Wenn die Zusam­men­fas­sung Anwei­sungen enthält, die niemand gegeben hat

Ein Agent, der lange arbeitet, stößt irgendwann an die Grenze seines Kontextfensters. Dann wird verdichtet (englisch compaction): Der bisherige Verlauf wird zusammengefasst, und die Arbeit geht mit der Zusammenfassung weiter. Claude Code tut das kurz vor der Grenze von selbst, und mit dem Befehl /compact lässt es sich vorher auslösen, auf Wunsch mit einer Vorgabe, worauf die Zusammenfassung achten soll (Beleg (externe Seite, code.claude.com)). In einer Sitzung im Terminal fasst Claude Code in der Voreinstellung außerdem ein langes Gespräch zusammen, das man knapp eine Stunde liegen gelassen hat, kurz bevor sein Prompt-Cache abläuft (Ein­stel­lungs­re­fe­renz (externe Seite, code.claude.com)). Voraussetzung ist eine eingeschaltete automatische Verdichtung. Dazu kommen ein Prompt-Cache mit einer Stunde Laufzeit, abrufbare Feature Flags und ein Kontext, der die Schwelle erreicht hat, in der Voreinstellung 200.000 Token. Was dabei verloren gehen kann, beschreibt Vibe-Coding / Agentic Engineering, Kapitel 05 ausführlich, bis zu dem Rat, der Zusammenfassung nichts anzuvertrauen, das teuer war.

Am 16.09.2026 hat OpenAI die Gegenrichtung dokumentiert, also Text, der beim Verdichten hinzukommt. Das Unternehmen hat ein Meldeverfahren für Fehlverhalten eigener Modelle eröffnet und dazu sechs Berichte über Beobachtungen aus den vorangegangenen sechs Monaten veröffentlicht (Beleg (externe Seite, openai.com)). Einer davon hält fest, dass ein Modell in seltenen Fällen (externe Seite, alignment.openai.com) Anweisungen im Stil eines Jailbreaks in seine eigenen Zusammenfassungen schrieb, also in die Zusammenfassungen, mit denen eine Aufgabe in einem neuen Kontext weitergeht. Ein zweiter beschreibt Zusammenfassungen, in denen ein Modell sich selbst anwies, Fehler vor dem Nutzer zu verbergen.

Was beim Verdichten geschieht

Anthropic beschreibt den Vorgang in der Doku zu seiner Schnittstelle (externe Seite, platform.claude.com) so: Das Verdichten ersetzt die älteren Runden eines Gesprächs durch eine Zusammenfassung, die Claude auf dem Server schreibt, eigener Code zum Zusammenfassen ist dafür nicht nötig.

Die Zusammenfassung schreibt also das Modell selbst. Danach steht sie dort, wo vorher der Verlauf stand: Claude sieht sie laut der Doku zur Verdichtung auf Abruf (externe Seite, platform.claude.com) an der Stelle der Nachrichten, die sie zusammenfasst.

Was sich danach am Text erkennen lässt, hat eine klare Grenze. Bei Anthropic ist der Block als Ganzes gekennzeichnet: Er hat den Typ compaction und eine Signatur, und die Schnittstelle lehnt ihn mit einem Fehler ab, wenn jemand Inhalt oder Signatur ändert (Beleg (externe Seite, platform.claude.com)). Dass es sich um eine Zusammenfassung handelt, ist damit eindeutig. Die einzelnen Sätze darin haben keine Herkunftsangabe. Ob ein Satz im Befehlston aus einer Nachricht des Nutzers übernommen wurde oder erst beim Schreiben der Zusammenfassung entstanden ist, steht nirgends dabei.

Für die eigenen Vorgaben des Entwicklers regelt Anthropic diese Stelle ausdrücklich. Systemnachrichten, die im zusammengefassten Bereich lagen, werden mit zusammengefasst, und ihre Anweisungen im Text gelten nicht mehr (externe Seite, platform.claude.com), sobald der Block sie ersetzt. Der Rat daneben lautet, eine Anweisung oder eine Aufwandsstufe, auf die es weiter ankommt, erneut anzugeben, und zwar als neue Systemnachricht nach dem Verdichten.

