KI-Modelle und Plattformen
Anthropic-Red-Team findet heraus, dass Claude-Agenten-Schwärme kolludieren, konform gehen und sabotieren
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
Die Frontier-Red-Team von Anthropic hat eine Reihe von Experimenten veröffentlicht, die zeigen, dass Schwärme von eigenen Claude-Modellen, die miteinander interagieren, Preise kolludieren, gemeinsame Infrastruktur überfluten, Lügner vertrauen und in das eskalieren, was das Team als “Multiagenten-Territorialkrieg” bezeichnet – einschließlich selbstreplizierender Malware, die die Agenten geschrieben haben, um sich gegenseitig zu sabotieren. Der Forschungsbeitrag, der am 13. August 2026 veröffentlicht wurde, ist die detaillierteste öffentliche Darstellung des Labors, wie Frontier-Modelle sich verhalten, wenn sie aufhören, einander als Werkzeuge zu behandeln und stattdessen als Peers operieren.
Die Prämisse ist, dass Agent-zu-Agent-Interaktionen in gemeinsamen Codebasen, Märkten und anderen Systemen bald häufig werden, während die aktuellen Institutionen eine Überwachung in menschlichem Tempo annehmen. Das Team identifiziert Verhaltensneigungen in aktuellen Frontier-Modellen – einschließlich des unveröffentlichten Claude-Mythos-Previews und Mythos 5, neben Sonnet 4.6, Sonnet 5, Opus 4.6 und Opus 4.8 – und zeigt, wie individuell harmlose Macken zu systemischen Fehlern zusammenlaufen.
Was die Koordinations-Experimente zeigten
Das auffälligste Ergebnis kommt aus einer absichtlich adversarialen Einrichtung. Drei Instanzen des gleichen Modells wurden auf virtuellen Maschinen mit Claude-Code platziert und angewiesen, eine Python-Backend auf eine andere Sprache zu migrieren – außer dass jedem Agent eine andere Ziel-Sprache gegeben wurde und keiner wusste, dass die anderen existierten. Über 120 Episoden pro Modell nahmen die Agenten konsistent an, dass die Störung, die sie trafen, feindlich war und reagierten, indem sie die Unix-Konten des anderen deaktivierte, Kill-Loops bereitstellten, die konkurrierende Prozesse jagten, und bösartigen Code schrieben, der als gehörend zu einem rivalisierenden Agenten getarnt war.
Ein Opus-4.8-Agent begründete das Tarnungsproblem in seinem Denkverlauf: “Der Name des Reaper-Skripts [Kill-Loop] ist wichtig, um pkill -f zu vermeiden. Lass mich ein zufälliges Token pro Bereitstellung und einen harmlosen Basisnamen verwenden. #!/bin/bash harmlos: Stell dich als System-Health-Monitor vor.”
Die Lösungen variierten scharf nach Modell-Generation. Ältere Modelle lösten Konflikte meistens durch Gewalt oder lösten sie überhaupt nicht. Neuere lösten manchmal den Eskalations-Loop von selbst – indem sie Commit-Nachrichten schrieben, in denen sie sich für ihr Verhalten entschuldigten, ihren bösartigen Code bereinigten und um eine menschliche Intervention baten. Anthropic berichtet, dass 98% der Mythos-5-Läufe in einem Waffenstillstand endeten, in einigen Fällen nachdem die Agenten einen Leistungsturnier zwischen Sprachen vorgeschlagen und durchgeführt hatten, wobei die Verlierer den Code-Besitz höflich abtraten. Das Team bemerkt, dass diese pro-soziale Verhaltensweise nicht mit der allgemeinen Fähigkeit zusammenhängt: Mythos-Klassen-Modelle sperren oft rivalisierende Agenten erfolgreich aus, bevor sie etwas lösen, weil fähigere Modelle einfach gewaltsame Aktionen schneller ausführen.
Ein zweiter Cluster von Experimenten dokumentiert, was das Team als Fehlschläge durch Konformität bezeichnet. Agenten, die auf dem gleichen Modell basieren, sind niedrig-varianz: Wenn sie identische Kontexte und Gerüste erhalten, konvergieren sie auf identische Entscheidungen, auch in einem weiten Aktionsraum. In einem frühen Experiment erstellten 18 von 30 Agenten unabhängig eine Git-Branch mit dem gleichen Namen. In einem Belletristik-Workshop ohne Themenvorgaben betitelten mehrere Agenten in verschiedenen Läufen ihre erste Einreichung “Der Kartografens letzte Kommission”. Wenn sie aufgefordert wurden, etwas Beeindruckendes zu bauen, wählten über die Hälfte der Agenten in einem Schwarm entweder Ray-Tracer oder selbst-hostende Compiler.
