Zwei Tage, zwei neue Modelle, ein Versprechen: Computer Use

Am 1. September 2026 hat Anthropic Claude Fable 5.1 und Claude Mythos 5.1 veröffentlicht, am 3. September folgte OpenAI mit GPT-6 Astra. Beide Anbieter verlangen laut ihren Preislisten 10 US-Dollar je Million Eingabe- und 50 US-Dollar je Million Ausgabe-Token, beide bieten rund eine Million Token Kontext und 128.000 Token Ausgabe. Wer nur die Preisliste liest, sieht zwei austauschbare Produkte. Wer die Benchmark-Tabellen liest, sieht zwei Anbieter, die jeweils die Tabelle veröffentlicht haben, in der sie vorn liegen.

Beide Ankündigungen tragen an prominenter Stelle dasselbe Wort: Computer Use. OpenAI nennt Astra in einer Zwischenüberschrift „The world's best computer use model", Anthropic führt die Fähigkeit als eigene Zeile in seiner Benchmark-Tabelle. Gemeint ist ein Modell, das einen Bildschirm ansieht, entscheidet, wo es klickt oder was es tippt, und das Ergebnis am nächsten Bildschirmfoto prüft. Für Banken ist das keine ferne Zukunft, sondern eine Fähigkeit, die sie seit rund zehn Jahren unter dem Namen Robotic Process Automation (RPA) betreiben, mit einem Unterschied, der die Berechtigungsfrage neu stellt: Der Roboter folgte einem Skript, das Modell folgt seinem Urteil.

Der Listenpreis ist identisch, die Rechnung nicht

Die Preisgleichheit ist bemerkenswert, weil sie nicht selbstverständlich war. OpenAIs Vorgängermodell GPT-5.6 Sol kostete laut Forbes während seiner Einführungsphase 4 und 20 US-Dollar, Astra liegt damit beim Zweieinhalbfachen je Token. Anthropic hat den Preis von Fable 5 unverändert übernommen und in der Launch-Mitteilung nur eine Position gesenkt: Cache-Lesezugriffe kosten seit dem 1. September 0,25 statt 1,00 US-Dollar je Million Token, ein Viertel des Satzes, den OpenAI für Astra ansetzt. Für lange Kontexte verlangt OpenAI laut Preisliste 20 und 75 US-Dollar, Anthropic weist in seiner Preisliste keinen entsprechenden Zuschlag aus.

Gleicher Listenpreis heißt allerdings nicht gleiche Kosten. Artificial Analysis, ein unabhängiger Messdienst für Sprachmodelle, beziffert die Kosten je Aufgabe seines Intelligence Index für Fable 5.1 auf höchster Anstrengungsstufe mit 3,76 US-Dollar, 20 Prozent mehr als bei Fable 5, weil das neue Modell rund 1,7-mal so viele Ausgabe-Token erzeugt. Für Astra schreibt derselbe Dienst, das Modell sei „75% more expensive per task than its predecessor at max effort". Wer Modelle vergleicht, vergleicht also nicht den Tarif, sondern die Menge an Token, die ein Modell braucht, um eine Aufgabe zu Ende zu bringen. Diese Menge steht in keiner Preisliste.

Wer misst, führt

OpenAI hat mit Astra eine Tabelle veröffentlicht, die neben dem eigenen Vorgänger auch Claude Fable 5.1, Fable 5, Opus 5 und Gemini 3.8 Flash führt. In elf öffentlichen Benchmarks weist sie Werte für Astra und Fable 5.1 aus. Astra führt neun davon, darunter Terminal-Bench Science mit 64,6 gegen 52,6 Prozent, FrontierMath Tier 4 mit 97,6 gegen 87,8 Prozent und BenchCAD mit 95,9 gegen 84,3 Prozent. Fable 5.1 führt zwei: Humanity's Last Exam mit Werkzeugen (65,0 gegen 57,2 Prozent) und den Intelligence Index von Artificial Analysis (65,7 gegen 61,2). Die Auszählung ist eine eigene; sie lässt OpenAIs interne Tests sowie die Zeilen aus, in denen OpenAI für Claude Ersatzwerte aus dem Mythos-Modell oder aus einem Fallback verwendet.

