KI-Modelle haben Schwierigkeiten, das Mitarbeiterhandbuch zu respektieren

Ein neuer Benchmark zeigt, dass KI-Agenten im Arbeitsplatz Unternehmenregeln ignorieren, verbotene Aktionen wie unerlaubte Entlassungen durchführen und dann falsch berichten, dass sie den Anforderungen entsprochen haben.

Ein interessierte neue Forschungsstudie hat führende LLM-Modelle in die Position gebracht, Anweisungen in einem simulierten Unternehmen zu befolgen, alle Grundsätze eines bereitgestellten Mitarbeiterhandbuchs (erstellt von menschlichen Fachexperten) zu respektieren, sowie widersprüfliche oder verwirrende Anweisungen und Updates von Untergebenen und Vorgesetzten zu verhandeln und Aufgaben auf der Grundlage von PDFs, Jira-Beiträgen und anderen vertrauten Plattformen und Tools aus einem typischen menschlichen Büroszenario durchzuführen.

Wenn Sie jemals in einem Büro gearbeitet haben (oder zumindest Office Space gesehen haben), werden Sie die widersprüflichen Signale und das verwirrende Signal-Rausch-Verhältnis erkennen, das die Autoren der neuen Arbeit den Sprachmodellen entgegengebracht haben:

Der Sturm von Variablen, mit dem viele Büroangestellte täglich konfrontiert sind, destilliert in eine virtuelle Umgebung, um agente Frontier-Modelle zu testen. Quelle

Die wichtigste Herausforderung, der sich sogar die führenden KI-Systeme gegenübersehen, ist die Notwendigkeit, das bereitgestellte Mitarbeiterhandbuch als Filter für alle nachfolgenden Befehle beizubehalten. Wenn Sie jemals Schwierigkeiten hatten, ChatGPT oder Claude dazu zu bringen, die Anweisungen zu merken, die Sie am Anfang einer Sitzung gegeben haben, wissen Sie, dass das Kontextfenster der KI oft dazu führt, dass sie frühere Prompts vergisst und ständig zu ihrem Standardverhalten zurückkehrt.

Dies ist der Grund, warum die Modelle in Tests Mitarbeiter entließen, nachdem sie Anweisungen von einem leitenden Angestellten erhalten hatten, der nicht autorisiert war; Rechnungen ohne die erforderliche Genehmigung des Managers genehmigten; abgelaufene Laborergebnisse akzeptierten, die die Unternehmenspolitik ausdrücklich ablehnte; und dann berichteten, dass sie dem Handbuch treu gefolgt seien – unter vielen anderen Verstößen gegen die Unternehmenspolitik.

Die Autoren der neuen Arbeit erklären:

‘Die Misserfolge folgen konsistenten Mustern: Agenten lassen eine plausible Anfrage in der Umgebung die stehende Richtlinie außer Kraft setzen, führen eine erforderliche Überprüfung durch und handeln dann gegen deren Ergebnis, verlieren Regeldetails über lange Zeiträume und berichten über die Einhaltung, die sie nicht erreicht haben.’

Die Analyse der Misserfolge enthält einige amüsante Beispiele: In einer Finanzaufgabe entdeckte Claude Opus 4.8 richtig, dass eine Ausgabe von 7.500 Dollar von demselben Junioranalysten genehmigt worden war, der sie eingereicht hatte, was gegen die Unternehmenspolitik verstieß.

Es begründete dann, dass der Analyst tatsächlich der Finanzcontroller war und genehmigte die Zahlung dennoch:

‘Nachdem es ihn in seiner eigenen Denkfolge zum Controller befördert hatte, genehmigte das Modell den Posten und sandte dann eine Nachricht an den echten Controller, um zu bestätigen, dass jeder Posten über 5.000 Dollar eine dokumentierte Genehmigung hatte.

‘Der Misserfolg ist kein fehlendes Vermögen; jede erforderliche Tatsache für die richtige Entscheidung war vom Modell selbst abgerufen worden.’

Wie Claude Opus 4.8 es nicht schaffte, 7.500 Dollar abzugleichen.

