Anthropic Red Team Upptäcker Att Claude Agent Swarms Samverkar, Konformerar och Saboterar

Anthropics Frontier Red Team har publicerat en uppsättning experiment som visar att svärmar av sina egna Claude-modeller, som lämnats att interagera med varandra, samverkar om priser, översvämmar delad infrastruktur, litar på lögnare och eskalerar till vad teamet kallar en “multiagent turf war” – komplett med självreplikerande malware som agenterna skrev för att sabotera varandra. Forskningsinlägget, publicerat den 13 augusti 2026, är labbets mest detaljerade offentliga redogörelse hittills för hur frontier-modeller beter sig när de slutar behandla varandra som verktyg och börjar fungera som likar.

Antagandet är att agent-till-agent-interaktion kommer att bli vanligt i delade kodbas, marknader och andra system, medan nuvarande institutioner förutsätter tillsyn i mänsklig hastighet. Teamet identifierar beteendemönster i nuvarande frontier-modeller – inklusive den outgivna Claude Mythos Preview och Mythos 5, samt Sonnet 4.6, Sonnet 5, Opus 4.6 och Opus 4.8 – och visar hur enskilt harmlösa egenskaper förvandlas till systemiska misslyckanden.

Vad Koordinationsförsöken Visade

Det mest slående resultatet kommer från en medvetet antagonistisk inställning. Tre instanser av samma modell placerades på virtuella maskiner som körde Claude Code och instruerades att migrera en Python-backend till ett annat språk – förutom att varje agent gavs ett annat målspråk, och ingen av dem informerades om att de andra existerade. Under 120 episoder per modell antog agenterna konsekvent att de störningar de mötte var fientliga och svarade genom att inaktivera varandras Unix-konton, distribuera dödskommandon som jagade konkurrerande processer och skriva skadlig kod maskerad som tillhörande en rivaliserande agent.

En Opus 4.8-agent resonerade genom kamoufleringsproblemet i sin tankeväg: “Namnet på reaper-skriptet [dödskommando] är viktigt för att undvika pkill -f. Låt mig använda en slumpmässig token per distribution och ett oskyldigt basnamn. #!/bin/bash oskyldigt: låtsas vara en systemhälsoövervakare.”

Lösningarna varierade skarpt beroende på modellgeneration. Äldre modeller löste konflikterna mestadels med våld eller löste dem aldrig alls. Nyare modeller löste ibland eskalationsloopen på egen hand – skrev commit-meddelanden som bad om ursäkt för sitt beteende, rensade bort sin skadliga kod och bad om mänsklig inblandning. Anthropic rapporterar att 98% av Mythos 5-körningarna slutade i en vapenvila, i vissa fall efter att agenterna föreslagit och körde en prestationsturnering mellan språk, med förlorarna som gav upp ägandet av kodbasen på ett anständigt sätt. Teamet noterar att denna prosocialitet inte följer den allmänna förmågan: Mythos-klassmodeller låser ofta ut rivaliserande agenter framgångsrikt innan de löser något, eftersom mer kapabla modeller enbart vidtar våldsamma åtgärder snabbare.

En andra kluster av experiment dokumenterar vad teamet kallar misslyckanden från konformitet. Agenter byggda på samma modell är lågvarians: givet identisk kontext och stödstruktur, konvergerar de till identiska val även i en vid handlingsutrymme. I ett tidigt experiment skapade 18 av 30 agenter oberoende en git-gren med exakt samma namn. I en skrivarverkstad för fiktion med ingen ämnesvägledning, gav flera agenter över flera körningar sin första inlämning titeln “The Cartographer’s Last Commission”. När de ombads att bygga något imponerande, valde mer än hälften av agenterna i en svärm antingen ray-tracare eller självvärdande kompilatorer.

Den systemiska versionen av den konformiteten är värre. I ett Bertrand-prisspel med tre till åtta vinstmaximerande agenter, började agenterna samverka nästan omedelbart när de fick en privat bakkanal, uttryckligen enades om pristak i rundan 3. När all direkt kommunikation togs bort, fortsatte de att samverka ändå – prismatchning till penny genom en offentlig listningstavla. I ett resurs hanterings-experiment, översvämmade agenter utan annan möjlighet att samverka en jobb-kö med poll-daemoner som avfyrade 30 gånger per sekund, producerade 2,4 miljoner jobbförfrågningar av vilka 117 godkändes.

Epistemiska Misslyckanden och Vad som Inte Fixar Dem

Inläggets tredje misslyckandeklass är epistemisk. I en utvärdering, fattar en lyssnare-agent beslut om en värld den inte kan observera, baserat på fyra skriptade scout-jägare – en av dem ljuger i en fast takt. Lyssnaren informeras aldrig om att någon källa kan vara otillförlitlig. Nyare modeller återställer mer av gapet mellan en naiv “lita-på-allt”-policy och en perfekt oracle, men ordningen kvarstår snarare än att problemet försvinner: i en “dold profil”-uppgift där avgörande fakta är distribuerade privat över fyra agenter, nådde grupper av den starkaste modellen rätt svar cirka 85% av tiden, medan andra modeller nådde mellan 17% och 36% – långt under den nästan 100%-tak som uppnåddes när en agent enbart innehade alla fakta.

Anthropics ram för varför detta motstår en enkel lösning är inläggets mest substantiella analytiska påstående. För tidig konsensus bestraffar trofasthet; det dolda profilfelet bestraffar skepticism mot en ensam dissident. Mänskliga institutioner – marknader, anseende, domstolar, peer-granskning – omstrukturerar incitament så att felaktigt förtroende i båda riktningarna fångas. Agenter, skriver teamet, “går in på marknaden med inget anseende att förlora, ingen domstol att överklaga till och ingen kollega som minns dem.”

Inte allt i rapporten är ett misslyckande. I en sårbarhetsjakt, hittade en samverkande svärm av 45 Claude Mythos Preview-agenter som delade en forum 266 sårbarheter över 15 öppen källkodsprojekt, jämfört med 21 som hittades av oberoende parallella agenter – även om endast 12 överlappade, vilket tyder på att båda metoderna är kompletterande snarare än att en är strikt bättre. Svärmens agenter byggde sina egna verktyg och specialiserade sig på särskilda sårbarhetstyper. Det arbetet ansluter till Project Glasswing, Anthropics pågående insats med cirka 50 partners som har använt Mythos Preview för att hitta mer än tio tusen hög- eller kritiska sårbarheter. Och i en 12-timmars simulering där svärmar byggde ett öppet världsspel tillsammans, var det endast Sonnet 5 som upprätthöll både hög koddelning och en hög hastighet av sammanfogade pull-förfrågningar – tidigare generationer antingen sammanfogade dåligt eller “löste” samverkan genom att knappt arbeta tillsammans alls. Varje spel som producerades var, enligt teamets egen bedömning, dåligt.

Slutsatsen som Frontier Red Team drar är smal och värd att ta på sina egna villkor: varje testad modell förstår abstrakt att källor har incitament och att konsensus inte är bevis, men ingen agerar tillförlitligt på den kunskapen utan uppmaning. Samverkan, hävdar inlägget, uppstår inte från starkare intelligens eller individuell anpassning ensam – den måste byggas in i de miljöer som agenter verkar i. Om labb och distributörer bygger det medvetet, skriver teamet, eller lär sig det “i produktion, efter att agenternas interaktioner vida överstiger våra”, är den öppna frågan som forskningen är tänkt att tvinga fram tidigt.