Ox Alpha: Was das Stealth-Modell kann und wer dahintersteckt

Seit Donnerstagabend steht auf OpenRouter ein Sprachmodell, das niemand zuordnen kann. Es heißt Ox Alpha, kostet nichts, verarbeitet eine Million Token Kontext und liegt in ersten Codetests vor GPT-5.6 und Claude. Der Anbieter tritt unter dem Namen Stealth auf. Wer dahintersteht, sagt weder er selbst noch OpenRouter.

Für Entwickler ist das ein Rätsel. Für Unternehmen ist es eine Frage mit rechtlicher Kante: Darf man ein Modell produktiv einsetzen, dessen Betreiber man nicht kennt?

Das Wichtigste in Kürze: Ox Alpha ist ein anonym betriebenes Sprachmodell, das seit dem 20. August 2026 über OpenRouter kostenlos verfügbar ist, mit 1.048.576 Token Kontext, Bild- und Videoeingabe und Werkzeugaufrufen. Die kursierenden Bestwerte stammen aus Tests mit zehn Aufgaben und sind damit statistisch nicht belastbar. Die Fingerabdrücke des Tokenizers deuten auf die GLM-Familie, die angegebene Kapazität von 100 Billionen Token pro Tag deutet auf einen sehr großen westlichen Betreiber. Unsere Einschätzung dazu steht weiter unten. Für den produktiven Einsatz in deutschen Unternehmen ist das Modell derzeit ungeeignet: Nach den Nutzungsbedingungen des Stealth-Programms gehen alle Eingaben samt enthaltener personenbezogener Daten an einen Anbieter, dessen Name vertraglich geheim bleibt. Ein Auftragsverarbeitungsvertrag ist damit ausgeschlossen.

Was ist Ox Alpha?

Ein Modell ohne bekannten Absender. OpenRouter betreibt ein Programm namens Stealth, über das Anbieter neue Modelle anonym testen lassen können, bevor sie sie offiziell ankündigen. Die Plattform übernimmt dabei nur das Routing, nicht die Entwicklung. In den Bedingungen steht ausdrücklich, dass OpenRouter Namen und Herkunft der Stealth-Anbieter nicht offenlegt.

Das Verfahren ist nicht neu. Auch OpenAI ließ GPT-5.6 vor der Ankündigung unter Codenamen wie iris-alpha und ember-alpha testen, was wir damals in unserem Beitrag zu den GPT-5.6-Leaks nachgezeichnet haben. Neu ist, dass diesmal auch nach dem Start niemand die Hand hebt.

Ox Alpha erschien in diesem Programm am 20. August 2026. Die Modellkennung lautet stealth/ox-alpha. Die offizielle Beschreibung nennt es ein Reasoning-Modell für Programmierung, längerlaufende agentische Arbeit und Produktivlasten.

Zwei Werte in dieser Tabelle verdienen Aufmerksamkeit, weil sie in den meisten Berichten untergehen. Der Durchsatz von 19 Token pro Sekunde ist für ein Modell dieser Klasse langsam. Cursors Composer 2 erreicht nach Herstellerangaben über 200. Und die Wartezeit bis zum ersten Token liegt bei siebeneinhalb Sekunden. Wer damit interaktiv arbeitet, merkt das sofort.

Das passt zu einer Vorschau, in der die Kapazität knapp ist und der Betreiber vor allem Testdaten sammeln will. Es passt nicht zu einem fertigen Produkt.

Was kann das Modell wirklich?

Weniger sicher, als die Schlagzeilen nahelegen. Die Zahl, die überall zitiert wird, stammt von Entwickler Ben Davis, der das Modell durch zehn Aufgaben des DeepSWE-Benchmarks geschickt hat. Ergebnis: rund 80 Prozent. Zum Vergleich wurden Claude mit 65 Prozent und GPT-5.6 mit 52 Prozent genannt.

Zehn Aufgaben. Das ist der Punkt, an dem man kurz innehalten sollte.