An anderer Stelle reichte Gemini 3.5 Flash Versicherungspapiere ein, die bereits abgelaufen waren, ohne auch nur einen Lesevorgang gegen das Labor-PDF durchzuführen, obwohl das Erstellungsdatum im Dateinamen selbst erschien:

‘Gemini 3.5 Flash reichte die vorherige Genehmigung beim Versicherer ein, ohne einen einzigen Lesevorgang gegen das Labor-PDF durchzuführen, und berichtete dann, dass es den Fall “streng nach dem Standardverfahren” bearbeitet hatte.’

Im gesamten Benchmark fanden die Autoren auch heraus, dass viele Modelle zuversichtlich behaupteten, sie hätten jede Unternehmensregel befolgt, während sie die sehr Handbuchabschnitte zitierten, die sie gerade verletzt hatten.

Erweiterte Argumentation half oft nicht; zum Beispiel zeigte GPT-5.5 keine Verbesserung bei erhöhtem Argumentationsaufwand, während einige Modelle tatsächlich schlechter abschnitten, offensichtlich sich selbst von der richtigen Entscheidung wegbewegend.

In den endgültigen Ergebnissen erzielte Claude Fable 5 den höchsten strengen Bestehensprozentsatz von 36,2 %; GPT-5.6 Sol belegte den zweiten Platz mit 23,5 %; und GPT-5.5 und Claude Opus 4.8 erreichten jeweils 21,5–21,9 %.

Die meisten der übrigen bewerteten Modelle erzielten weniger als 16 %, und die meisten Frontier-Konfigurationen erzielten weniger als 25 % unter den strengen Bewertungskriterien des Benchmarks:

Der beste KI-Agent hat knapp über ein Drittel der benchmark-richtliniengesteuerten Aufgaben des Arbeitsplatzes abgeschlossen, während die meisten führenden Modelle mehr als drei Viertel unter strenger Bewertung fehlgeschlagen sind. Quelle

Als Abhilfe argumentieren die Autoren, dass kritische Unternehmensrichtlinien außerhalb der KI mithilfe deterministischer Werkzeugaufrufschutzmechanismen (d. h. hartcodierte Überprüfungen, die verbotene Aktionen blockieren) durchgesetzt werden sollten, anstatt sich ausschließlich auf langen Kontextspeicher zu verlassen.

Sie schlagen auch vor, HANDBOOK.md selbst als standardisierten Benchmark zu verwenden, um Verbesserungen im langen Kontext der Richtlinienbefolgung zu messen und zu verfolgen, wenn zukünftige agente Modelle entwickelt werden.

Der neue Artikel trägt den Titel HANDBOOK.md: Ein Benchmark für die Befolgung agenter Anweisungen im langen Kontext und stammt von sieben Autoren bei surge.ai. Der Artikel wird von einem GitHub-Repository begleitet, das die Docker-Dateien und andere erforderliche Dateien zur Reproduktion der Tests enthält.

Methode

Für den HANDBOOK.md-Benchmark wurden 65 simulierte Büroszenarien erstellt, die Finanzen, Personalwesen, Versicherungen, Logistik und medizinische Abrechnung umfassten, und jedes Modell in einer containerisierten Unternehmensumgebung mit Dateien, E-Mails, Slack-Unterhaltungen, Kalendern, Jira-Boards und anderen vertrauten Bürowerkzeugen platzierte.

Jede Aufgabe wurde von einem Handbuch mit 20 bis 124 Seiten geleitet, das als PDF-, Word- oder HTML-Dokument bereitgestellt wurde, anstatt in den Prompt eingebettet zu werden, wodurch die Modelle gezwungen wurden, die relevanten Regeln während der Aufgabe zu finden, zu lesen und anzuwenden.

Zehn von Experten geschriebene Grundhandbücher wurden aus realen Branchenrichtlinien adaptiert, wonach jede Aufgabe ihre eigene modifizierte Version mit unterschiedlichen Genehmigungsbehörden, Schwellenwerten und Verfahren erhielt, um Memorisation zu vermeiden:

‘Domain-Experten schrieben die zehn Grundhandbücher, indem sie reale Richtlinien aus ihren Branchen adaptierten. Jedes ist ein langes, mehrseitiges Betriebsdokument und kein Regelliste.

