der abgeglichen werden müsste — falls An​thropic jemals den Tarif von Fable 5 ändert, ist die neue Zahl bei uns am selben Tag live. Bei einer unbestätigten Situation wie dieser besteht der risikoarme Weg, das Modell weiterhin zu nutzen, ohne einen Produktionspfad auf ein Gerücht zu setzen, darin, einen Teil des echten Datenverkehrs an Claude Fable 5 zu leiten, mit automatischem Failover auf einen bewährten Fallback — Claude Opus 5 zu 5/25 Dollar pro Million oder ein günstigeres Coding-Tier-Modell —, sodass eine Qualitätsregression zu einer Routing-Entscheidung wird statt zu einem Vorfall. Gleicher Schlüssel, kein zweiter Vertrag, und das Failover ist eine Routing-DSL-Änderung statt einer Neuschreibung.

Was wir uns ansehen

Ob An​thropic sich äußert. Die sauberste Lösung ist eine einzeilige Bestätigung dessen, was Kettle und Manatee sind. Schweigen selbst ist aussagekräftig.

• Eine unabhängige Reproduktion. Wenn jemand die rohen Signaturen, die Dekodierungsmethode und das abgeleitete Protobuf-Schema veröffentlicht, würde dies aus der Grafik einer einzelnen Person eine überprüfbare Behauptung machen. Bis dahin ist es ein Wissensstand, keine Erkenntnis.

• Die Sichtbarkeitsoberfläche. Wenn claude-fable-5-Antworten Fallback-Hinweise, ein geändertes API-Modellfeld oder Fallback-Blöcke zeigen, wird die Lesart „dokumentierter Fallback“ gestärkt; falls nicht, wird die Lesart „undokumentierte Route“ gestärkt.

• Eine neue Modell-ID. Die Versionsrichtlinie von An​thropic besagt, dass eine wirklich neue Version unter einer neuen ID veröffentlicht wird. Die sauberste Bestätigung, dass Kettle ein echter Nachfolger ist, wäre daher, dass An​thropic etwas veröffentlicht – nicht nur eine Umleitung bestehender Modelle. Achten Sie auf ein claude-fable-5.1 oder Ähnliches.

• Ob „Manatee“ erklärt wird. Das zweite Label ist ein Faden, den noch niemand gezogen hat.

FAQ

Leitet Anthropic Claude Fable 5 tatsächlich an ein anderes Modell weiter?

Nicht bewiesen. Der Leak zeigt, dass Antworten, die als claude-fable-5 gekennzeichnet waren, eine interne Kennung, claude-kettle-e2c95a10-v2-prod, in einer signierten Denk-Signatur trugen. Er zeigt nicht, dass sich Gewichte geändert haben, dass ein Nachfolger bereitgestellt wurde oder dass irgendeine Anfrage herabgestuft wurde. „Kettle“ könnte ebenso gut der Name einer internen Serving-Bereitstellung für denselben Fable-5-Snapshot sein.

Wie wurde der Kettle-Identifikator gefunden?

Forscher @chetaslua sagt, sie hätten einen Protobuf im Signaturfeld von Clauses Denkblöcken dekodiert und die Modellkennung aus Feld sechs gelesen. An​thropics Dokumentation bezeichnet die Signatur als „undurchsichtig“ und rät Entwicklern, sie nicht zu parsen, und die Dekodierungsmethode des Forschers wurde nicht veröffentlicht, sodass die Behauptung noch nicht unabhängig reproduzierbar ist.

Verstößt das gegen An​thropics Garantie für das festgepinnte Modell?

Unbekannt. Die Versionierungsdokumentation von Anthropic besagt, dass die Gewichte oder die Konfiguration einer bestehenden Modell-ID nie aktualisiert werden und dass neue Versionen unter einer neuen ID veröffentlicht werden – aber sie erlauben ausdrücklich, dass sich die Serving-Infrastruktur rund um ein Modell (der Request-Router, die Sicherheitsklassifikatoren, die Sampling-Logik) ändern kann. Eine Kettle-Kennung könnte genau eine solche Änderung sein, die die Garantie nicht verletzen würde.

Woher wüsste ich, ob sich das Modell, das mir antwortet, geändert hat?

Beobachten Sie in API-Antworten das Modellfeld der obersten Ebene, achten Sie auf Fallback-Inhaltsblöcke und verfolgen Sie Token- und Kostendifferenzen bei einer festen Arbeitslast. Die von An​thropic dokumentierten Fallbacks sollen an diesen Stellen sichtbar sein. Es gibt kein öffentliches API-Feld, das die Kettle-Kennung offenlegt.

Die ehrliche Lesart ist, dass ein Leak etwas benannt hat, aber nicht bewiesen hat, was es ist. Die Kettle-Kennung ist in dem einzigen Sinne real, in dem eine geleakte Zeichenfolge real sein kann: Ein Forscher sagt, sie sei da, 2.582 von 2.582 Mal, beginnend in der Nacht des 16. August. Worauf sie hindeutet – ein neues Modell, eine umbenannte Bereitstellung, eine Router-Komponente, ein Klassifikator – bleibt unbestätigt, und die eigene Dokumentation von An​thropic bietet eine vollkommen alltägliche Erklärung für das Ganze. Das ist der Wert des Stücks und seine Grenze. Bis eine rohe Signatur veröffentlicht wird oder An​thropic sagt, was Kettle ist, ist die richtige Haltung, es als ein Was-wir-bisher-wissen zu behandeln: Es lohnt sich, es zu beobachten, den eigenen Traffic zu protokollieren, und es lohnt nicht, seine Modellwahl zu ändern – besonders, wenn eine Routing-Ebene einem erlaubt, sich beide Optionen offen zu halten.