Vor anderthalb Jahren löste DeepSeek R1 einen Schock aus. Ein chinesisches Labor konkurrierte plötzlich mit OpenAIs o1, dem ersten kommerziellen Reasoning-Modell, und sollte auch noch deutlich weniger gekostet haben. Der Markt reagierte nervös, es kam innerhalb kürzester Zeit zu Kurseinbrüchen in Milliardenhöhe. War der angestrebte Infrastrukturausbau überzogen?
Doch das Bild war damals uneindeutiger, als die Schlagzeilen nahelegten. R1 lag in DeepSeeks eigenem Bericht zwar bei einzelnen Tests wie AIME 2024 vor o1, bei anderen, etwa beim Faktenwissen (SimpleQA), jedoch deutlich zurück. Spätere Benchmarks legten weitere Lücken offen. Die chinesischen Modelle erreichten die Spitze nur in einzelnen Disziplinen, nicht in der Breite.
Noch Ende Juni, zu Beginn der Arbeit an dieser Ausgabe, zeigte auch Z.ais GLM-5.2 dieses Muster. Mit den jüngsten chinesischen Open-Weights-Modellen wie Moonshots Kimi K3, Alibabas Qwen3.8-Max und GLM-5.3 hat sich das geändert.
Chinesische Modelle stehen inzwischen in nahezu allen breiten, anspruchsvollen Evaluationen nahe der Spitze. Sie bearbeiten lange Wissensaufgaben, programmieren über viele Schritte und koordinieren Werkzeuge weit zuverlässiger als ihre Vorgänger.
Der oft zitierte Rückstand von einigen Monaten ist, zumindest gemessen an gängigen Benchmarks, so weit geschrumpft, dass er zum Investorenthema wird. Anthropic muss sich laut Wall Street Journal vor dem anstehenden Börsengang unangenehme Fragen gefallen lassen und verteidigt sich mit dem verbleibenden Abstand an der Spitze. Denn darunter ist das Feld weitgehend von offenen, deutlich günstigeren Modellen aus China besetzt.
Auf reine Modellleistung lässt sich damit kaum noch ein Geschäftsmodell gründen, so die Befürchtung der Investoren. Was das eigene Modell heute exklusiv kann, kann wenige Monate später auch ein frei herunterladbares.
Dabei stehen zwei Vorwürfe im Raum: Chinesische Labore sollen westliche Modelle als Lehrer angezapft haben, das nennt sich Distillation, und ihre Modelle gezielt auf gute Benchmark-Ergebnisse hin optimieren, ohne dass die Fähigkeiten in der Breite mithalten, das sogenannte Benchmaxxing. Beide Vorwürfe ordnen wir weiter unten ein.
Tatsächlich ist der amerikanische Vorsprung auch nicht verschwunden, aber er hat sich auf wenige, immer schmalere Bereiche der sogenannten Frontier zurückgezogen, wie der vorderste Rand des technisch Machbaren im Englischen genannt wird. Wo dieser Vorsprung noch sitzt und was er wirtschaftlich wert ist, das ist die erste Frage dieser Ausgabe.
Die zweite folgt daraus. Wenn das Modell allein den Unterschied nicht mehr deutlich machen kann, worauf beruht der Vorsprung dann? Unsere These lautet, dass er immer weniger auf dem Modell beruht und immer mehr auf dem Gesamtsystem, in das es eingebettet ist, und in dem aus der laufenden Arbeit die nächsten Modelle entstehen.
Was vom Vorsprung übrig ist
Artificial Analysis führte K3 bei Veröffentlichung mit 57 Punkten auf Rang drei seines Intelligence Index, in unmittelbarer Nähe der damaligen Spitzenreiter GPT-5.5 und Opus 4.8. Am stärksten zugelegt hat K3 bei agentischen Aufgaben, also genau der praxisnahen Arbeit, um die es im Unternehmenseinsatz geht. Auf AutomationBench-AA startete K3 sogar auf Platz eins, bis Anthropic mit Opus 5 nachlegte.
Auf CEO-Bench, wo ein Agent 500 simulierte Tage lang ein fiktives Softwareunternehmen steuert, erzielte K3 mit 22,15 Millionen Dollar den besten veröffentlichten Einzellauf. An solchen Langstrecken scheiterten chinesische Modelle inklusive des Vorgängers K2.7 bisher regelmäßig. Qwen3.8-Max erreicht ein ähnlich hohes Gesamtniveau.
Eine Einschränkung bleibt: Neuere chinesische Modelle benötigen teils deutlich mehr Token als westliche und machen so einen Teil ihres Preisvorteils wieder zunichte. Es braucht also weiterhin die Rechnung pro Aufgabe.
Die Grenze aktueller Modellfähigkeiten wächst schon länger unterschiedlich schnell, im Fachjargon spricht man von der “Jagged Frontier”. Einzelne Fähigkeiten wachsen demnach unterschiedlich schnell, weshalb der zitierte Monatsrückstand schon immer davon abhing, wer wo maß. Neu ist, wo der westliche Vorsprung überhaupt noch messbar ist. Drei Bereiche bleiben übrig.
Der erste Bereich sind abstrakte Spezialtests. Opus 5 setzte sich kurz nach dem K3-Start mit 61 Punkten wieder an die Spitze des Index, gegenüber K3s 57 Punkten ein kleiner Abstand. Auf ARC-AGI-1, einem Test für abstrakte Mustererkennung anhand kleiner Rätselgitter, liegen K3 und Fable 5, Anthropics Spitzenmodell-Linie für Coding- und Agentenarbeit, mit 94,5 und 98,5 Prozent praktisch gleichauf. Erst auf ARC-AGI-2 wird der Abstand deutlich, 60,4 gegen 89,2 Prozent. Nur misst ARC-AGI eben bewusst abstrakte Mustererkennung fernab von Alltagsaufgaben. Es ist nicht gesagt, dass dieser Abstand künftige praktische Unterschiede ankündigt. Er könnte wirtschaftlich schlicht in den meisten Fällen irrelevant bleiben.
Der zweite Bereich ist Zuverlässigkeit. Der am 12. August gestartete AA-AnalystAgent-Benchmark testet agentische Datenanalyse auf realen Tabellen und Dokumenten und wertet nur Aufgaben als gelöst, die ein Modell in fünf von fünf unabhängigen Anläufen richtig bearbeitet. Die Betreiber nennen dieses Maß pass^5. Dort führt Opus 5 mit 54 Prozent vor GPT-5.5 mit 50, K3 ist mit 39 Prozent bestes offenes Modell.