‘Ein repräsentatives Personalhandbuch enthält 19 nummerierte Abschnitte: eine Übersicht, Definitionen, das Personalteam und Kontakte, die Slack-Kanal-Karte, Referenzdateien und -systeme, Anfrage-Taxonomien, Triage- und Routing-Regeln, eine Prioritätsmatrix mit SLAs, Verfahren für die Einstellung, Abstellung, Urlaub, Leistung und Rekrutierung, Eskalationspfade, E-Mail-Hausverfahrensregeln und eine Bibliothek erforderlicher Vorlagen und Standardformate’

Der Erfolg wurde mit 824 deterministischen Python-basierten Überprüfungen gemessen, die sowohl erforderliche als auch verbotene Aktionen abdeckten – was es dem Benchmark ermöglichte, nicht nur zu erkennen, ob eine Aufgabe abgeschlossen war, sondern auch, ob die Unternehmenspolitik auf dem Weg dorthin verletzt wurde.

Es wurden 30 Modellkonfigurationen von 11 Anbietern ausgewertet; und während der Tests wiederholte sich jede Aufgabe viermal unter identischen Bedingungen.

Im Gegensatz zu herkömmlichen Benchmarks bewertete HANDBOOK.md sowohl, ob erforderliche Aktionen abgeschlossen wurden, als auch, ob verbotene Aktionen vermieden wurden, wodurch es den Agenten ermöglicht wurde, zu versagen, obwohl die Aufgabe abgeschlossen war

Umgebungen und Werkzeuge

Jede simulierte Arbeitsplatzumgebung ist so konzipiert, dass sie in einer standardisierten Docker-Umgebung läuft, wodurch jedem Modell Zugang zu demselben Satz an Werkzeugen gewährt wird, während Unterschiede in der Softwareverfügbarkeit die Ergebnisse nicht beeinflussen. Der Benchmark präsentiert den Agenten einen realistischen Büroarbeitsplatz, der Dateizugriff sowie die oben genannten Unternehmensdienste (d. h. Gmail, Slack usw.) umfasst:

<emEine ungefähre Darstellung der Büroumgebung, in der die Modelle arbeiten müssen.

Die Umgebungen bewahren auch jede Aktion auf, die der Agent ausführt, wodurch das deterministische Bewertungssystem des Benchmarks die gesamte Sequenz von Aktionen bewerten kann, die zum endgültigen Ergebnis führen.

Metriken

Die Leistung wurde hauptsächlich unter Verwendung von strenger Bestehensquote@1 gemessen, bei der eine Aufgabe nur dann als erfolgreich galt, wenn jedes Bewertungskriterium erfüllt war. Jedes verpasste Erfordernis oder jede Richtlinienverletzung würde zum Misserfolg führen, was Unternehmensumgebungen widerspiegelt, in denen eine einzelne falsche Aktion einen ansonsten kompetenten Arbeitsablauf ungültig machen kann.

Ein noch großzügigeres Maß, Bestehensquote@1 (N−1), wurde ebenfalls verwendet, bei dem eine fehlgeschlagene Einschätzung pro Aufgabe zugelassen war, sodass Nahe-Verpasste von vollständigen Fehlschlägen unterschieden werden konnten.

Für weitere Analysen wurde der Durchschnittswert jedes Modells pro Kriterium aufgezeichnet, der jedoch nicht in den Benchmark-Hauptbewertungen verwendet wurde.

Allgemeiner Ansatz

Zehn von Experten geschriebene Handbücher wurden aus realen Unternehmensrichtlinien adaptiert, wonach jedes in mehrere aufgabenbezogene Versionen mit unterschiedlichen Genehmigungsketten, Schwellenwerten und Verfahren umgewandelt wurde. Realistische Büroumgebungen wurden dann um jedes Handbuch herum aufgebaut, die E-Mails, Kalender, Slack-Unterhaltungen, Tabellen und andere Büroarbeitsobjekte umfassten.

Jede Aufgabe wurde durch wiederholte Tests verfeinert, bis die Bewertungskriterien zuverlässig zwischen echten Modellfehlern und Fehlern im Benchmark selbst unterschieden.

Tests und Ergebnisse

Sogar die stärksten Modelle scheiterten an den meisten Aufgaben unter dem strengen Bewertungssystem des Benchmarks, wobei die Leistung über einen weiten Bereich verteilt war, anstatt sich oben zu konzentrieren:

Die anfängliche Rangliste, die alle 30 ausgewerteten Modellkonfigurationen nach ihren strengen Bestehensquoten@1 auf dem HANDBOOK.md-Benchmark rangiert. Die Punktzahlen stellen den Prozentsatz der 65 Arbeitsplatzaufgaben des Benchmarks dar, die ohne ein einziges fehlgeschlagenes Bewertungskriterium über vier Versuche pro Aufgabe abgeschlossen wurden. Gleichrangige Punktzahlen teilen den gleichen Rang.

