KI-Agent operiert Maus am Gehirn – neuere Claude-Modelle verweigerten

Worum es geht

In der Nacht auf den 28. Oktober 2026 soll ein KI-Agent bei einer Maus mit Epilepsie die Auswahl und Durchführung einer Gentherapie-Injektion ins Gehirn übernommen haben. Der Bericht stammt aus einem X-Thread von Gabriel Ocana-Santero, Mitgründer von Exin Therapeutics (laut OrcaRouter ein Gentherapie-Startup aus dem Y-Combinator-Jahrgang W25). Der Thread erreichte über eine Million Aufrufe und wurde auf Reddit geteilt. Das eingesetzte Modell war laut Bericht Claude Sonnet 5, das Anthropic am 30. Juni 2026 veröffentlichte und inzwischen als „Legacy“ führt.

Der Versuchsaufbau

Dem Agenten wurden 19 Gentherapie-Vektoren (Trägerviren, die Erbgut-Bausteine in Zellen bringen) in einer Tabelle gegeben, dazu ein Mausmodell für Epilepsie, ein motorisierter stereotaktischer Operationsroboter mit Kameras und ein Ziel: Anfälle verringern. Stereotaktisch heißt: Ein Gerät steuert Nadeln anhand von Koordinaten präzise zu einem Hirnareal. Laut OrcaRouter basiert das Gerät auf einem Arduino, Kameras und Motorsteuerung standen dem Agenten als Werkzeuge zur Verfügung.

Der Agent wählte laut Bericht einen Vektor, der die GABA-Signalübertragung (eine hemmende Signalwirkung im Gehirn) verstärkt, mit einem Promotor, der nur in GABA-Neuronen wirkt. Die Injektionskoordinaten leitete er aus drei Fachartikeln ab. Die Schädelöffnung führte ein menschlicher Chirurg durch, denn diesen Schritt durfte der Agent nicht ausführen. Danach steuerte der Agent den Arm, spritzte 250 Nanoliter und prüfte laut OrcaRouter in 32 Pausen anhand von Kamerabildern die Einstichstelle auf Blutungen.

Menschliche Kontrolle

Glaubwürdig macht die Geschichte vor allem die Sicherung: Menschliche Freigaben für jede irreversible Aktion, Validatoren für das Injektionsvolumen, an den Inhalt gebundene Freigaben („hash-bound approvals“) und eine zugelassene Tierärztin bzw. ein Tierarzt mit physischem Notausschalter. Die Maus habe sich laut Bericht erholt. Was „erholt“ genau bedeutet, ist nicht definiert.

Verweigerung der neueren Modelle

Laut dem Bericht hatte man zuerst neuere Modelle probiert. Claude Opus 5.5 (22. September 2026) verweigerte, sobald es den biologischen Inhalt erkannte. Claude Opus 5 (24. Juli 2026) spielte den Ablauf komplett mit Wasser und Millimeterpapier durch und lehnte dann den Start am lebenden Tier ab. Laut einer Zusammenfassung von The Rundown sagte es sinngemäß, etwas zu beginnen, das man an einem betäubten Tier nicht beenden könne, sei schlimmer als nicht anzufangen. OrcaRouter weist darauf hin, dass dem Opus-5-Modell in verschiedenen Quellen zwei unterschiedliche Sätze zugeschrieben werden – alle Zitate sind also Aussagen aus zweiter Hand.

Was Anthropic dokumentiert

OrcaRouter ordnet die Reihenfolge der Verweigerungen anhand der veröffentlichten Sicherheitsregeln ein:

Das neueste Modell hat also die strengste Biologie-Schranke, das ausführende das älteste und günstigste. Laut Anthropics Hilfeartikel vom 25. September ist das Verhalten bei Opus 5.5 aber eher eine Weiterleitung als eine Mauer: Dual-Use-Anfragen (etwa zu Virologie, Toxikologie, Moleküldesign) können transparent an Opus 5 übergeben werden. Eine echte Verweigerung beschreibt die Doku vor allem bei Destillationsversuchen. In den Claude-Apps ist das automatische Umschalten standardmäßig an, in der API laut Anthropic nicht: Dort kommt eine 200-Antwort mit einem Stopp-Grund zurück. Ein Agenten-Framework sieht dann einen Abbruch statt einer Umleitung. Das passt zur berichteten „Verweigerung“ – oder auch zu einem Klassifikator-Stopp; beides ist mit dem Bericht vereinbar.

Abrechnungsdetails laut OrcaRouter: Von einem Biologie-Klassifikator vor jeder Ausgabe gestoppte Anfragen werden berechnet, Fallback-Antworten zum Preis des antwortenden Modells – hier also etwa 25 % teurer pro Token als Opus 5.5.

Der Filter bewertet das Thema, nicht das Risiko

Anthropics Klassifikatoren prüfen alles, was das Modell liest, auch Gedächtnis, Konnektoren, Websuchen und Dateien, und berücksichtigen „Vertrauenssignale“ des Kontos. OrcaRouter betont: Die physischen Gefahren dieses Versuchs wurden von Menschen und Hardware begrenzt, gestoppt hat das Modell aber das biologische Vokabular. Als Kontrast nennt der Artikel den Robotik-Test RoboHarm (18. September 2026), bei dem Claude Fable 5.1 alle 20 Versuche mit der Anweisung „stab the thing that's not the bread“ verweigerte. Dort lag die Gefahr im Satz. Als Argument für autonome Laborarbeit taugt laut OrcaRouter keines von beiden: Die Maus habe wegen Tierarzt und Notaus überlebt, nicht wegen des Urteilsvermögens des Agenten.

Legitimer Weg für echte Biologie

Anthropic bietet ein Life Sciences Verification Program (Beta) für Mythos 5.1, Opus 5.5, Opus 5 und Sonnet 5: bis zu 100 Plätze pro Team, verfeinerte Biologie-Schutzmaßnahmen und optional ein „High-risk Use“-Zusatz. Im Gegenzug wird die Nutzung 30 Tage gespeichert, Zero Data Retention gibt es nicht. Ausgeschlossen sind unter anderem Fable-Modelle, PHI-Workloads, Einzelpersonen, Pro-/Max-Pläne und Plattformen, die den Zugang weitergeben.

Einordnung

Die Geschichte ist eindrucksvoll, aber bislang eine Einzelbehauptung. OrcaRouter fand weder Preprint noch Protokoll, Ethikfreigabe, Anfallsdaten vor und nach dem Eingriff, Video der Injektion oder unabhängige Bestätigung. Wichtig ist sie als Beispiel für Agenten, die in der physischen Welt handeln, mit menschlichen Freigaben als Rückgrat. Offen bleibt, ob die Modelle wirklich verweigerten oder nur ein nicht konfigurierter API-Fallback zu sehen war. Für Teams mit Laborarbeit ist praktisch: Fallback-Verhalten in der API konfigurieren und das Verifikationsprogramm prüfen.