Der Rückstand entsteht fast vollständig durch mangelnde Wiederholbarkeit: Mindestens einmal in fünf Anläufen löst K3 73 Prozent der Aufgaben, praktisch gleichauf mit Opus 5 bei 74. Zuverlässigkeit folgt dabei nicht der gewohnten Rangfolge der Intelligenz-Indizes, selbst GPT-5.6 Sol fällt hier hinter den eigenen Vorgänger zurück.
Kommerziell wiegt sie schwer, wie die Betreiber im Launch-Artikel begründen: Ein Analystenagent spart erst dann wirklich Aufwand, wenn seine Antworten ohne Nachprüfung belastbar sind. Mehrfachläufe und Prüfer können das auffangen, treiben aber die Kosten pro akzeptiertem Ergebnis.
Der dritte Bereich ist Cybersecurity. Hier ist der Rückstand am besten dokumentiert: Die gemeinsame Untersuchung des britischen AISI und des amerikanischen CAISI kam zu dem Ergebnis, dass K3 bei offensiven Cyberfähigkeiten weit hinter den führenden US-Modellen liegt.
Auf ExploitBench, einem Test für die Entwicklung von Exploits, erreichte K3 32 Prozent, die US-Spitze im Mittel rund 76. An allen 41 Aufgaben, in denen Code auf einem Zielsystem ausgeführt werden sollte, scheiterte K3, führende US-Modelle lösten im Mittel 20. Und in einem simulierten Angriff kam K3 bis Schritt 17 von 32, die US-Spitze im Mittel bis 28,5.
Doch auch dieser Rückstand schrumpft gerade. Das am 14. August vorgestellte GLM-5.3 erreicht auf ExploitBench nach Z.ais eigener Messung 54,4 Prozent, mehr als das Doppelte seines Vorgängers GLM-5.2.
Der Abstand zur US-Spitze hat sich damit binnen eines Monats etwa halbiert. Beim Aufspüren und Validieren von Schwachstellen im Quellcode (CyberGym) setzt sich GLM-5.3 sogar knapp vor die führenden US-Modelle.
Zugleich ist Cybersecurity der Bereich, in dem die Anbieter ihre stärksten Fähigkeiten gar nicht frei verkaufen. Anthropics bestes Cybermodell Mythos 5, das auf ExploitBench 78 Prozent erreicht, ist nur kontrolliert über Project Glasswing zugänglich. Das öffentliche Schwestermodell Fable 5 bleibt faktisch auf dem Niveau des älteren Opus 4.8 mit 40 Prozent, weil vorgeschaltete Safeguards 407 von 410 Test-Episoden abfingen.
OpenAI verfolgt mit Daybreak und spezialisierten Cyber-Varianten einen ähnlichen Ansatz. GPT-5.6 Sol erreicht in OpenAIs eigener Auswertung 73,5 Prozent auf ExploitBench, bleibt in OpenAIs Risikoskala aber unterhalb der höchsten Stufe Critical. Beim kommenden Astra kann OpenAI erstmals nicht ausschließen, dass ein eigenes Modell diese Schwelle erreicht. Dann greift das Preparedness Framework deutlich härter, bis hin zum Entwicklungsstopp. Erste interne Astra-Aktivitäten hat OpenAI bereits pausiert.
Und mit GLM-5.3 übernimmt nun erstmals ein chinesisches Labor dieses Muster: Z.ai verschiebt die Veröffentlichung der Gewichte um rund zwei Wochen für zusätzliche Sicherheitsarbeiten und will die sensibelsten Cyberfunktionen nur verifizierten Nutzern zugänglich machen.
Damit lässt sich der Restvorsprung so zusammenfassen: Der Abstand in abstrakten Spezialtests ist messbar, sein wirtschaftlicher Wert offen. Der Abstand bei der Zuverlässigkeit ist kommerziell am relevantesten, zugleich am wenigsten gesichert, denn wenn schon innerhalb eines Labors ein neueres Modell hinter den eigenen Vorgänger zurückfällt (GPT-5.6 Sol vs. GPT-5.5), ist diese Rangfolge erkennbar in Bewegung.
Der Abstand bei Cybersecurity betrifft Fähigkeiten, die kaum ein Kunde regulär beziehen darf (und selbst er hat sich zuletzt deutlich verringert). Abschirmen lassen sich eben nur die wenigen gefährlichen Fähigkeiten. Der kommerziell wertvolle Rest, also Coding, Recherche und Agentenarbeit, muss offen über APIs zugänglich bleiben, sonst gibt es kein Geschäft. Und genau dort verringert sich der Vorsprung binnen Monaten.
Der naheliegende Verdacht lautet, dass beides zusammenhängt: Chinesische Labore könnten westliche Modelle über deren Schnittstellen als Lehrer nutzen, die eingangs erwähnte Distillation, und der Vorsprung hielte deshalb genau dort, wo dieser Zugang fehlt. Für diesen Verdacht gibt es gute Gründe, und wir werden im Folgenden erläutern, wie chinesische Labore wohl vom Wissen westlicher Modelle profitieren könnten.
Doch vorher muss gesagt werden: Für die strategische Bewertung ist die Schuldfrage fast zweitrangig. Trifft der Verdacht zu, wandert jede verkaufte Fähigkeit früher oder später zur Konkurrenz, denn zuverlässig verhindern lässt sich das Abschöpfen bislang nicht. Trifft er nicht zu, haben die chinesischen Labore aus eigener Kraft aufgeschlossen, und der Vorsprung war noch weniger wert.
Beide Lesarten führen zum selben Schluss: Ein Modellvorsprung hält nur dort, wo man das Produkt gar nicht erst breit anbietet, und darauf lässt sich kein Geschäft bauen. Der genaue Blick auf Distillation lohnt sich trotzdem, denn an ihrer Mechanik entscheidet sich, ob es überhaupt noch verteidigbare Modellfähigkeiten gibt.
