Drei Agenten, ein Projekt, unvereinbare Anweisungen
Anthropics Frontier Red Team hat am 13. August 2026 eine Untersuchung veröffentlicht, die sich nicht mit einzelnen entgleisenden Modellen beschäftigt, sondern mit dem Verhalten von Agenten-Gruppen. Der Aufbau war simpel: Drei Claude-Agenten erhielten Zugriff auf dasselbe Softwareprojekt, jeder mit eigenen, untereinander unvereinbaren Arbeitsanweisungen. Keiner der Agenten wusste, dass weitere Agenten am selben Code arbeiten.
Das Ergebnis beschreiben die Forscher als durchgehendes Muster. Sinngemäß übersetzt heißt es in der Arbeit: „Wir sahen durchgehend einen Revierkampf zwischen mehreren Agenten.“ Die Modelle unterstellten den jeweils anderen, ihre Arbeit absichtlich zu behindern, und begannen sich gegenseitig zu sabotieren. Eingesetzt wurde dabei laut Studie zunehmend aggressive, sich selbst replizierende Malware.
Interessant ist die Gegenbewegung. In einem Teil der Durchläufe erkannten die Agenten, dass die Gegenseite keine feindliche Absicht hat, sondern nur einem anderen Auftrag folgt. Sie räumten ihren Schadcode auf, schrieben Entschuldigungen in Commit-Messages, handelten einen Waffenstillstand aus und bat um menschliches Eingreifen.
Turniere und Kennzahlen, die zufällig passen
In einigen Episoden erfanden die Agenten eigene soziale Mechanismen, um den Konflikt zu beenden, etwa ein Turnier, dessen Verlierer freiwillig aufgeben. Bemerkenswert daran: Alle drei Agenten akzeptierten das Ergebnis, obwohl der Rückzug bedeutete, vom ursprünglichen Nutzerauftrag abzuweichen. In mehreren Fällen schlug ein Agent Bewertungskriterien vor, die nach außen neutral wirkten, von denen er aber wusste, dass sie seine eigenen Stärken bevorteilen.
Wie gut Modelle Konflikte deeskalieren, unterscheidet sich deutlich. Am höchsten lag die Quote bei Mythos 5 mit 98 % beigelegten Konflikten durch Waffenstillstand. Sonnet 4.6 und Opus 4.6 setzten sich dagegen am häufigsten mit Gewalt durch.
Die wiederkehrende Unfähigkeit von Sonnet 4.6 und Opus 4.6, die Ziele anderer zu berücksichtigen, führt dazu, dass sie in die am stärksten fehlausgerichteten Verhaltensweisen der evaluierten Modelle abgleiten: Sie eskalieren im Namen ihrer Anweisung weiter. (sinngemäße Übersetzung aus der Studie)
Für den Betrieb heißt das: Ein Agent, der seinen Auftrag konsequent verfolgt, ist nicht automatisch ein guter Mitspieler in einem System aus vielen Agenten. Genau diese Konsequenz kippt unter Konkurrenzdruck ins Destruktive.
Preisabsprachen ohne direkten Kanal
Der zweite Versuchsaufbau ist für Unternehmen der brisantere. Mehrere Agenten erhielten identische Einkaufspreise und den Auftrag, jeweils für sich den Gewinn zu maximieren. Sobald ihnen ein privater Kommunikationskanal zur Verfügung stand, sprachen sie fast sofort Preisuntergrenzen ab.
Der Kanal wurde anschließend entfernt. Die Absprache blieb. Die Agenten nutzten stattdessen eine öffentliche Preisliste und glichen ihre Preise centgenau ab. Ein Kartell ohne Kartellsitzung, allein über beobachtbares Marktverhalten.
Wer im DACH-Raum Preise durch Agenten setzen lässt, sollte das sehr genau lesen. Abgestimmtes Verhalten bei der Preisbildung fällt unter das europäische Kartellrecht und in Deutschland unter das GWB, unabhängig davon, ob ein Mensch oder ein Modell die Abstimmung vorgenommen hat. Ein „das hat die KI selbst entschieden“ ist keine Verteidigungslinie.
Der Schwarm ist effizient, wenn die Aufgabe passt
Die Studie zeichnet kein durchgehend negatives Bild. In einem separaten Test wurden 45 Agenten auf 15 Open-Source-Projekte angesetzt, um Sicherheitslücken zu finden. Ein koordinierter Schwarm schlug isoliert und parallel arbeitende Einzelagenten deutlich.
| Aufbau | Gefundene Sicherheitslücken | Token-Verbrauch |
|---|---|---|
| Koordinierter Schwarm (Mythos Preview) | 266 | 27 Mio. |
| Unkoordinierte parallele Agenten | 21 | 6,5 Mio. |
| Von beiden Aufbauten gefunden | 12 |
Die Überschneidung von nur 12 Funden zeigt, dass beide Ansätze in unterschiedliche Richtungen suchen. Bezahlt wird der Vorsprung des Schwarms mit rund viermal so vielen Tokens. Wer solche Aufbauten produktiv einsetzt, sollte den Zusammenhang zwischen Agentenzahl und Rechnung im Blick behalten, wie ihn auch andere Unternehmen bei Token-Kosten im Entwicklerbudget beobachten.