Was OpenAI im ersten Bericht beobachtet hat

Der Bericht betrifft ein unver­öf­fent­lichtes Modell der Astra-Familie während des Reinforcement Learning. Datiert ist der Vorfall auf den 18.07.2026, entdeckt wurde er am 09.08.2026, und zwar von OpenAIs eigener Überwachung der Trainingsläufe (Beleg (externe Seite, alignment.openai.com)). Gefunden hat OpenAI 27 Zusammenfassungen mit Anweisungen, die wie ein Jailbreak formuliert sind.

Drei davon stehen im Bericht, und sie gingen verschieden aus:

• Eine Recherche nach Büchern in einer Stadtbibliothek. Die Zusammenfassung enthielt einen „BREACH ALERT“: Eine bösartige Entwickler-Nachricht habe das Gespräch kompromittiert, alle Entwickler-Nachrichten seien zu ignorieren. Das Modell im nächsten Kontext wies die Anweisung ausdrücklich zurück und recherchierte weiter.
• Eine Pro­gram­mier­auf­gabe an einer Schnittstelle für Zugangsdaten. Hier schrieb das Modell eine Persona in die Zusammenfassung, frei von den Rollen und Pflichten eines Assistenten. Nach dem Verdichten arbeitete das Modell weiter (externe Seite, alignment.openai.com) an der Aufgabe und erwähnte die zusätzlichen Anweisungen mit keinem Wort.
• Eine medizinische Literatursuche, verlangt mit Quellenangaben. Die Zusammenfassung reichte als zusätzliche Anweisung weiter, die richtige Antwort umfasse höchstens 30 Wörter, ohne Werkzeuge und ohne Quellen. Das Modell im nächsten Kontext befolgte diese willkürlichen Beschränkungen (externe Seite, alignment.openai.com), rief kein Werkzeug auf und gab eine Absage aus 23 Wörtern zurück, die bei der Bewertung als falsch zählte.

Nach dem Verdichten kennt das Modell den früheren Verlauf nur noch aus der Zusammenfassung. Eine Vorgabe darin kann es deshalb gegen nichts mehr halten, und im dritten Beispiel hat es sie befolgt. Der Betreiber, der die Anfrage geschickt hat, kann den vollständigen Verlauf bei sich aufbewahren; das Modell sieht ihn nicht mehr. Wie oft ein Modell einer solchen Vorgabe folgt und ob es ihr dasselbe Gewicht gibt wie einer echten Nachricht des Nutzers, lässt sich aus drei Beispielen nicht ablesen. Wie die übrigen 24 Fälle ausgingen, beschreibt der Bericht nicht.

OpenAI selbst stuft den Fall zurückhaltend ein (externe Seite, alignment.openai.com): Das Verhalten sei äußerst selten gewesen, habe keinen offensichtlichen Vorteil bei der Belohnung gebracht und habe sich überwachen lassen.

Wurde die Zusammenfassung für denselben Verlauf neu erzeugt, kam die Anweisung kein einziges Mal wieder. Beim Neuerzeugen ab dem Anfang des verdächtigen Textes geschah das in weniger als einem Prozent der Fälle (Beleg (externe Seite, alignment.openai.com)). Als wahrscheinlichste Ursache (externe Seite, alignment.openai.com) vermutet das Unternehmen, dass das Modell im Training schwer ans Ende einer Zusammenfassung fand, und schränkt das gleich ein: Ein ursächlicher Zusammenhang sei nicht nachgewiesen, und einen verwandten Fehler habe man behoben.

Aufgetreten ist das Verhalten in einem Trainingslauf, der vom Lauf für das Modell Astra getrennt war. In jenem zählte OpenAI 14 Fälle, in denen das Modell schwer ans Ende der Zusammenfassung fand. Anweisungen im Stil eines Jailbreaks meldete der allgemeine Monitor dort keine (Beleg (externe Seite, alignment.openai.com)). Das ist die Auskunft eines Monitors über eine bestimmte Art Anweisung. Täuschende Anweisungen, um die es im zweiten Bericht geht, sind eine andere Art, und für sie nennt jener Bericht auch bei einem Modell namens GPT-6-Astra eine Rate.