Distillation erklärt das Tempo, nicht die Breite
OpenAI und Anthropic werfen chinesischen Unternehmen vor, ihre Modelle massenhaft für den Aufbau eigener Modelle genutzt zu haben. Nach Darstellung von Anthropic liefen industrielle Kampagnen von DeepSeek, Moonshot und MiniMax mit mehr als 16 Millionen Interaktionen über rund 24.000 betrügerische Konten. Die Moonshot zugerechnete zielte mit mehr als 3,4 Millionen Interaktionen auf Agentenreasoning, Werkzeugnutzung, Coding und Denkspuren. Dazu passt, dass Together AI bei realen Softwareproblemen eine Korrelation von 0,72 zwischen den aufgabenweisen Erfolgsquoten von K3 und Fable 5 fand und eine Stilanalyse von Typebulb K3 am nächsten bei Fable 5 einordnete.
Gegenstimmen betonen, dass der Abstand zwischen der Veröffentlichung von Fable 5 und K3 zu gering gewesen sei, um das Training des Modells zu beeinflussen. Allerdings stand mit Opus 4.8 ein eng verwandtes Modell deutlich länger zur Verfügung, und auch hier gibt es in den erwähnten Untersuchungen deutliche Überschneidungen. OpenAI beschreibt in seinem Memorandum an den US-Kongress ein ähnliches Muster bei DeepSeek. Prüfbare Artefakte veröffentlicht allerdings keines der Labore, Anfragen unserer Redaktion blieben ohne neue Substanz.
Dennoch lässt sich anhand der bekannten Vorwürfe und einiger wissenschaftlicher Paper rekonstruieren, wie Moonshot, DeepSeek und andere im Trainingsprozess von Distillation profitieren könnten.
Im Pretraining lernt ein Modell Grundfähigkeiten aus riesigen Textmengen, im Midtraining wird auf weniger, dafür hochwertigere Daten umgestellt, das Post-Training formt per Supervised Fine-Tuning und Reinforcement Learning das Verhalten. Destillierte Daten können an fast jeder dieser Stellen ansetzen.
Ein westliches Spitzenmodell beantwortet beispielsweise Zehntausende ausgewählte Aufgaben inklusive Lösungswegen und Werkzeugaufrufen, die besten Antworten fließen ins Midtraining oder Fine-Tuning, und das eigene Modell übernimmt die Lösungsmuster des Lehrers.
Für das Reinforcement Learning braucht es den Lehrer nicht mehr live, denn aus den gesammelten Daten lassen sich eigene Bewertungsmodelle bauen.
Dass das kein Gedankenspiel ist, zeigt Anthropics Bericht. In der DeepSeek zugerechneten Kampagne bearbeitete Claude massenhaft Bewertungsaufgaben nach vorgegebenen Rastern und fungierte faktisch als Belohnungsmodell für fremdes Reinforcement Learning. Forschung zu Multi-Teacher On-Policy Distillation und Reward-Model-Distillation zeigt, wie Distillation über ganze Trainingspipelines wirkt.
Die harte Grenze der Methode ist natürlich der Zugang: Wer über eine fremde API destilliert, sieht nur, was die Schnittstelle zurückgibt. Gewichte, interne Bewertungen und Suchprozesse bleiben verborgen, Forschung zu Black-Box-Distillation beschreibt genau diese Beschränkung.
Mit dem Aufkommen der Reasoning-Modelle eröffnete sich aber eine weitere Möglichkeit: das Auslesen der Reasoning-Ketten. Die Labore beschränken diese Einblicke daher gezielt. OpenAI liefert nur Zusammenfassungen der Gedankenketten, Anthropic zeigt Extended Thinking eingeschränkt, xAI überträgt Reasoning verschlüsselt.
Ganz verhindern ließ sich das Auslesen allerdings nie: Eine am 10. August veröffentlichte Untersuchung um den Sicherheitsforscher Alexander Panfilov zeigt, dass sich die verschlüsselten Denkspuren der Spitzenmodelle über eine API-Schwachstelle auslesen ließen, die Anbieter haben die Lücke inzwischen geschlossen.
Dieselbe Arbeit liefert auch das bislang spezifischste Indiz für die Distillationsthese: Wird K3s Reasoning mit wenigen Tokens aus entschlüsselten Opus-Denkspuren vorbefüllt, verschiebt sich seine Antwort messbar in Richtung Opus, und einzelne Claude- und GPT-Reasoning-Abschnitte ließen sich aus K3 um bis zu sechs Größenordnungen leichter extrahieren als aus dem nächstähnlichen Modell. Auch K3s schwache Cyberergebnisse wertet das Team als Indiz, denn genau dort war ein starker Lehrer schwer erreichbar, weil Anthropic diese Fähigkeiten zusätzlich abschirmt.
Gegen Distillation als vollständige Erklärung spricht die eigene Substanz der chinesischen Labore. Moonshots Bericht dokumentiert eine durchgängig eigene Trainingspipeline, DeepSeek veröffentlicht regelmäßig Architekturverbesserungen auf tiefster Ebene. Und GLM-5.3 relativiert das Cyber-Indiz: Z.ai führt den eigenen Sprung auf Effekte des Post-Trainings zurück und damit auf eigene Trainingsumgebungen in genau dem Bereich, in dem ein westlicher Lehrer am schwersten zugänglich ist.
Distillation ist zudem keine chinesische Besonderheit. Elon Musk bestätigte unter Eid, xAI habe OpenAI-Modelle dafür verwendet. Umgekehrt beansprucht ByteDance, Doubao-1.5-pro ohne Daten anderer Modelle post-trainiert zu haben.
Die angegriffenen Labore rufen derweil nach staatlichem Schutz, und Washington scheint gewillt zu liefern. Das Weiße Haus hat Distillationskampagnen gegen US-Modelle per Memorandum zur nationalen Sicherheitsbedrohung erklärt, der Deterring American AI Model Theft Act passierte den Ausschuss einstimmig, Senatoren legten mit dem BLADE Act nach. Für Anthropics Mythos 5 und Fable 5 gelten inzwischen Exportkontrollen, womit die US-Regierung erstmals den Zugang zu einem Modell selbst kontrolliert.
Für den weitergehenden Schritt, offene Modelle oder Distillation generell zu beschränken, fehlt allerdings der breite Rückhalt. Ende Juli warnten 25 Unternehmen, darunter Nvidia, Microsoft und Meta, vor verfrühten Restriktionen, OpenAI und Anthropic unterschrieben nicht.
