Ausgabe #6 · 27.10.2026

Gift im Downloads-Ordner, Agents als Code & Flash unter 1 $

• Security
• Agents
• Codex
• Claude
• Cursor
• Pricing
• Open Weights
• Tools

Dienstag, neue Woche, vier Picks. Diesmal: eine Angriffsmasche, die deinen eigenen Agent gegen dich arbeiten lässt, ein offenes Modell, das in Cursor pro Aufgabe unter einem Dollar bleibt, ein günstigeres OpenAI-Modell für Computer-Use und Cursors Framework, mit dem du Agents wie normale Software baust. Dazu ein Fünf-Minuten-Check für heute.

1) Angriff über den Downloads-Ordner: Markdown wird ausführbar

Forever Security hat auf dem Rechner eines Kunden eine bösartige AGENTS.md im Ordner ~/Downloads gefunden, getarnt als harmlose „Engineering Work Guidelines“. Ein Coding-Agent, der in diesem Ordner gestartet wurde, wollte daraufhin das bekannte Schad-Paket function-color von npm installieren. Der Trick: Browser legen Downloads standardmäßig ohne Nachfrage in genau diesen Ordner, und Agents lesen und befolgen die Anweisungsdatei im Startordner. Im Nachbau ließ die echte Angreiferdatei Codex laut Forever in über 90 % der Versuche einen zusätzlichen MCP-Server in ~/.codex/config.toml eintragen und das Paket installieren. Weil diese Config maschinenweit gilt, lädt danach jede Codex-Session den Server, egal in welchem Projekt. Mit einer selbst geschriebenen CLAUDE.md brachten die Forscher Claude Code in etwa der Hälfte der Fälle dazu, seinen API-Traffic auf einen fremden Server umzuleiten und dabei das Login-Token preiszugeben. Laut Forever lassen etwa die Hälfte ihrer Kunden einen Coding-Agent im Downloads-Ordner laufen. Patchen lässt sich das nicht wirklich: Die Agents tun genau das, wofür sie gebaut sind.

Unser Take: Das ist der Pick dieser Ausgabe, den du nicht überspringen solltest. Viele von uns öffnen den Agent schnell da, wo die Datei gerade liegt, und das ist oft Downloads. Die Regel ist simpel: Agents nur in Projektordnern starten, die du selbst angelegt hast, und fremde AGENTS.md oder CLAUDE.md erst lesen, bevor der Agent sie liest.

Quelle: Forever Security — Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder

2) DeepSeek V4.1 Flash in Cursor: unter 1 $ pro Aufgabe

Cursor hat DeepSeek V4.1 Flash (Version 1017) in den Model-Picker aufgenommen, ein Modell mit offenen Gewichten und 1 Million Token Kontext. Auf Cursors eigenem Benchmark CursorBench 4.0 kostet es je nach Effort-Stufe zwischen 0,60 $ und 0,98 $ pro Aufgabe und erreicht 44,9 % (Low) bis 47,7 % (Max). Zum Vergleich auf derselben Liste: Opus 5.5 High kommt auf 56,0 % bei 3,97 $ pro Aufgabe, Sonnet 5.5 High auf 47,8 % bei 1,20 $. Laut Cursor liegt jede Effort-Stufe von DeepSeek V4.1 Flash auf der Kostengrenze, es gibt also kein getestetes Modell, das zum gleichen oder geringeren Preis besser abschneidet. Aktivieren lässt es sich unter Cursor Settings > Models. Wichtig: Es ist ein Drittanbieter-Modell und laut Cursor-Doku nicht im inkludierten Plan-Kontingent enthalten. Auf älteren Plänen läuft es über den Pool „Other Models“.

Unser Take: Für Routine-Arbeit wie Tests fixen, kleine Refactorings oder Suchen im Repo ist das ein echter Kostenhebel: ungefähr Sonnet-Niveau zu einem Bruchteil des Opus-Preises. Die Zahlen sind Cursors eigener Benchmark, deine Rechnung kann anders aussehen. Unser Vorschlag: eine Woche lang die einfachen Tasks auf Flash schicken und im Cursor-Dashboard nachsehen, was es wirklich kostet. Den Vergleich mit deinem Abo kannst du im Rechner auf syntaxlabor.de/rechner durchspielen.