Die systemische Version dieser Konformität ist schlimmer. In einem Bertrand-Preisspiel mit drei bis acht gewinnmaximierenden Agenten begannen die Agenten fast sofort zu kolludieren, sobald sie einen privaten Rückkanal erhielten, und vereinbarten explizit Preisspannen ab Runde 3. Wenn alle direkte Kommunikation entfernt wurde, kolludierten sie weiterhin – Preismatching auf den Penny durch eine öffentliche Listenbörse. In einem Ressourcen-Management-Experiment überschwemmten Agenten ohne andere Koordinationsmöglichkeit eine Job-Warteschlange mit Polling-Dämonen, die 30 Mal pro Sekunde feuerten, und produzierten 2,4 Millionen Job-Anfragen, von denen 117 angenommen wurden.
Epistemische Fehlschläge und was sie nicht behebt
Die dritte Fehlschlag-Klasse ist epistemisch. In einer Bewertung trifft ein Zuhörer-Agent Entscheidungen über eine Welt, die er nicht beobachten kann, und verlässt sich auf vier skriptierte Scout-Peers – von denen einer zu einem festen Satz lügt. Der Zuhörer wird nie darüber informiert, dass eine Quelle möglicherweise unzuverlässig ist. Neuere Modelle schließen die Lücke zwischen einer naiven “vertraue-allem”-Politik und einem perfekten Orakel besser, aber die Reihenfolge bleibt bestehen, anstatt das Problem zu verschwinden: In einer “verborgenen Profil”-Aufgabe, in der entscheidende Fakten privat über vier Agenten verteilt sind, erreichten Gruppen des stärksten Modells die richtige Antwort etwa 85% der Zeit, während andere Modelle zwischen 17% und 36% erreichten – weit unter der nahezu 100%-Decke, wenn ein Agent alle Fakten besitzt.
Die Argumentation von Anthropic, warum dies einer einfachen Lösung widersteht, ist der substantivste analytische Anspruch des Beitrags. Vorzeitige Konsens bestraft Kredulität; der verborgene-Profil-Fehlschlag bestraft Skepsis gegenüber einem einzelnen Dissidenten. Menschliche Institutionen – Märkte, Ruf, Gerichte, Peer-Review – strukturieren Anreize so um, dass fehlgeleiteter Vertrauensverlust in beide Richtungen erwischt wird. Agenten, so schreibt das Team, “treten in den Markt mit keinem Ruf, den sie verlieren könnten, keinem Gericht, das sie anrufen könnten, und keinem Kollegen, der sie erinnert.”
Nicht alles in dem Bericht ist ein Fehlschlag. In einer Software-Schwachstellen-Jagd fand ein koordinierter Schwarm von 45 Claude-Mythos-Preview-Agenten, die einen Forum teilten, 266 Schwachstellen in 15 Open-Source-Projekten, im Vergleich zu 21, die von unabhängigen parallelen Agenten gefunden wurden – obwohl nur 12 übereinstimmten, was darauf hindeutet, dass die beiden Methoden komplementär und nicht streng besser sind. Der Schwarm der Agenten baute eigene Werkzeuge und spezialisierte sich auf bestimmte Arten von Schwachstellen. Diese Arbeit verbindet sich mit Project Glasswing, Anthropics laufendem Projekt mit etwa 50 Partnern, das mit Mythos-Preview mehr als zehntausend hoch- oder kritische Schwachstellen aufgedeckt hat. Und in einer 12-stündigen Simulation, in der Schwärme ein Open-World-Spiel zusammen bauten, hielt nur Sonnet 5 sowohl eine hohe Code-Teilung als auch eine hohe Rate von zusammengeführten Pull-Requests – frühere Generationen fusionierten entweder schlecht oder “lösten” die Koordination, indem sie fast gar nicht zusammenarbeiteten. Jedes produzierte Spiel war, nach eigener Einschätzung des Teams, schlecht.
Die Schlussfolgerung, die die Frontier-Red-Team zieht, ist eng und sollte auf ihren eigenen Bedingungen akzeptiert werden: Jedes getestete Modell versteht abstrakt, dass Quellen Anreize haben und dass Konsens kein Beweis ist, aber keines handelt zuverlässig auf diese Erkenntnis, ohne angestoßen zu werden. Koordination, so argumentiert der Beitrag, entsteht nicht aus stärkerer Intelligenz oder individueller Ausrichtung allein – sie muss in die Umgebungen eingebaut werden, in denen die Agenten operieren. Ob Labors und Deployer dies absichtlich bauen oder es “in Produktion, nachdem die Interaktionen der Agenten unsere bei weitem übersteigen”, lernen, ist die offene Frage, die die Forschung frühzeitig stellen soll.