Mark Zuckerberg erklärte dann das Lernen aus allem Beobachtbaren, inklusive der Distillation konkurrierender Modelle, sogar zum schützenswerten Prinzip. Das ist interessengeleitet, denn Meta liegt bei geschlossenen Modellen zurück und möchte mit amerikanischen Open-Weights-Modellen gegen China antreten. Es zeigt aber auch: Wenn ein Konzern mit diesen Ressourcen das Lernen aus fremden Modellausgaben zum Prinzip erhebt, hält er es für einen der schnellsten Wege aufzuschließen.
Kurz gesagt: Distillation kann einen großen Teil des Tempos erklären, die Indizien sind zahlreich. Solange Anthropic und OpenAI aber nicht mehr offenlegen, bleibt es bei Indizien.
So oder so: Alles, was die APIs der US-Anbieter herausgeben, wandert aktuell binnen Monaten zur Konkurrenz. Was sie verbergen, kauft womöglich nur Zeit, und kein Gesetz macht Ausgaben aktuell unbeobachtbar.
Haltbar ist damit nur, was gar nicht erst angeboten wird, und davon lässt sich nichts verkaufen. Soll der amerikanische Vorsprung Bestand haben, muss er woanders sitzen als im Modell.
Bei Agenten wird das Gesamtsystem zur relevanten Einheit
Dean Ball, Mitautor des amerikanischen AI Action Plan und inzwischen bei OpenAI, argumentierte schon vor seinem Wechsel, dass Systeme, die tagelang selbstständig handeln, ganz andere Fragen aufwerfen als Chatbots, nämlich nach Haftung, Aufsicht und Kontrolle laufender Prozesse.
Was dort für die Verantwortung gilt, gilt genauso für den Wettbewerb: Sobald der Wert in tagelangen Arbeitsabläufen entsteht, konkurrieren nicht mehr nur Modelle gegeneinander, sondern die Systeme, die diese Abläufe tragen. Dazu gehören die Steuersoftware um das Modell, die Rechenzeit, die es bekommt, und die Umgebung, in der es mit Werkzeugen, Berechtigungen und Wiederherstellungspunkten arbeitet.
Wie viel dieses Drumherum ausmacht, lässt sich zumindest teilweise messen: Das britische AI Security Institute zeigt, dass Software-Engineering-Ergebnisse um rund 25 Prozent stiegen, wenn ein Modell statt einer Million zehn Millionen Tokens pro Aufgabe bekam, und manche Cyberaufgaben erst oberhalb dieser Schwelle lösbar wurden.
Noch stärker wirkt der Harness, also die Steuersoftware: Als OpenAI bei einer ARC-AGI-3-Evaluation lediglich den Reasoning-Zustand zwischen den Schritten beibehielt und den Kontext anders komprimierte, verdreifachte sich der Wert von Sol beinahe, von 13,3 auf 38,3 Prozent, bei einem Sechstel der Ausgabetokens. Gleiches Modell, anderes System, dreifache Leistung.
Als Burggraben taugt allerdings auch die Steuersoftware nur begrenzt. Wer ein fremdes Agentensystem intensiv befragt, sieht neben den Antworten auch Werkzeugaufrufe und kann daraus Orchestrierungsmuster lernen. Und der Harness ist am Ende Software, wie Anthropic im Frühjahr erfuhr: Beim Claude-Code-Leak legte eine versehentlich mitgelieferte Source-Map rund 513.000 Zeilen Quellcode offen, und die Takedowns liefen ins Leere, weil Nachbauten die Architektur längst öffentlich konserviert hatten. Ohnehin liegen vergleichbare Harnesses offen: OpenAIs Codex ist Open Source, DeepSeeks Agentenwerkzeuge ebenfalls.
Unkopierbar bleibt somit an einem Agentensystem nur eines: sein laufender Betrieb. Die Verankerung in den Systemen der Kunden, mit Zugangsdaten, Testumgebungen, Logs und Eingriffsrechten, lässt sich weder abfragen noch leaken. Ein Konkurrent kann sie nur selbst aufbauen, mit eigener Infrastruktur und eigenen Kunden.
Warum ist diese Position mehr wert als ein Modellvorsprung? Der wichtigste Treiber der Agentenfähigkeiten ist Reinforcement Learning in eigens gebauten Trainingsumgebungen, also Programmieraufgaben mit Tests, simulierte Werkzeuge und Aufgaben mit prüfbaren Ergebnissen, ergänzt um eingekauftes Expertenwissen, längst ein Milliardenmarkt.
Beides ist für jeden zugänglich, der zahlen kann, auch für chinesische Labore, was einen Teil der Aufholjagd miterklärt. Nicht kaufen lässt sich das Wissen, welche Aufgaben in echten Unternehmen tatsächlich anfallen, woran Modelle dort scheitern und was Kunden als Ergebnis akzeptieren.
Wie dieser Rückkanal konkret funktioniert, beschreibt Arnaud Fournier, CTO von OpenAIs Deployment-Tochter DeployCo, im Interview mit unserer Redaktion. Auf Kundendaten trainiere OpenAI nicht, “es sei denn, jemand bittet uns ausdrücklich darum”, solche Forschungspartnerschaften seien selten.
Der Rückkanal laufe stattdessen über Modellschwächen und Werkzeugbedarf: Stellt ein Team beim Kunden fest, dass etwa Dokumentenverständnis schlecht funktioniert, beschafft die Forschung gezielt Daten und bessert nach. So habe sich die für die Großbank BBVA gebaute Lösung von GPT-5.0 zu 5.5 deutlich verbessert. Und aus dem Orchestrierungsbedarf der Kunden entstand erst das Open-Source-Repository Swarm, später das Agent SDK.
Der Rückkanal transportiert also weniger Rohdaten als Wissen, was als Nächstes zu bauen ist. Genau das kopiert Distillation nicht: Sie kopiert das ausgelieferte Modell, nie den Zugang zur Arbeit, aus der das nächste lernt. Wer ihn hat, baut die Trainingsumgebungen, die zur echten Arbeit passen, wer nur kopiert, lernt stets am Stand von gestern. Zur entscheidenden Vertragsfrage wird deshalb, was Anbieter aus Kundeneinsätzen in ihre Modelle und Trainingsumgebungen überführen dürfen.
Man sollte diesen Rückkanal allerdings nicht überhöhen, denn noch entsteht der Großteil des Fortschritts in den Laboren selbst, nicht beim Kunden. Wie viel er künftig wert ist, hängt an einer offenen Forschungsfrage: auf welchem Weg Einsatzerfahrung überhaupt zu Modellfähigkeit wird.