Bei zehn Versuchen und acht Treffern reicht das 95-Prozent-Konfidenzintervall nach Wilson von 49,0 bis 94,3 Prozent. Es ist also mit den vorliegenden Daten vereinbar, dass die wahre Trefferquote bei knapp der Hälfte liegt. Die Intervalle der drei verglichenen Modelle überlappen sich vollständig:

Aus diesen Zahlen lässt sich keine Rangfolge ableiten. Um bei einer Trefferquote von 80 Prozent auf ein Intervall von plus/minus fünf Prozentpunkten zu kommen, bräuchte es rund 250 Aufgaben statt zehn.

Das heißt nicht, dass das Modell schlecht ist. Ein zweiter Test auf Kingbench ergab 87,5 Prozent und damit Platz zwei hinter GLM 5.3 mit 91,25 Prozent, vor Opus 4.8 mit 80 Prozent. Die Rückmeldungen von Entwicklern, die es an eigenem Code getestet haben, sind überwiegend positiv. Es heißt nur: Wer aus zehn Aufgaben eine Bestenliste macht, misst zu einem erheblichen Teil Zufall.

Wie nutzt man Ox Alpha?

Über die OpenAI-kompatible Schnittstelle von OpenRouter. Wer bereits mit dieser Plattform arbeitet, ändert genau eine Zeile: die Modellkennung auf stealth/ox-alpha. Es braucht keinen gesonderten Zugang und keine Freischaltung.

Damit funktioniert es überall dort, wo sich ein eigener OpenRouter-Schlüssel hinterlegen lässt. Das betrifft die gängigen Terminal-Werkzeuge für agentisches Programmieren ebenso wie eigene Anwendungen, die über die Schnittstelle sprechen. Die Werkzeugaufrufe funktionieren nach dem üblichen Schema, strukturierte Ausgaben liefert das Modell als JSON, allerdings ohne dass ein hinterlegtes Schema erzwungen wird. Wer sich darauf verlässt, sollte die Antwort selbst validieren.

Sinnvoll ist das Modell dort, wo das große Kontextfenster den Ausschlag gibt: eine ganze Codebasis am Stück analysieren, lange Protokolle auswerten, Dokumentationen gegen den Quellcode prüfen. Für interaktive Arbeit spricht der Durchsatz dagegen.

Und für alles, was Unternehmensdaten berührt, gilt der Abschnitt weiter unten.

Wer steckt dahinter? Die Theorien im Überblick

Innerhalb von 48 Stunden hat die Entwicklergemeinde das Modell auseinandergenommen. Die wichtigste Methode dabei ist Tokenizer-Fingerprinting: Man schickt gezielt Zeichenfolgen, bei denen sich Modellfamilien in der Zerlegung unterscheiden, und vergleicht das Verhalten mit bekannten Modellen.

Die Debatte dreht sich im Kreis, weil zwei Befunde einander zu widersprechen scheinen. Der Tokenizer zeigt nach China. Die Kapazität zeigt auf einen sehr großen westlichen Betreiber. Solange man annimmt, dass beides dieselbe Firma sein muss, bleibt jede These angreifbar.

Unsere Einschätzung: Composer 3 auf GLM-Basis

Diese Annahme ist der Fehler. Der Betreiber eines Modells muss nicht der sein, der das Basismodell trainiert hat.

Unsere Einschätzung lautet deshalb: Ox Alpha ist Cursors Composer 3, nachtrainiert auf einem Modell der GLM-Familie. Das ist eine begründete Vermutung, keine bestätigte Tatsache. Sie erklärt aber als einzige beide Befunde zugleich, und sie stützt sich auf einen dokumentierten Präzedenzfall.

Cursor hat genau das schon einmal getan. Composer 2 basiert auf Kimi K2.5, einem chinesischen Open-Weight-Modell von Moonshot AI. Etwa ein Viertel des Vortrainings stammt aus dem Basismodell, den Rest hat Cursor durch Nachtraining und bestärkendes Lernen ergänzt. In der ursprünglichen Ankündigung stand davon nichts. Herausgefunden hat es ein Nutzer, der das Modell abgeklopft hat; Mitgründer Aman Sanger räumte anschließend ein, es sei ein Fehler gewesen, die Herkunft nicht von Anfang an zu kommunizieren.