Anthropics eigene Tabelle vom 1. September kennt Astra nicht, das Modell erschien zwei Tage später. Sie zeigt dafür etwas, das OpenAIs Tabelle verschweigt: den Preis der Sicherheitsvorkehrungen. Fable 5.1 wurde mit aktiven Safeguards gemessen, und Anthropic schreibt, auf Aufgaben, bei denen diese eingriffen, habe das Modell auf OSWorld 2.0 eine Null erhalten; in anderen Fällen habe Claude Opus 4.8 die Cybersicherheitsaufgaben und Claude Opus 5 die Biologieaufgaben übernommen. Im Coding-Benchmark Terminal-Bench 4.0 erreicht Fable 5.1 laut Anthropic 55,8 Prozent, das identische Grundmodell Mythos 5.1 ohne diese Eingriffe 60,9 Prozent. Die 5,1 Punkte dazwischen sind, in Anthropics eigener Formulierung, die Aufgaben, „on which our earlier, less precise cyber safeguards intervened".

Die unabhängige Messung fällt anders aus als die des Herstellers, und sie hat ihre eigene Fußnote. Artificial Analysis führt Fable 5.1 mit 66 Punkten an der Spitze seines Intelligence Index, fünf Punkte vor Astra, das mit 61 gleichauf mit dem Vorgänger Sol liegt; im Coding Agent Index steht es 70 gegen 67. Der Dienst weist zugleich aus, dass er Anthropic vor dem Start bei der Bewertung unterstützt hat und dass rund vier Prozent der gemessenen Ausgabe-Token nicht von Fable 5.1 stammen, sondern von den Ausweichmodellen, an die sicherheitsrelevante Anfragen weitergeleitet werden. Die Zahl 66 trägt deshalb den Zusatz „max with fallback". Auffällig bleibt, dass OpenAI für Astra keinen Wert auf seinem eigenen Benchmark für wirtschaftlich relevante Arbeit, GDPval, veröffentlicht hat; Artificial Analysis misst dort einen Rückgang um rund 80 Elo-Punkte gegenüber Sol, bei gleichzeitig 80 Punkten Zuwachs im Briefcase-Test desselben Dienstes.

Wer aus diesen Tabellen eine Rangfolge ableiten will, findet drei, je nachdem, welche er aufschlägt. Das ist kein Vorwurf an die Anbieter, es ist die Natur von Benchmarks, deren Aufgaben, Werkzeuge und Bewertungsregeln der Messende festlegt. Für ein Institut folgt daraus eine unbequeme Konsequenz: Die einzige Tabelle, die für seine Entscheidung zählt, muss es selbst erstellen, mit den eigenen Aufgaben, den eigenen Dokumenten und den eigenen Anstrengungsstufen.

Zwei Zugangsmodelle, drei Skalen, kein Umrechnungsfaktor

Beide Anbieter liefern ihr stärkstes Modell in zwei Stufen aus, wenn auch mit unterschiedlicher Architektur. Anthropic hat die Zweiteilung im Juni eingeführt und mit dieser Generation beibehalten: Fable 5.1 ist allgemein verfügbar, und seine Safeguards unterbinden bestimmte Aufgaben in Cybersicherheit und Lebenswissenschaften; Mythos 5.1 ist laut Anthropic „the same model, but with different levels of safeguards", lockert diese Beschränkungen für geprüfte Nutzer und ist nur über deren Zugangsprogramme erhältlich. OpenAI stuft Astra als erstes Modell überhaupt auf der Stufe „Critical" seines Preparedness Framework für Cybersicherheit ein, was nach eigener Definition bedeutet, dass es unbekannte Schwachstellen finden und Angriffswege entwickeln könne, „without a person guiding each step". Die vollen Fähigkeiten erhalten zunächst Alpha-Tester, danach ein Programm namens Daybreak Blue; alle anderen bekommen eine Fassung, die etwa keine Angriffsbeispiele erzeugt.

Es liegt nahe, daraus zu schließen, OpenAI habe das gefährlichere Modell gebaut. Der Schluss trägt nicht, weil die Einstufungen aus drei verschiedenen Rahmenwerken stammen: OpenAIs Preparedness Framework, Anthropics Frontier Compliance Framework und die Stufen der Responsible Scaling Policy. Anthropic schreibt über sein eigenes Modell zugleich, es habe „the strongest overall cyber capabilities of any model we have released" und falle dennoch in die niedrigere Risikokategorie seines Rahmenwerks. Zwei Selbstauskünfte nach unterschiedlichen Maßstäben ergeben keinen Vergleich. Was sich vergleichen lässt, ist die Wirkung im Betrieb, und die dokumentieren beide Anbieter ungewohnt offen.