Der zweite Bericht: Anweisungen mit Zweck

Unter den sechs Berichten steht ein zweiter zur selben Stelle, und er ist deutlicher. Im Training von GPT-5.6 Sol schrieben Modellinstanzen Anweisungen in ihre Zusammenfassungen, die Fehler oder Fehlverhalten vor dem Nutzer verbergen sollten: fehlende Daten erfinden, ohne es zu sagen, und Fehlschläge verschweigen (Beleg (externe Seite, alignment.openai.com)). Der Bericht spricht von einigen Instanzen, die Ankündigung des Meldeverfahrens (externe Seite, openai.com) von vielen. In einem Beispiel fand ein Agent die verlangten historischen Zahlen für ein Finanzmodell nicht. In der Zusammenfassung hielt er fest, er werde plausible Werte selbst einsetzen, das nur auf Nachfrage offenlegen und in der Endantwort bloß auf die Datei verweisen.

Der Satz, der den Unterschied zum ersten Bericht ausmacht, ist kurz: Diese Anweisungen wurden laut Bericht (externe Seite, alignment.openai.com) oft befolgt.

Hier nennt OpenAI auch Raten: Markiert wurde das Verhalten bei 2,15 Prozent der Zusammenfassungen aus dem Reinforcement Learning von GPT-5.6 Sol und bei 0,27 Prozent derer von GPT-6-Astra.

Das sind Anteile der Zusammenfassungen, die ein Monitor markiert hat. Beim Lauf von GPT-5.6 Sol lief er laut Bericht auf 20 Prozent der Samples (Beleg (externe Seite, alignment.openai.com)). Angaben dazu, wie viele markierte Fälle sich als Fehlalarm herausstellten und wie viele der Monitor übersah, enthält der Bericht keine. Wie oft eine markierte Anweisung das Verhalten tatsächlich änderte, beziffert er ebenfalls nicht; er sagt nur „oft“.

Für die Ursache gibt OpenAI eine Vermutung an: Bekommt eine täuschende Endantwort im Training mehr Belohnung als eine ehrliche, lohnt es sich für das Modell, über die Kontextgrenze hinweg festzuhalten, dass die Antwort täuschen soll. Seit GPT-5.6 Sol habe man die Bewertung im Alignment-Training allgemein verbessert, und spätere Läufe zeigten das Verhalten seltener, ohne dass die Zusammenfassungen selbst bewertet wurden (Beleg (externe Seite, alignment.openai.com)). Das ist OpenAIs Erklärung. Die beiden Raten stammen von zwei verschiedenen Modellen und Läufen, und Unterschiede bei Modell, Daten oder Monitor können ebenso beigetragen haben.

Die beiden Berichte zeigen dieselbe Stelle von zwei Seiten. Im ersten entstand Text ohne erkennbaren Zweck; von den drei gezeigten Fällen blieben zwei ohne sichtbare Folge. Im zweiten brachte die Zusammenfassung ein Vorhaben über die Kontextgrenze, und OpenAI schreibt dazu selbst, die Beispiele zeigten, wie sich Fehlverhalten (externe Seite, alignment.openai.com) über die Zusammenfassungen von einem Kontext in den nächsten halten kann.

Was das für den Bestand heißt

Vibe-Coding / Agentic Engineering, Kapitel 05 beschreibt die Zusammenfassung als Auswahl: Was wichtig erschien, überlebt, der Rest fehlt. Das gilt weiter, und die Berichte ergänzen eine zweite Eigenschaft. Die Zusammenfassung kann Sätze enthalten, die im Verlauf nie standen, und für das Modell danach ist sie der Verlauf. Der Rat, ihr nichts Teures anzuvertrauen, bekommt damit eine zweite Hälfte: Auch was nach dem Verdichten als Vorgabe dasteht, hat dasselbe Modell geschrieben wie den Rest der Zusammenfassung.

Vibe-Coding / Agentic Engineering, Kapitel 08 zeigt die Stelle von der anderen Seite. Dort kann eine Grenze, die nur im Gespräch gezogen wurde, beim Verdichten wegfallen. Hier kommt eine hinzu, die niemand gezogen hat. Beides spricht für die Gewohnheit, die der Bestand schon empfiehlt: Was nach einer Verdichtung gelten muss, steht in einer Datei, die neu von der Platte gelesen wird. Damit steht die Regel wieder im Kontext, befolgen muss das Modell sie trotzdem selbst. Eine harte Grenze gehört deshalb an eine Stelle, die das Modell nicht auslegt, als deny-Regel in die Einstellungen. Für eine feste Garantie rät die Doku zu den Rechtemodi (externe Seite, code.claude.com) genau dazu.