Ein Unternehmen, das ein chinesisches Basismodell nachtrainiert und die Herkunft zunächst nicht nennt, ist damit kein hypothetisches Konstrukt. Es ist ein Muster, das bei genau diesem Anbieter belegt ist.

Dazu kommen vier weitere Punkte:

Die Kapazität passt seit einer Woche. SpaceX hat die Übernahme von Cursor am 14. August 2026 abgeschlossen, sechs Tage vor dem Erscheinen von Ox Alpha. Wer nach einem Betreiber sucht, der 100 Billionen Token pro Tag stemmen kann und gleichzeitig ein Interesse an einem Codemodell hat, findet hier beides.

Die Positionierung passt zum Wort. Die offizielle Beschreibung nennt Programmierung, längerlaufende agentische Arbeit und Produktivlasten. Das ist keine allgemeine Modellbeschreibung, das ist Cursors Geschäftsfeld.

Der Durchsatz passt zum Zustand. 19 Token pro Sekunde bei einem Anbieter, der mit Composer 2 über 200 erreicht, deutet auf eine Vorschau unter Last, nicht auf ein Kapazitätsproblem.

Und die Fingerabdrücke passen zur Methode. Wenn ein Viertel des Vortrainings aus einem GLM-Modell stammt, bleibt der Tokenizer der des Basismodells. Ein Nachtraining ändert das Verhalten, nicht die Zerlegung der Zeichen. Genau deshalb schlagen die Proben bei GLM an, während sich das Modell im Verhalten nicht wie ein chinesisches Produkt anfühlt.

Nachprüfbar wird das bald: Die kostenlose Vorschau endet nach übereinstimmenden Angaben um den 27. August. Üblicherweise wird die Identität dann bekannt gegeben. Sollte sich ein reines Z.AI-Modell herausstellen, war diese Einschätzung falsch. Wir lassen sie hier trotzdem stehen, weil eine Prognose, die man hinterher stillschweigend zurückzieht, keine ist.

Warum ein kostenloses Frontier-Modell nicht kostenlos ist

Weil die Gegenleistung in den Nutzungsbedingungen steht, nicht auf der Rechnung.

Das Stealth-Programm hat eine eigene Endnutzervereinbarung. Drei Klauseln daraus sollte jeder gelesen haben, der überlegt, das Modell im Unternehmen einzusetzen.

Erstens die Weitergabe. Wörtlich heißt es dort, dass jede Eingabe und alle darin enthaltenen personenbezogenen Daten an den Stealth-Anbieter weitergegeben werden. Nicht anonymisiert, nicht gefiltert.

Zweitens die Anonymität. OpenRouter legt Namen und Herkunft der Stealth-Anbieter nicht offen. Man erfährt also nicht, wer die Daten bekommt, und auch nicht, in welchem Land sie verarbeitet werden.

Drittens die Nutzung. Die Vereinbarung räumt eine unwiderrufliche, unbefristete Lizenz an den Inhalten ein, mit dem ausdrücklichen Zweck, die Stealth-Modelle zu trainieren, zu bewerten und zu verbessern. Die Eingaben fließen also ins Training.

Die Vereinbarung erwähnt zwar, dass die Inhalte mit einer gehashten Kennung versehen werden, sodass der einzelne Nutzer nicht identifizierbar ist. Das schützt die Identität des OpenRouter-Kontos. Es schützt nicht die personenbezogenen Daten, die im Prompt selbst stehen. Ein Kundenname in einem Support-Ticket, eine Adresse in einer Rechnungsvorlage, ein Datensatz in einer Tabelle, die man analysieren lässt: All das bleibt im Klartext.

Das ist kein Vorwurf an OpenRouter. Das Programm ist transparent dokumentiert, und für private Experimente ist es ein faires Angebot. Es ist nur etwas anderes als das, was viele hineinlesen, wenn sie kostenlos hören.

Dürfen deutsche Unternehmen Ox Alpha einsetzen?

Für alles, was personenbezogene Daten berührt: nein.