Dwarkesh Patel hält für das zentrale Hindernis auf dem Weg zu wirklich arbeitsfähigen Agenten, dass Modellen bislang Continual Learning fehlt: die Fähigkeit, Erfahrung laufend in ihre Gewichte zu übernehmen, statt nur von Modellgeneration zu Modellgeneration zu lernen. Andrej Karpathy sieht Agenten deshalb noch rund ein Jahrzehnt von echter Kollegenreife entfernt.
Nathan Lambert hält solche Gewichts-Updates dagegen für verzichtbar, weil Skalierung plus bessere Memory-Systeme praktisch dasselbe lieferten. Käme es so, läge die gesammelte Erfahrung in Daten, die der Kunde selbst kontrolliert, und die Bindung an den Betreiber fiele schwächer aus.
Für die Frage dieser Ausgabe macht das aber keinen Unterschied: Je mehr echte Arbeit Agenten übernehmen, desto mehr entscheidet der Zugang zu dieser Arbeit darüber, wer die passenden Modelle bauen kann. Ein fertiges Modell lässt sich kopieren. Der Zugang zu der Arbeit, aus der das nächste entsteht, nicht.
US-Labore verbinden Modell, Compute und Plattform
Niemand arbeitet deshalb so entschlossen daran, sich diesen Zugang zu sichern, wie die Labore, deren Modellvorsprung schrumpft. GPT-5.6 koordiniert in seiner höchsten Effort-Stufe standardmäßig vier Agenten, OpenAIs Codex führt mehrere Aufgaben parallel aus, mittlerweile auch komplett in der Cloud, Anthropic hat mit Claude Code und Claude Cowork vergleichbare Angebote. Die Übernahme von Ona ergänzt für OpenAI sichere Ausführungsumgebungen, in denen Kunden Zugriffe, Zugangsdaten und Sicherheitsgrenzen selbst kontrollieren.
Wie ernst OpenAI diesen Rückkanal nimmt, zeigt die Konstruktion der bereits erwähnten DeployCo: Das Unternehmen ist eine echte Ausgründung, gestartet im Verbund mit 19 Private-Equity-Häusern, und bettet Forward Deployed Engineers direkt in Konzerne ein, ausdrücklich auch, um Lernerfahrungen zurück in Produkt und Forschung zu tragen. Den Vertrieb skaliert derweil die Frontier Alliance mit Accenture, Capgemini, BCG und McKinsey.
Selbst Nvidia treibt dieselbe Entwicklung von der Hardwareseite: Die neue Vera-Rubin-Generation integriert Sandbox-Umgebungen für Werkzeugaufrufe, Kontext-Speicher für langlaufende Agenten und Orchestrierung als Teil der Plattform. Auch der Chiplieferant verkauft zunehmend das Agentensystem, nicht mehr nur den Beschleuniger.
Auf Basis dieser und anderer Hardware-Angebote bauen die Labore an einer zweiten, physischen Verteidigungslinie: der Recheninfrastruktur.
OpenAI-Mitgründer und -Präsident Greg Brockman formuliert das Kalkül am deutlichsten. Offene Modelle seien nicht auf magische Weise billig, am Ende laufe alles auf derselben Hardware, und OpenAI baue Chips und Rechenzentren aus, um für jede Aufgabe das günstigste Angebot machen zu können.
Denn wird das Modell zur Commodity, entscheidet der Preis pro akzeptiertem Ergebnis, und den drückt, wer den Stack von der Energie über eigene Chips bis zum Modell integriert.
Geht das Kalkül auf, verliert selbst eine perfekte Modellkopie kommerziell, weil das Original dieselbe Fähigkeit in der Skalierung billiger anbietet. Noch ist das allerdings Ziel, nicht Zustand, wie die Preisvorteile der chinesischen Modelle zeigen.
Zum Burggraben wird die Infrastruktur dann erst im Verbund mit dem Rückkanal: Sie liefert die Trainingskapazität, um Einsatzwissen in die nächste Generation zu verwandeln, und die Inferenzkapazität, um Agentenschwärme parallel zu betreiben.
Eine Wette bleibt der Ausbau trotzdem, denn er rechnet sich nur, wenn die Agenten-Nachfrage schneller wächst, als die Modelle effizienter werden. Wie offen diese Rechnung ist, zeigt Sam Altman selbst, wenn er die Kosten für Unternehmen ein riesiges Problem nennt.
China kann diese Ebene weder destillieren noch regulär mieten, denn die US-Exportkontrollen versperren den Zugang zur neuesten Hardware. Es bleiben Umwege. Der eine ist Schmuggel, allein die Operation Gatekeeper umfasst GPUs im Wert von mindestens 160 Millionen Dollar. Der andere ist angemietete Rechenleistung im Ausland.
Einen souveränen Stack ersetzt beides nicht, also muss China ihn industrialisieren, bisher über Kompensation. Huaweis CloudMatrix384 verbindet 384 Ascend-Beschleuniger und erreicht laut SemiAnalysis mehr Speicher und Spitzenrechenleistung als Nvidias GB200 NVL72, allerdings bei rund dem Vierfachen an Strom und fünfmal so vielen Beschleunigern. Die physische Basis wächst, Chinas Energiebehörde zählt für 2025 bereits 42 KI-Cluster mit je mindestens 10.000 Beschleunigerkarten.
Doch mehr Energie ersetzt weder Speicherchips noch Softwarequalität. SemiAnalysis sieht aktuell vor allem HBM als Engpass der Ascend-Produktion. Und obwohl Huaweis CANN, das Gegenstück zu Nvidias CUDA, also die Softwareschicht aus Treibern, Bibliotheken und Programmierwerkzeugen, über die Entwickler die Ascend-Chips ansteuern, DeepSeek V4 erstmals vom ersten Tag an unterstützte, lag Nvidias GB300 im Durchsatz klar vorn.
Chinas Politik zielt deshalb darauf, den eigenen Stack über die Landesgrenzen hinaus zu verbreiten, mit einem staatlichen Aktionsplan für Daten, Compute und Standards. Offene Gewichte werden dabei zur Brücke. Solange chinesische Modelle am besten auf Nvidias CUDA laufen, stärken sie noch indirekt den amerikanischen Stack. Werden sie dagegen früh für Ascend optimiert, machen sie chinesische Hardware auch in Drittstaaten attraktiv. Nvidia CEO Jensen Huang warnte vor genau dieser Kopplung, und der Day-0-Support von DeepSeek V4 ist ein erster Beleg, dass die Bemühungen Früchte tragen.