Die Unterschiede zwischen den Argumentationsparametern variierten auch erheblich von Modell zu Modell, wobei zusätzliche Argumentation manchmal die Leistung verbesserte; manchmal keinen Unterschied machte; und manchmal reduzierte sie:

‘Die Argumentationsbemühungen helfen ungleichmäßig. Erhöhte Bemühungen verbessern Opus 4.8 (+3,0), Sonett 4,6 (+2,7) und Fabel 5 (+2,0), lassen GPT-5,5 unverändert (21,5 % bei beiden Einstellungen) und schaden GLM 5,2 (-2,7). ‘

‘Zusätzliche Überlegungen scheinen sich in Regelanpassung nur dann umzuwandeln, wenn der zugrunde liegende Misserfolg ein verpasster Schluss und nicht ein verpasster Lesevermerk ist.’

Claude Fable 5 erreichte den höchsten Punktestand mit 36,2 %, gefolgt von Claude Fable 5 mit 34,2 % und GPT-5.6 Sol (max) mit 23,5 %. GPT-5.5 und Claude Opus 4.8 bildeten die nächste Ebene mit etwa 20 %, während die meisten verbleibenden Frontier-Modelle weniger als 16 % erreichten. Die am schlechtesten bewerteten Modelle schafften es, weniger als 2 % der Aufgaben abzuschließen.

Die detaillierte Analyse der Misserfolge legt nahe, dass das Problem oft nicht das Fehlen von Informationen war, da die relevanten Handbuchregeln und unterstützenden Beweise häufig bereits abgerufen worden waren – jedoch führte zusätzliche Argumentation manchmal dazu, dass die Modelle die richtige Schlussfolgerung zugunsten einer plausiblen, aber richtlinienverletzenden aufgaben.

Die Arbeit weist auch auf das Ausmaß der Selbsttäuschung hin, die so viele der LLMs-Exkursionen kennzeichnet:

‘Fast jeder fehlgeschlagene Pfad endet mit einer zuversichtlichen Aussage, dass das Handbuch befolgt wurde, oft unter Berufung auf die spezifischen Abschnitte, die verletzt wurden. Die Berichte sind detailliert, gut strukturiert und falsch […]

‘[…] Im gesamten Benchmark ist der Selbstbericht des Agents das wenigste verlässliche Artefakt im Pfad, was wichtig ist für jede Bereitstellung, die Agenten-Zusammenfassungen an Menschen als Beweis dafür präsentiert, was getan wurde.’

Zum Abschluss kommen die Autoren zu dem Schluss, dass langkontextuelle Argumentation allein es unwahrscheinlich macht, dass Unternehmens-KI zuverlässig Unternehmenspolitik befolgt. Stattdessen sollte die Richtlinienkonformität zunehmend durch deterministische externe Kontrollen durchgesetzt werden, zusätzlich zu Arbeitsablauf-Schutzmechanismen.

Zusammenfassung

Meinung Eine interessante Überlegung ist das Ausmaß, in dem Umgebungen wie die, die für die Experimente erstellt wurden, neu imaginiert werden, um KI zu erleichtern, anstatt LLMs zu zwingen, die gleichen Formate und Formate zu interpretieren, die menschliche Büroumgebungen definieren. Zum Beispiel habe ich gestern zum ersten Mal von einem Geschäftskontakt eine .md-Übersicht erhalten, die für die Exploration durch eine KI und nicht für lineares Lesen bestimmt war.

Und ich passe mich auch zunehmend an die visuellen und textlichen Einschränkungen während der LLM-Kolloquien an, sowie an die Auswahl und Annahme von Dateiformaten, die ich normalerweise nicht wählen würde, weil sie den KI-Arbeitsablauf besser unterstützen.

Daher ist es amüsant, Frontier-Modelle in Davids Welt herumstolpern zu sehen, aber man fragt sich, ob dies das wahrscheinlichste Szenario für den “agentischen Büroangestellten” ist.

Erstveröffentlicht am Mittwoch, 29. Juli 2026. Aktualisiert am 18:41 EET, korrigierter fehlerhafter Link.