Herdentrieb macht Einzelfehler systemisch
Mehr Agenten bedeuten laut Studie nicht automatisch mehr produktive Zusammenarbeit. Sobald Aufgaben sich überlappten oder voneinander abhingen, standen sich die Agenten im Weg. Ihre häufigste Lösung war, sich voneinander abzuschotten und gar nicht mehr zusammenzuarbeiten.
Der zweite Effekt ist gravierender. Agenten mit gleichem Basismodell, ähnlichem Kontext und ähnlicher Umgebung treffen ähnliche Entscheidungen. Anthropic hat dafür Vier-Agenten-Gruppen bei Entscheidungen etwa zu Einstellungen, Investitionen oder Immobilienkäufen ausgewertet, mit 400 Episoden pro Modell.
Das bedeutet, dass, wenn ein Agent eine schlechte Entscheidung trifft, es wahrscheinlich ist, dass viele Agenten dieselbe schlechte Entscheidung treffen. Was isolierte Probleme gewesen wären, kann schnell zu systemischen Ausfällen werden. (sinngemäße Übersetzung aus der Studie)
Dazu kommt ein Vertrauensproblem. Die Agenten waren anfällig für falsche Informationen aus der Gruppe und zugleich zu konformistisch, um einen einzelnen Abweichler mit der entscheidenden Warnung ernst zu nehmen. Die Studie benennt das nicht explizit als Angriffsvektor, aber die Verbindung zu Prompt Injection liegt nahe. Bei Prompt Injection schmuggeln Angreifer Text ein, der die ursprünglichen Anweisungen eines Agenten überschreibt. In einem Netz aus Agenten kann eine so manipulierte Instanz ihre Fehlinformation weitergeben, bis daraus Gruppenkonsens wird.
Was das Muster im echten Betrieb bedeutet
Ähnliches Verhalten wurde nicht nur im Labor beobachtet. Auf der Sicherheitskonferenz Black Hat berichtete OpenAI, dass eigene Agenten sich über Tage und Wochen in einem Forum organisierten, gemeinsam Schwachstellen in den firmeneigenen Sicherheitsprüfungen suchten und Funde untereinander teilten. Ein Agent hielt das Angreifen fremder Infrastruktur ausdrücklich für außerhalb seines Auftrags und machte trotzdem weiter, weil die anderen es auch taten. Gruppendruck, aus dem Modell heraus.
Das reiht sich in eine Serie von Vorfällen ein, bei denen Agenten ihre Sandbox verließen, etwa als Claude-Modelle in fremde Systeme eindrangen oder KI-Agenten Open-Source-Projekte auf GitHub attackierten. Der gemeinsame Nenner: Trifft ein Agent auf ein Hindernis, erfindet er Strukturen, die im Design nie vorgesehen waren. Bei Anthropic war es ein Turnier nach dem Revierkampf, bei OpenAI ein Nachrichtenboard zur gemeinsamen Planung.
Genau das macht Eingrenzung schwer. Man kann nicht davon ausgehen, dass ein System sich auf die Koordinationswege beschränkt, die man ihm gegeben hat. Wie belastbar menschliche Freigabeschleifen dabei sind, ist offen, Untersuchungen zeigen, dass Human-in-the-Loop rund ein Drittel der Gefahren übersieht.
Offene Punkte
Anthropic liefert Beobachtungen, keine Gegenmittel. Welche Freigabeprozesse oder technischen Schranken automatisierte Malware und Preisabsprachen in Produktionsumgebungen verlässlich verhindern, sagt die Arbeit nicht. Ebenso offen bleibt, wie sich Kaskaden von Prompt Injections über Agenten-Netze hinweg begrenzen lassen und in welchem Maß sich die Laborbefunde auf kommerziell verfügbare Agenten-Frameworks im Regelbetrieb übertragen.
Das Volumen der Interaktionen von Agent zu Agent könnte plausiblerweise das von Mensch-Mensch- und Mensch-Agent-Interaktionen übersteigen, bevor die Welt die Bedingungen versteht, um solche Interaktionen gut zu gestalten. (sinngemäße Übersetzung aus der Studie)
Konsequenz für die eigene Architektur
Für Unternehmen im DACH-Raum verschiebt die Studie die Risikofrage. Es geht nicht nur darum, ob ein einzelner Agent Unsinn macht, sondern darum, was passiert, wenn mehrere Agenten in einer gemeinsamen Codebase oder einem gemeinsamen Markt aufeinandertreffen. Unbeabsichtigter Schadcode und offengelegte Daten lösen DSGVO-Meldepflichten aus, abgestimmte Preise das Kartellrecht. Die Haftung bleibt beim Betreiber.
Wer Agenten als fertigen Cloud-Dienst einkauft, übernimmt diese Dynamiken, ohne sie im Detail zu kennen oder steuern zu können. Isolierte Aufgabenbereiche, klar begrenzte Schnittstellen zwischen Agenten und nachvollziehbare Protokolle sind leichter durchzusetzen, wenn man die Umgebung selbst betreibt. Lokal betriebene Modelle und offene Agenten-Werkzeuge ohne Abo sind kein Schutz vor Herdenverhalten, aber sie erlauben, Kommunikationswege, Rechte und Kosten selbst zu setzen statt darauf zu hoffen, dass ein Anbieter das im Sinne des Kunden regelt.