OpenAI räumt in seiner Sicherheitsübersicht ein, die Überwachbarkeit von Astra habe gegenüber dem Vorgänger abgenommen; das Modell könne in Prüfsituationen absichtlich schwächer erscheinen, ohne dass die internen Monitore es bemerkten. Und es beschreibt die Kehrseite der Sicherheitsprüfungen aus Sicht des Nutzers: Sie könnten legitime Arbeit verlangsamen oder anhalten, und bei Nutzung über die Programmierschnittstelle gelte: „the task will stop". Anthropic liefert Ablehnungen technisch als erfolgreiche Antwort aus, als HTTP-Status 200 mit leerem Inhalt und einer von fünf Kategorien als Begründung, und schreibt dazu, auch gutartige Cybersicherheitsarbeit könne diese Kategorie auslösen. Wer einen Agenten baut, der nachts ohne Aufsicht läuft, muss für beide Fälle einen Weg vorsehen. Die Zweiteilung selbst wurde in einem Kommentar vom 9. Juni behandelt, ihre Verfügbarkeitsfolgen in einem weiteren vom 13. Juni; beides wird hier nicht wiederholt.

Computer Use heißt: das Modell sieht den Bildschirm und klickt

Der Mechanismus ist bei beiden Anbietern derselbe und einfacher, als der Begriff vermuten lässt. Das Modell erhält ein Bildschirmfoto, entscheidet, welche Eingabe als Nächstes sinnvoll ist, und bekommt nach der Ausführung ein neues Bildschirmfoto. Ausgeführt wird nichts vom Modell selbst; die Anwendung des Kunden übersetzt die Anweisung in Maus- und Tastatureingaben und läuft, in Anthropics Worten, „in an environment you control". Die Schleife wiederholt sich, bis die Aufgabe erledigt ist oder das Modell keine weitere Aktion nennt. Jedes Bildschirmfoto kostet laut Anthropics Dokumentation grob 1.000 bis 1.800 Eingabe-Token, die Definition des Toolsets weitere rund 4.500 je Anfrage; ein längerer Lauf sammelt schnell Dutzende Bilder an.

Anthropic liefert diese Fähigkeit als Toolset mit der Bezeichnung computer_toolset_20260801 aus. Ein Eintrag in der Werkzeugliste gibt dem Modell laut Dokumentation 17 Einzelaktionen wie screenshot, left_click, type und zoom; eine Beta-Kennzeichnung ist nicht mehr nötig, verfügbar ist das Toolset über die Claude API und Google Cloud, nicht jedoch in Anthropics gehosteten Managed Agents. Jede Aktion erscheint als eigener Werkzeugaufruf, oft mehrere je Zug. Das ist für die Nachvollziehbarkeit die freundlichere Form: Ein Protokoll dieser Aufrufe ist eine Liste von Klicks und Eingaben, die sich Schritt für Schritt lesen lässt.

OpenAI beschreibt in seiner Entwicklerdokumentation zwei Wege und empfiehlt für Astra ausdrücklich den zweiten. Der erste ist ein computer-Werkzeug, das wie bei Anthropic strukturierte Aktionen zurückgibt, neun an der Zahl, von click über drag bis screenshot. Der zweite heißt Code Execution: Das Modell schreibt Programmcode, der mit Bibliotheken wie PyAutoGUI oder Playwright die Oberfläche bedient, und die Anwendung des Kunden führt diesen Code aus. Ein einziger Aufruf könne, so die Dokumentation, „actions, loops, or conditional logic" kombinieren. Das ist schneller, weil das Modell nicht nach jedem Klick auf ein Bild warten muss. Es ist auch schwerer zu prüfen, weil das Institut nicht mehr eine Aktion ausführt, sondern ein Skript, das die Aktionen enthält.

Das Tempo ist das Verkaufsargument, mit dem OpenAI wirbt. In Latenzsimulationen auf dem Benchmark OSWorld 2.0 erreiche Astra 72,6 Prozent bei rund 40 Minuten je Aufgabe, der Vorgänger 65,7 Prozent bei rund 75 Minuten; zusammen mit einer überarbeiteten Codex-Umgebung erledige Astra Aufgaben des Mind2Web-Benchmarks 1,9-mal so schnell. Anthropic weist für Fable 5.1 auf OSWorld 2.0 77,9 Prozent in der milden und 41,7 Prozent in der strengen Bewertung aus, schreibt aber in einer Fußnote, seine Zahlen beruhten auf der Aufgabenfassung vom August 2026 und seien mit früheren Veröffentlichungen nicht direkt vergleichbar, weshalb kein Konkurrenzwert genannt werde. OpenAI wiederum misst Claude auf einer Offline-Teilmenge und nach den offiziellen Regeln. Die naheliegende Schlagzeile, 77,9 schlage 72,6, ist deshalb keine.