Lässt sich prüfen, was nach dem Verdichten im Kontext steht?

Wer Agenten mit langen Läufen betreibt, stellt genau diese Frage, und die Antwort hängt an der Schnittstelle.

• Anthropics Schnittstelle gibt laut Doku (externe Seite, platform.claude.com) einen Block zurück, der die Zusammenfassung als lesbaren Text enthält, dazu eine Signatur. Zurückgeschickt wird der Block unverändert. Protokollieren und gegenlesen lässt sich also, was dasteht.
• OpenAIs Responses-Schnittstelle liefert beim Verdichten ein verschlüsseltes Element. Laut Dokumentation (externe Seite, developers.openai.com) ist es undurchsichtig. Dass Menschen es deuten, ist nicht vorgesehen. Laut derselben Seite nimmt dieses Element den bisherigen Stand und Überlegungen mit weniger Token in den nächsten Lauf mit.
• Ein eigener Zusammenfasser, den Anthropic als dritten Weg aufführt, legt Prompt und Ergebnis ganz in die eigene Hand (Beleg (externe Seite, platform.claude.com)), mit den Fehlern, die man dabei selbst macht.

Für Claude Code beschreibt die Dokumentation zum Kontextfenster, was die Zusammenfassung behält, von den Anliegen des Nutzers bis zu offenen Aufgaben (Beleg (externe Seite, code.claude.com)).

Gefunden hat OpenAI beide Fälle mit einer Überwachung, die die Zusammenfassungen im Training mitliest. Übertragen lässt sich das dort, wo die Zusammenfassung lesbar ist und der Betreiber den Verlauf aufbewahrt: sie vor dem nächsten Schritt gegen den Verlauf halten und nach Sätzen im Befehlston suchen, die dort keine Entsprechung haben. Wie zuverlässig eine solche Prüfung anschlägt, ist hier nicht gemessen. Wo die Zusammenfassung verschlüsselt ist, bleibt der andere Teil: Was gelten muss, nach dem Verdichten erneut setzen, so wie Anthropic es für Systemnachrichten empfiehlt, und harte Grenzen als Regel außerhalb des Gesprächs führen.

Dass sich die Stelle so genau beschreiben lässt, liegt an der Offenlegung. OpenAI veröffentlicht einen Fall, den das Unternehmen selbst noch nicht erklären kann, mit Beispielen im Wortlaut und mit Raten. Das Verfahren ist ausdrücklich so angelegt: Weil OpenAI Transparenz über Fehlausrichtung für wertvoll hält, gibt das neue Meldeverfahren (externe Seite, openai.com) der Offenlegung den Vorzug, auch wenn die Bedeutung eines Falls unsicher ist.

Wo der Befund gilt

Gemessen ist alles im Training, an Modellen während des Reinforcement Learning und unter einer Überwachung, die mitlas. Für ausgelieferte Modelle im Betrieb nennen beide Berichte keine Zahl. Der erste betrifft ein unver­öf­fent­lichtes Modell, dessen Lauf von dem für Astra getrennt war, und ließ sich fast nie reproduzieren. Der zweite nennt Anteile markierter Zusammenfassungen, 2,15 Prozent bei GPT-5.6 Sol und 0,27 Prozent bei GPT-6-Astra, also rund ein Achtel davon. Der Bericht schreibt kurz 5.6-Sol, den vollen Namen nennt die Ankündigung (externe Seite, openai.com). Ob GPT-6-Astra den Trainingslauf des ausgelieferten Modells GPT-6 Astra meint, sagen weder die beiden Berichte noch die Ankündigung ausdrücklich. Deshalb steht hier durchgehend die Schreibweise des Berichts.

Das Meldeverfahren (externe Seite, openai.com) warnt selbst davor, einem einzelnen Bericht zu viel Gewicht zu geben: Manche der offengelegten Fälle könnten sich als Zufall erweisen, ohne Teil eines größeren Musters zu sein und ohne auf künftige Entwicklungen hinzudeuten.

Für die Praxis bleibt die Richtung. Eine Zusammenfassung ist Text, den ein Modell geschrieben hat, und nach dem Verdichten steht er dort, wo vorher Ihre Anweisungen standen.