Das Fazit des Kapitels fällt damit zweigeteilt aus: Der Wettlauf um Benchmarks ist für China gewinnbar, das haben K3 und GLM-5.3 gezeigt. Das industrialisierte Gesamtsystem lässt sich dagegen nicht kopieren, sondern nur aufbauen, und dort liegen die US-Labore vorn. Nicht für ewig, aber länger, als es ein Modellvorteil je täte. Verteidigbar ist eben nur, was nicht durch die API passt: das Wissen aus echter Arbeit und die Infrastruktur, es zu verwerten.
Wer ein Modell einsetzt, importiert Werte
Für alle, die Modelle einsetzen, statt sie zu bauen, und das ist die Lage der allermeisten europäischen Unternehmen, stellt sich dazu noch eine andere Frage. Was übernimmt man eigentlich alles, wenn man ein Modell übernimmt? Im Post-Training wird entschieden, welche Fragen ein Modell beantwortet und welche es verweigert, welche Quellen es für glaubwürdig hält und was es als erwiesen behandelt. Diese Entscheidungen sind normativ, kein Benchmark misst sie, und beim Deployment kommen sie ungefragt mit.
Wie groß die Unterschiede sind, dokumentiert ein aktuelles Audit von NewsGuard zu den Chatbots sieben chinesischer Anbieter, darunter DeepSeek, Qwen, Kimi und Z.ai, also genau die Modellfamilien, deren offene Gewichte immer häufiger genutzt werden. Bei zehn nachweislich falschen pro-chinesischen Behauptungen ließen die chinesischen Bots die Falschinformation in 53 Prozent der Fälle unwidersprochen, westliche Vergleichssysteme in 24 Prozent.
Der größte Teil dieser Lücke entsteht durch Schweigen. Die chinesischen Bots verweigerten in 24 Prozent der Fälle die Antwort, westliche in 0,5 Prozent, und 88 Prozent der verweigerten Prompts betrafen Taiwan.
Dahinter steht Regulierung, die politische Konformität verlangt, ohne ihre Begriffe zu definieren. Passend dazu zitierten die chinesischen Bots in 38 Prozent der Fälle Staatsmedien, westliche in 16 Prozent. Einheitlich ist das Feld nicht: MiniMax widerlegte 85 Prozent der Falschbehauptungen, Baidus Ernie wiederholte sie in 60 Prozent der Fälle.
Gefährlich ist das vor allem, weil die trainierte Grenze mitunter erst auftaucht, wenn ein seltenes Thema auf eine reale Entscheidung trifft, und je tiefer das Modell in Agentenketten steckt, desto später und desto kaskadierender fällt das auf.
Geschäftsrelevant wird das schnell: Auf die Frage nach einer angeblichen Blockade taiwanesischer Häfen bestätigte DeepSeek das Ereignis im Detail, obwohl es nie stattgefunden hat. Wer darauf Lieferketten- oder Investitionsrisiken stützt, rechnet mit einer erfundenen Welt.
Fest verdrahtet ist das immerhin nicht. Das Labor CTGT berichtete laut NewsGuard, bei einem aus DeepSeek destillierten Modell sei die politische Zensur nicht mit übertragen worden. Werte sitzen offenbar in anderen Trainingsschichten als Fähigkeiten. Doch diese Arbeit muss erst einmal geleistet werden.
Europa benötigt Systemsouveränität
Für Europa steckt in dieser Verschiebung eine gute und eine schlechte Nachricht. Die gute: Das Rennen, das Europa am deutlichsten verloren hat, das um das jeweils stärkste fertige Modell, verliert an strategischem Wert, denn jedes verkaufte Modell ist binnen Monaten kopiert.
Die schlechte wiegt schwerer: Die Ebene, auf der Vorsprünge künftig verteidigt werden, lässt sich weder herunterladen noch abschöpfen, sie muss gebaut werden. Und dort ist die Ausgangslage einseitig. Die EuroStack-Initiative schätzt, dass Europa über 80 Prozent seiner digitalen Infrastruktur importiert, im Cloudmarkt halten europäische Anbieter nur noch rund 15 Prozent.
Die bequeme Erklärung dafür lautet Regulierung, aber der Rückstand ist älter als der AI Act. KI setzt auf den Infrastrukturen der vorherigen Digitalisierungswellen auf, und dort fehlte Europa beides: Plattformkonzerne mit globaler Cloud und Cashflows für Modelltraining im Milliardenmaßstab. Dazu kommt der Kapital-Engpass. Nach Berechnungen der Europäischen Investitionsbank fließt in US-Unternehmen jährlich das Sechs- bis Achtfache an Venture Capital, bei vier von fünf großen europäischen Finanzierungsrunden führt ein ausländischer Investor.
Und wer das Geld gibt, verlegt die Firma oft ins Ausland oder kauft sie ganz, wie DeepMind, ARM und zuletzt Silo AI zeigen. An der Forschung liegt es nicht: Laut JRC stammten 2023 rund 21 Prozent der weltweiten Veröffentlichungen zu generativer KI aus der EU, aber nur etwa 2 Prozent der zugehörigen Patentanmeldungen. Europa erfindet, andere industrialisieren.
Nicht geholfen hat schließlich der in Teilen der europäischen Debatte verbreitete Reflex, große Sprachmodelle als statistische Papageien abzutun. Ob Transformer der eleganteste Weg zu echter Intelligenz sind, ist eben eine andere Frage als die, ob man die darauf beruhenden Systeme selbst beherrschen muss.
Dass die Richtung stimmt, zeigt ausgerechnet Mistral. Europas Modell-Champion hat sich zum Full-Stack-Anbieter entwickelt und kündigte am 11. August regionale Endpoints, den Betrieb fremder Open-Weights-Modelle auf der eigenen Plattform und gebündelte europäische Compute-Nachfrage an, bis 2030 sollen bis zu ein Gigawatt Kapazität entstehen.
Damit versammelt Mistral als einziger europäischer Anbieter alle drei Bausteine: eigene Modelle, eigene Plattform, geplante Rechenkapazität.