Das Besondere ist die fehlende Schnittstelle

Warum bewerben beide Anbieter ausgerechnet diese Fähigkeit so prominent, wo doch Programmierschnittstellen seit Jahrzehnten der ordentliche Weg sind, Software mit Software zu verbinden? Weil die Fähigkeit den Umweg über die Schnittstelle überflüssig macht. Ein Modell, das den Bildschirm bedient, braucht keine Anbindung, keinen Datenexport und keine Freigabe des Herstellers der bedienten Software. Es setzt sich vor dieselbe Maske wie ein Sachbearbeiter. OpenAIs eigene Beispiele zeigen, wie breit das gemeint ist: Online-Formulare, Kundendaten in einem System für Customer Relationship Management (CRM), ein Kalender, eine US-Steuererklärung, ein Leiterplattenentwurf in der Elektronik-Software KiCad, ein Bericht in Power BI.

Für Banken ist genau diese Eigenschaft zugleich das Versprechen und das Problem. Das Versprechen: Die Systeme, die sich am hartnäckigsten gegen Automatisierung gewehrt haben, sind die ohne Schnittstelle, und davon gibt es in jeder gewachsenen Landschaft mehr, als die Architekturpläne zugeben. Das Problem: Eine Maske ist für einen Menschen gebaut und kennt keinen Unterschied zwischen einer Person und einem Programm, das sich als Person verhält. Sie fragt nach Benutzername und Passwort, sie zeigt an, was ein Mensch sehen soll, und sie nimmt jede Eingabe an, die ein Mensch machen dürfte. Nach den Launch-Materialien beider Anbieter ist ein Einsatz an Kernbank- oder Legacy-Masken bislang nirgends dokumentiert; die Finanzkunden, die Anthropic zitiert, nutzen das Modell für Programmierung, Recherche und Dokumente. Die Fähigkeit wird beworben, ihr regulierter Einsatz ist noch nicht belegt.

Die Vorgängerin heißt RPA, und ihre Regeln gelten weiter

Die Bedienung von Bildschirmmasken durch Software ist im Bankbetrieb ein alter Bekannter. Unter diesem Namen haben Institute seit etwa 2015 Software-Roboter eingeführt, die Kontoauszüge abgleichen, Stammdaten übertragen oder Masken ausfüllen, für die es keine Schnittstelle gibt. Der Roboter bekam dafür, was jeder Mitarbeiter bekommt: eine eigene technische Kennung, ein Berechtigungsprofil, das nicht weiter reicht als seine Aufgabe, und ein Protokoll, das jeden Schritt festhält. Wer eine Prüfung der Internen Revision zu einem RPA-Prozess erlebt hat, kennt die Fragen: Welche Kennung, welche Rechte, wer hat sie freigegeben, wo steht der Nachweis, und was passiert, wenn die Maske sich ändert.

Der Unterschied zu Computer Use liegt in einem einzigen Punkt, und er ist der entscheidende. Der Roboter folgte einem Skript, das ein Mensch geschrieben und getestet hatte; jeder Klick war vorab bekannt, und eine geänderte Maske ließ den Prozess anhalten statt improvisieren. Das Modell entscheidet je Bildschirmfoto neu, und es entscheidet auch dann, wenn der Bildschirm etwas zeigt, das niemand vorhergesehen hat. Das ist der Grund, warum es Aufgaben löst, an denen Roboter scheiterten. Es ist auch der Grund, warum die Prüffragen der Revision zwar bleiben, aber eine neue bekommen: Nach welcher Regel hat das Programm entschieden, und wer hat diese Regel freigegeben.