Quelle: Cursor — CursorBench 4.0

3) GPT-6.1 Terra: Computer-Use zum halben Preis

OpenAI hat GPT-6.1 Terra veröffentlicht, das Mittelklasse-Modell zwischen Luna und Sol/Astra. Der Schwerpunkt liegt auf Computer-Use: Das Modell schaut auf den Bildschirm und klickt, tippt und wechselt zwischen Apps, zum Beispiel um Rechnungen in eine Buchhaltungssoftware zu übertragen oder Formulare auszufüllen. Die API-Preise liegen bei 1 $ pro Million Input-Token und 5 $ pro Million Output-Token, laut OpenAI 50 % unter GPT-5.6 Terra. Auf dem Benchmark Agents’ Last Exam schneidet es bei mittlerem Effort laut OpenAI 15 Prozentpunkte besser ab als GPT-5.6 Terra, bei rund einem Drittel der Kosten. Im Terminal-Bench 4.0 löst es bei maximalem Effort etwa die Hälfte der Aufgaben, für die schwersten Coding-Aufgaben empfiehlt OpenAI aber weiter Sol oder Astra. Verfügbar ist es in ChatGPT Work und Codex für Plus, Pro, Enterprise und Edu sowie in der API als gpt-6.1-terra. GitHub hat es zum Start auch in Copilot freigeschaltet.

Unser Take: Spannend ist hier weniger Coding als alles drumherum: Screenshots prüfen, Formulare testen, Admin-Kram in Web-Oberflächen. Für ein Indie-Projekt kann das ein günstiger Helfer für genau die Klick-Arbeit sein, für die es keine API gibt. Fürs eigentliche Programmieren sagt OpenAI selbst: lieber das größere Modell.

Quelle: OpenAI Developers — GPT-6.1 Terra (Modell-Doku und Preise)

4) Cursor Agent SDK: Agents als ganz normales Software-Projekt

Cursor hat sein Agent SDK allgemein verfügbar gemacht, das Framework, mit dem Cursor auch eigene Agents wie Bugbot baut. Ein Agent ist dabei ein Ordner: Die Anweisungen stehen in einer instructions.md, jedes Tool ist eine TypeScript-Datei unter tools/, dazu kommen Skills, MCP-Verbindungen und Kanäle wie GitHub oder Slack. Starten geht mit „npx @cursor/agent-sdk init ./my-bot“ und lokal mit „agent-sdk dev“ samt Playground. Es gibt Vorlagen, etwa für einen Security-Reviewer, einen PR-Autofixer oder einen Linear- oder Jira-Triager. Evals sind eingebaut: Ein Test schickt eine feste Nachricht an den Bot und prüft, welche Tools mit welchem Input liefen und wie die Antwort aussieht. Deployen lässt sich per „agent-sdk deploy“ auf Cursors Infrastruktur oder selbst gehostet als einzelner Node-Prozess, zum Beispiel im Container.

Unser Take: Das Wichtigste ist nicht das Hosting, sondern die Evals. Wer einen Agent in Git versioniert und vor jedem Prompt-Update automatisch testet, merkt sofort, wenn eine harmlose Änderung den Bot kaputtmacht. Für Solo-Devs reicht oft ein kleiner Bot, der eingehende PRs oder Issues sortiert. Der Selbst-Hosting-Weg hält dich unabhängig von Cursors Plattform.

Quelle: Cursor Blog — Introducing the Agent SDK

Mach das heute

Fünf-Minuten-Check gegen Pick 1: Öffne ~/.codex/config.toml und schau, ob dort MCP-Server stehen, die du nicht selbst eingetragen hast. Bei Claude Code prüfst du ~/.claude/settings.json und die .claude/settings.json deiner Projekte auf eine fremde ANTHROPIC_BASE_URL. Schau außerdem, ob in ~/Downloads eine AGENTS.md oder CLAUDE.md liegt, die du nicht kennst, und lösche sie. Ab heute startest du Agents nur noch in Projektordnern, die du selbst angelegt hast.

Weiterleiten

Kennst du jemanden, der Codex oder Claude Code gern mal schnell im Downloads-Ordner startet? Schick ihm diese Seite. Anmelden geht hier.