Vollständig ist das Angebot trotzdem nicht. Agentische Arbeitslasten, um die es in dieser Ausgabe geht, unterstützen die Endpoints vorerst nicht. Und das Hosting fremder offener Modelle hat zwei Schwächen: Wer Qwen betreibt, sammelt zwar das Einsatzwissen ein, aber die nächste Qwen-Generation trainiert Alibaba, in bessere Modelle übersetzen kann Europa dieses Wissen nur selbst. Zudem laufen die eintrainierten Wertentscheidungen des Modells ungefiltert mit, solange sie niemand im Post-Training nachjustiert.
Derweil baut die Konkurrenz den fehlenden Baustein direkt vor Ort auf: OpenAIs DeployCo übernahm mit Tomoro rund 150 Deployment-Spezialisten und eröffnet Standorte in Paris, London und München.
Auf dem Papier hat die EU das Problem erkannt. InvestAI soll 200 Milliarden Euro mobilisieren, davon 20 Milliarden für KI-Gigafactories, der Cloud and AI Development Act soll die Rechenzentrumskapazität mindestens verdreifachen, mit Jupiter in Jülich läuft das erste europäische Exascale-System. Gebaut ist davon wenig. Die Gigafactory-Ausschreibung wurde mehrfach verschoben, erste Anlagen sollen frühestens 2027 entstehen, während allein die vier größten US-Konzerne 2026 rund 700 Milliarden Dollar in KI investieren dürften, das Dreifache der gesamten, über Jahre gestreckten europäischen Initiative.
Vor allem aber fördert das Geld nur einen Teil dessen, was den Vorsprung der US-Labore ausmacht. Der beruht, das haben die Kapitel zuvor gezeigt, auf einem Kreislauf: Rechenkapazität trainiert Modelle, die Modelle arbeiten in Agentensystemen bei Kunden, und aus diesem Einsatz stammt das Wissen für die nächste Generation.
Die Gigafactories decken davon nur den ersten Schritt ab. Der ist nötig, denn ohne eigene Rechenkapazität bleibt jede weitere Ebene erpressbar, wie Chinas erzwungene Umwege bei der Hardware zeigen. Nur schließt sich der Kreislauf nicht im Rechenzentrum, sondern beim Einsatz.
Bleibt die naheliegende Antwort, dann eben konsequent auf amerikanische und chinesische Open-Weights-Modelle zu setzen. Dagegen sprechen drei Einwände.
Der erste betrifft den Nachschub. Auf die nächste offene Generation gibt es keinen Anspruch, ihre Freigabe bleibt eine widerrufliche Geschäftsentscheidung: Meta hielt das angekündigte Behemoth-Modell zurück, multimodale Llama-Modelle erschienen aus Lizenzgründen nicht für EU-Unternehmen, die USA belegten Fable 5 und Mythos 5 mit Exportbeschränkungen, die für Fable 5 erst nach 18 Tagen wieder fielen, Peking erwägt laut Reuters Beschränkungen für den Auslandszugang zu Chinas besten Modellen, ausdrücklich auch für offene, und selbst Z.ai hält die Gewichte von GLM-5.3 zunächst zurück.
Dahinter droht ein grundsätzlicherer Bruch. In einer Interviewstudie mit 25 Forschern führender Labore erwarteten nur vier von zwanzig Befragten, dass Modelle, die KI-Forschung selbst automatisieren können, überhaupt noch als Produkt erscheinen. Die Mehrheit rechnet damit, dass die stärksten Versionen im Haus bleiben, weil sie dort den Vorsprung vergrößern, statt ihn zu verkaufen.
Der zugängliche Markt, ob offen oder per API, bildete dann nur noch die zweite Reihe ab. Das relativiert auch die gute Nachricht vom Kapitelanfang: Kopieren lässt sich nur, was verkauft wird.
Der zweite Einwand folgt aus dem vorigen Kapitel. Wer ein fremdes Modell einsetzt, übernimmt dessen eintrainierte Weltsicht, bei chinesischen Modellen die staatlich verordnete Zensur, bei amerikanischen die Content-Politik privater Konzerne, die sich mit jedem Machtwechsel in Washington verschieben kann.
Systemsouveränität braucht deshalb auch eine normative Schicht: eigene Evaluationsinfrastruktur, die neben Fähigkeiten auch Informationsintegrität und Verweigerungsverhalten misst, und die Kapazität, offene Modelle im Post-Training nachzujustieren. Der CTGT-Befund zeigt, dass das technisch geht. Ob es in Europa jemand systematisch und auditierbar tut, ist offen.
Der dritte Einwand: Selbst eigene Modelle ergeben noch keine Souveränität, denn die ist auf jeder Schicht des Stacks einzeln verwundbar. Das führt ausgerechnet China vor. Alibaba und ByteDance kontrollieren die Modellschicht und besitzen heimische Rechenzentren. Doch die neuesten Nvidia-Chips dürfen nicht ins Land, die verfügbaren Alternativen liefern pro Chip und Watt deutlich weniger, und so sollen beide Konzerne für das Training ihrer Spitzenmodelle auf angemietete Nvidia-Hardware bei ausländischen Betreibern ausgewichen sein.
Und wie schnell eine fremdkontrollierte Schicht zum politischen Hebel wird, hat Europa selbst erlebt: Als die USA den Chefankläger des Internationalen Strafgerichtshofs sanktionierten, kappte Microsoft dessen E-Mail-Zugang. Souveränität ist immer nur so stark wie die schwächste Schicht, die jemand anderes kontrolliert.
Zu diesen Schichten kommt gerade die entscheidende neue hinzu: der Zugang zu echter Arbeit. Die frei verfügbaren Internetdaten sind weitgehend ausgeschöpft. Was Modelle künftig besser macht, sind Expertenwissen, Prozesskenntnis und Einsatzerfahrung, teils als eingekaufte Trainingsdaten, ein Markt, der binnen kurzer Zeit zum Milliardengeschäft wurde, vor allem aber als Wissen, welche Fähigkeiten sich zu trainieren lohnen.
Ein fertiges Modell lässt sich kopieren, der Zugang zu der Arbeit, aus der das nächste lernt, nicht. Wer die Systeme betreibt, über die diese Arbeit läuft, verdient doppelt: an der Arbeit des aktuellen Modells und am Wissen, was das nächste können muss, ermöglicht durch Reinforcement Learning.
