Kurz gesagt: Die jüngsten KI-Produktupdates sind weniger Feature-News als ein Test für saubere Systemgrenzen. Persistenter Aktivitätskontext, schnellere Agentenmodelle und Browser-Aktionen erweitern den Kontext, den ein Modell sehen oder auf den es handeln kann. Behandeln Sie jede Fähigkeit daher als abgegrenzte Integration: benannte Datenquellen, explizite Aktionen, prüfbare Nachweise und ein schneller Entzug der Berechtigung.
Persistenter Kontext ist eine Data-Governance-Entscheidung
OpenAI hat Computer History für die ChatGPT-macOS-App ergänzt. Die optionale Funktion erlaubt ChatGPT und Codex, auf ausgewählte Aktivitäten in Anwendungen und Websites Bezug zu nehmen. Laut OpenAI werden Interaktionsereignisse erfasst, nicht Screenshots, Bildschirmaufnahmen oder Audio; privates Surfen ist ausgeschlossen. Die Funktion ist standardmäßig deaktiviert. In Business- und Enterprise-Workspaces muss ein Administrator den Zugriff zuerst freigeben. Im EWR, Vereinigten Königreich und in der Schweiz ist sie derzeit nicht verfügbar.
Diese Verfügbarkeitsgrenze verhindert eine unbeabsichtigte Einführung in Deutschland, ersetzt aber keine Richtlinie. Auch „Interaktionsereignisse“ können Kundennamen, Anwendungsnamen, Dokumenttitel, Abläufe und sensiblen Geschäftskontext offenlegen. Legen Sie vor der Aktivierung einer vergleichbaren Funktion fest, welche verwalteten Endgeräte und Anwendungen im Geltungsbereich liegen; schließen Sie private Accounts aus; definieren Sie Aufbewahrung und Löschung; und benennen Sie einen Verantwortlichen für die Nachweise. Für einen konkreten Einsatz können Datenschutz- und Betriebsratsprüfung erforderlich sein; dies ist keine Rechtsberatung.
Das Kontrollmuster entspricht der Data Governance für Hochrisiko-KI: Sie müssen Herkunft nachweisen sowie Lösch- und Zugriffsentscheidungen testbar machen.
Günstigere, schnellere Modelle erhöhen die Anforderungen an Releases
Google hat Gemini 3.6 Flash, Gemini 3.5 Flash-Lite und Gemini 3.5 Flash Cyber für produktive Agenten-Workloads angekündigt und positioniert die Familie über Token-Effizienz, Latenz und Zuverlässigkeit. Für Unternehmen folgt daraus nicht, dass ein kleineres oder schnelleres Modell automatisch sicherer produktiv einsetzbar ist. Niedrigere Stückkosten machen häufigere Aufrufe, mehr Schritte und mehr Tools wirtschaftlich. Damit wachsen die Entscheidungspunkte, Modellversionen und Fehlerpfade, die beobachtet werden müssen.
Der Einkauf sollte deshalb vor jeder Routing-Änderung ein Modell-Release-Bundle verlangen: exakte Modellkennung, Region und Servicebedingungen; einen repräsentativen Evaluierungssatz; Latenz- und Kostengrenzen; Fallback-Verhalten; sowie Rollback-Kriterien. Testen Sie das vorgeschlagene Modell gegen denselben berechtigungsgefilterten Retrieval-Korpus und dieselbe Tool-Policy-Suite wie den Vorgänger. Ändern sich Ausgabequalität, Verweigerungsverhalten oder Schema-Konformität, ist dies eine produktive Änderung und kein SDK-Upgrade.
Eine belastbare Grundlage ist ein reproduzierbares und reversibles LLM-Release-Bundle—insbesondere wenn Modell-Aliasse oder Routing-Defaults sich unterhalb Ihrer Anwendung ändern können.
Browser-Agenten brauchen eine Aktionsgrenze
Anthropic hat Claude for Chrome erweitert und beschreibt Schutzmaßnahmen für Browser-Nutzung, die nicht vertrauenswürdige Inhalte prüfen, Klassifikatoren einsetzen und das Modellverhalten verbessern. Die zugehörige Sicherheitsforschung bleibt zu Recht vorsichtig: Eine Erfolgsrate von einem Prozent bei Angriffen ist weiterhin ein relevantes Risiko, und jede Seite, jedes Dokument, jede Werbung oder dynamisch geladene Element kann gegnerische Anweisungen enthalten. Das gilt für Browser-Agenten aller Anbieter.
Geben Sie einem Browser-Agenten keine breite, permanente Berechtigung für eine angemeldete Mitarbeitersitzung. Beginnen Sie mit einem separaten Browserprofil, einer Allowlist risikoarmer interner Websites, lesenden Aufgaben und einem Service-Account mit minimalen Rechten. Setzen Sie Freigaben vor externe Übermittlungen, Löschungen, Zahlungen, Berechtigungsänderungen und Downloads. Protokollieren Sie Auftrag, besuchte Seiten, vorgeschlagene Aktion, Freigabe und Ergebnis. Berührt ein Vorgang Kunden-, Mitarbeiter- oder regulierte Daten, prüfen Sie Datenresidenz und Unterauftragsverarbeiter, bevor Sie den Connector aktivieren.
So wird Prompt Injection von einem reinen Modellthema zu einer Betriebskontrolle—im Einklang damit, abgerufene Dokumente als nicht vertrauenswürdige Eingabe zu behandeln.
Die praktische Entscheidung
Wählen Sie für die nächsten dreißig Tage einen browsergestützten Ablauf ohne irreversible Aktion, etwa das Sammeln strukturierter Daten aus einem freigegebenen internen Portal. Messen Sie Abschlussrate, menschliche Eingriffsrate, blockierte Injections, Latenz und Kosten. Skalieren Sie nicht aufgrund einer Demonstration. Skalieren Sie erst, wenn Ihr Team nach einem Vorfall Berechtigungen, Datenflüsse, Modellversionen und Freigaben weiterhin nachvollziehen kann. So werden neue Fähigkeiten zu nützlichen Enterprise-Systemen statt zu einer größeren, schwerer prüfbaren Angriffsfläche.
Primärquellen
OpenAI, ChatGPT Release Notes.
Google, Introducing Gemini 3.6 Flash, 3.5 Flash-Lite, and 3.5 Flash Cyber.
Anthropic, Mitigating the risk of prompt injections in browser use.