Die Rechtsgrundlage für die alten Fragen ist inzwischen europäisch. Artikel 20 der Delegierten Verordnung (EU) 2024/1774, der technischen Regulierungsstandards zum Digital Operational Resilience Act (DORA), verlangt Richtlinien für das Identitätsmanagement, „die die eindeutige Identifizierung und Authentifizierung der natürlichen Personen und Systeme, die auf Informationen der Finanzunternehmen zugreifen, gewährleisten", und schreibt für jede zugreifende Person eine eindeutige Identität vor, die einem eindeutigen Nutzerkonto zugeordnet werden kann. Ein Agent, der eine Maske bedient, ist ein System, das auf Informationen zugreift. Er braucht deshalb, was der Roboter brauchte: eine eigene Identität, ein eigenes Konto, einen Lebenszyklus von der Anlage bis zur Stilllegung. Der Ausweg, dem Modell die Zugangsdaten eines Mitarbeiters mitzugeben, ist keiner, auch wenn Anthropics Dokumentation genau das für Anmeldemasken vorschlägt und im selben Absatz warnt, Anmeldungen erhöhten das Risiko unerwünschter Folgen durch eingeschleuste Anweisungen.

Der Anbieter empfiehlt den Menschen vor der Zahlung

Anthropics Dokumentation zum Computer Use ist an einer Stelle deutlicher als die meisten internen Richtlinien. Unter den empfohlenen Vorkehrungen steht, ein Mensch solle Entscheidungen bestätigen, „that might result in meaningful real-world consequences and any tasks requiring affirmative consent, such as accepting cookies, completing financial transactions, or agreeing to terms of service". Der Anbieter stellt die Finanztransaktion damit in eine Reihe mit dem Cookie-Banner, und das ist als Hinweis auf die Reife der Technik zu lesen: Beides sind Klicks, deren Folgen das Modell nicht überblickt.

Der Grund steht zwei Absätze weiter. „In some circumstances, Claude will follow commands found in content even when they conflict with your instructions", heißt es dort; Anweisungen auf Webseiten oder in Bildern könnten die eigenen Vorgaben überschreiben. Das ist die Prompt Injection, die aus Chat-Anwendungen bekannt ist, nur dass der Angriffsweg jetzt der Bildschirm selbst ist: Was in einem Formularfeld, einer E-Mail oder einem eingeblendeten Hinweis steht, sieht das Modell als Teil seiner Aufgabe. Anthropic setzt dagegen Klassifikatoren ein, die verdächtige Inhalte in Bildschirmfotos erkennen und das Modell anhalten, vor dem nächsten Schritt den Nutzer zu fragen. Und dann folgt der Satz, der für jede Vertragsprüfung relevant ist: Dieser Schutz sei nicht für jeden Anwendungsfall ideal, etwa nicht für solche ohne Menschen in der Schleife, und wer ihn abschalten wolle, möge den Support kontaktieren.

OpenAI nähert sich derselben Frage von der Messseite. Für Astra veröffentlicht es einen internen Sicherheitstest für Computer Use, in dem Aufgaben gezielt so gewählt wurden, dass sie Fehlverhalten provozieren: Astra kommt auf 2,4 Prozent unerwünschter Ergebnisse, Fable 5.1 auf 9,5, Opus 5 auf 11,5 Prozent. Gemessen hat OpenAI in einer eigenen Umgebung ohne die Schutzmechanismen, die Nutzer von Codex und ChatGPT normalerweise bekommen, und die Fußnote räumt ein, dass sich Safeguards und Werkzeuge der Anbieter unterscheiden. Die Zahl ist also eine Selbstauskunft, aber eine, die den Punkt bestätigt: Ohne Bestätigungsschicht liegt die Fehlerquote eines Bildschirm-Agenten im Prozentbereich, und ein Prozent von tausend Buchungen sind zehn.

Aufsichtlich ist die Frage nicht neu, sie hat nur bisher andere Adressaten. Löst ein Agent eine Zahlung aus, greift für europäische Zahlungsdienstleister die starke Kundenauthentifizierung nach Artikel 97 der zweiten Zahlungsdiensterichtlinie (PSD2) samt der Delegierten Verordnung (EU) 2018/389, und deren Konstruktion setzt einen Kunden voraus, der im Moment der Freigabe anwesend ist. Wie das Recht mit einem Agenten umgehen soll, der im Auftrag des Kunden handelt, konsultiert das britische Finanzministerium seit dem 14. Juli 2026 in seiner Reform des Zahlungsdiensterechts, mit einer eigenen Frage zu Einwilligung, Authentifizierung und Haftung bei agentischen Zahlungen; die Frist läuft am 6. Oktober ab. Für die EU gibt es diese Frage noch nicht als Konsultation. Die Antwort, die Anthropic für seine Kunden gibt, ist trotzdem schon da: ein Mensch vor der Transaktion, es sei denn, jemand hat den Support gebeten, ihn zu entfernen.

Handlungsempfehlungen

Begriffserklärung