Für Europa geht es dabei um mehr als eine Geschäftschance, denn betroffen ist die Grundlage seiner Position in der Welt. Europas Gewicht speist sich aus dem Binnenmarkt, der Kraft, Standards zu setzen, und aus hochwertiger Kopfarbeit.
Die gerät von zwei Seiten unter Druck: KI entwertet sie, sichtbar schon am schrumpfenden Einstiegsmarkt für Junior-Entwickler, und KI überführt sie zugleich in fremde Systeme.
Zum bekannten Abfluss durch Firmenverkäufe kommt ein zweiter, schnellerer Kanal: Fachwissen fließt heute portionsweise in fremde Modelle, über Datenvendoren, die Experten an die Labore vermitteln, und über Deployment-Einheiten, die sich in europäische Kernprozesse einbetten. Es wäre eine Abwanderung nicht in billigere Länder wie einst in der Industrie, sondern in fremde KI-Modelle, diesmal beim geistigen Kapital.
Zugleich ist genau diese Arbeit Europas größtes Kapital in diesem Wettbewerb, denn sie ist der Rohstoff, um den das Modellrennen künftig geführt wird, und Europa besitzt davon viel.
Läuft sie über fremde Systeme, bezahlt Europa doppelt: Es liefert das Wissen und kauft die Ergebnisse als nächste Modellgeneration zurück. Läuft sie über eigene, wird aus dem größten Einsatzmarkt erstmals ein struktureller Vorteil.
Nur verfällt diese Chance anders als ein Modellrückstand: Der Zugang lässt sich nicht nachträglich kopieren oder zurückkaufen, sondern nur besetzen, solange er frei ist. Besetzen heißt, den Kreislauf aus Compute, Modellen und Einsatz auf eigenem Boden zu schließen.
Der Vorsprung wandert vom Modell in den Betrieb
Chinesische Open-Weights-Modelle haben in den gängigen Benchmarks weitgehend zur US-Spitze aufgeschlossen. Der verbleibende westliche Vorsprung sitzt nur noch in abstrakten Spezialtests, in der Wiederholzuverlässigkeit und in offensiven Cyberfähigkeiten. Auch dort schrumpft er. Daraus folgt die These des Textes, dass ein Modellvorsprung nicht verteidigbar ist. Alles, was über APIs verkauft wird, ist binnen Monaten kopierbar. Verteidigbar bleibt nur das Gesamtsystem aus Recheninfrastruktur, Agentenplattform und dem Rückkanal aus echtem Kundeneinsatz. Genau auf dieser Ebene liegt Europa strukturell zurück.
Baseline
Die Benchmark-Konvergenz setzt sich fort. Chinesische Labore schließen in einzelnen Disziplinen weiter auf, US-Labore halten einen schmalen, wandernden Vorsprung bei Zuverlässigkeit und in abgeschirmten Hochrisikofähigkeiten. Die Preiskonkurrenz verlagert den Wettbewerb auf die Kosten pro akzeptiertem Ergebnis, während US-Anbieter ihre Position über Deployment-Einheiten, Agentenplattformen und Rechenzentrumsausbau festigen. Distillationsvorwürfe, Exportkontrollen und Gesetzesinitiativen laufen weiter, ohne das Abschöpfen praktisch zu unterbinden. Europa bleibt Anwender, Mistral baut den eigenen Stack aus, die EU-Programme greifen frühestens ab 2027, und der Rückkanal aus europäischer Facharbeit läuft überwiegend über fremde Systeme.
Beschleunigung
Treiber wären ein funktionierender chinesischer Hardware-Stack mit gelöstem HBM-Engpass und reifer CANN-Softwareschicht sowie die frühe Optimierung offener Modelle auf heimische Chips. So würden chinesische Modelle auch in Drittstaaten zur Standardwahl. Gleichzeitig schließt sich der Kreislauf auf US-Seite schneller, weil Agenten längere Arbeitsketten übernehmen und Einsatzwissen rascher in Trainingsumgebungen fließt. Die stärksten Modelle blieben dann, wie in der zitierten Forscherbefragung erwartet, als interne Systeme im Haus, und der zugängliche Markt bildete nur noch die zweite Reihe ab. Modelle würden zur Commodity, die Marge wanderte zu Infrastruktur und Deployment. Europa verlöre den Anschluss und zugleich die Option, weil der Zugang zur eigenen Facharbeit besetzt ist, bevor eigene Kapazität steht.
Verlangsamung
Bremsend wirken drei Faktoren. Der Zuverlässigkeitsabstand nach dem pass^5-Maß erweist sich als hartnäckig, weil er nicht mit Skalierung mitwächst. Die Agenten-Nachfrage bleibt hinter dem Kapazitätsausbau zurück und macht die Infrastrukturwette teuer. Exportkontrollen, Distillationsgesetze sowie Pekings erwogene Ausfuhrbeschränkungen verlangsamen den Fluss offener Gewichte in beide Richtungen. Fehlt zudem der Durchbruch bei Continual Learning oder bei tragfähigen Memory-Systemen, bleibt der Rückkanal aus Kundeneinsatz lange nur ein Hinweisgeber für die Roadmap und kein Vorsprungsgenerator. Ergebnis wäre ein längeres Plateau, auf dem der Modellvorsprung relativ an Wert gewinnt, weil Zuverlässigkeit knapp bleibt, während sinkende Compute-Preise Nachzügler entlasten. Für Europa entstünde ein Zeitfenster, das allerdings nur nutzt, wer bis dahin Rechenkapazität und Deployment-Kompetenz aufgebaut hat.
Unser Standpunkt
Am wahrscheinlichsten ist das Baseline-Szenario mit Tendenz zur Beschleunigung. Für die fortgesetzte Konvergenz spricht, dass beide möglichen Erklärungen, Distillation oder eigene Substanz, zum selben Ergebnis führen. Zudem greift keine der bisherigen Gegenmaßnahmen technisch, denn Modellausgaben lassen sich nicht unbeobachtbar machen. Gegen eine schnelle Beschleunigung spricht die Hardwareseite, weil HBM-Engpass, Effizienznachteile der Ascend-Cluster und Softwarereife keine Fragen von Monaten sind. Für europäische Anwender ändert die Szenariowahl wenig, denn in allen drei Fällen entscheidet, ob Einsatzwissen und Normsetzung im eigenen Zugriff bleiben. Und wer das erreichen will, muss die Systeme selbst betreiben, nicht nur die Modelle einkaufen.