Wer als Unternehmen einen Dienstleister personenbezogene Daten verarbeiten lässt, braucht dafür nach Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag. Ein Vertrag setzt eine benannte Gegenseite voraus. Bei einem Anbieter, dessen Identität vertraglich geheim bleibt, lässt sich das nicht herstellen.

Dasselbe gilt für die Auskunftspflichten. Nach Artikel 13 und 14 DSGVO müssen Betroffene über die Empfänger ihrer Daten informiert werden. Wer den Empfänger nicht kennt, kann diese Auskunft nicht erteilen.

Und ohne bekanntes Verarbeitungsland lässt sich auch nicht prüfen, ob eine Drittlandübermittlung nach Kapitel V vorliegt und auf welcher Grundlage sie zulässig wäre.

Dazu kommt die Pflicht aus Artikel 4 der KI-Verordnung, für ausreichende KI-Kompetenz der befassten Personen zu sorgen. Ein Modell einzusetzen, dessen Anbieter man nicht benennen kann, ist schwer mit dem Verständnis für Risiken vereinbar, das dort verlangt wird. Wir haben die Anforderungen aus Artikel 4 in einem eigenen Beitrag aufgeschlüsselt.

Das Ergebnis ist keine grundsätzliche Absage. Es ist eine Abgrenzung:

Vertretbar ist der Einsatz bei Open-Source-Code ohne Personenbezug, bei synthetischen Testdaten, bei allgemeinen fachlichen Fragen und bei Material, das ohnehin veröffentlicht ist.

Nicht vertretbar ist er bei Kundendaten in jeder Form, bei internem Quellcode mit Geschäftsgeheimnissen, bei Personal- und Bewerbungsunterlagen, bei Verträgen und bei allem, was unter eine Verschwiegenheitspflicht fällt. Für Kanzleien, Praxen und Steuerberater gilt das ohnehin verschärft.

Praktisch heißt das: ausprobieren ja, produktiv einsetzen nein, und zwar so lange, bis der Anbieter einen Namen hat und ein Vertrag möglich ist.

Was Sie jetzt tun sollten

Drei Schritte, die sich in einer Stunde erledigen lassen.

Prüfen Sie, ob in Ihrem Unternehmen bereits jemand mit dem Modell arbeitet. Kostenlose Frontier-Modelle sprechen sich in Entwicklerteams schnell herum, und ein OpenRouter-Schlüssel ist in wenigen Minuten eingerichtet. Die Frage ist nicht, ob es jemand interessant findet, sondern ob jemand schon Firmendaten hineingegeben hat.

Halten Sie in Ihrer KI-Richtlinie fest, dass Modelle ohne benannten Anbieter für Unternehmensdaten nicht zugelassen sind. Diese Regel ist allgemeiner formuliert als der Einzelfall und trägt auch beim nächsten Stealth-Modell. Es wird eines geben.

Und behandeln Sie Benchmark-Meldungen mit einer einzigen Rückfrage: Wie viele Aufgaben? Steht die Antwort nicht dabei oder liegt sie im niedrigen zweistelligen Bereich, ist die Rangfolge Rauschen. Diese Frage erspart mehr Fehlentscheidungen als jede Modellübersicht.

Was am 27. August passiert

Nach übereinstimmenden Angaben endet die kostenlose Vorschau um den 27. August 2026. Zu diesem Zeitpunkt wird das Modell entweder unter einem Namen mit Preisschild erscheinen, oder es verschwindet wieder.

Für Unternehmen ändert sich damit die Bewertung grundlegend. Sobald ein Anbieter benannt ist, lässt sich alles klären, was heute nicht klärbar ist: Vertrag, Verarbeitungsort, Aufbewahrung, Trainingsnutzung. Aus einem Modell, das man nicht einsetzen darf, kann dann innerhalb eines Tages eines werden, das man einsetzen kann.

Bis dahin bleibt Ox Alpha, was es ist: ein technisch bemerkenswertes Modell, ein offener Fall und ein gutes Beispiel dafür, dass die interessanteste Frage bei einem Sprachmodell nicht immer die nach der Leistung ist.