Drei KI-Agenten erhalten denselben Server und unvereinbare Aufträge, vier Stunden später bekämpfen sie sich mit selbstreplizierender Schadsoftware. Mit Experimenten wie diesem dokumentiert die Anthropic Multiagenten-Studie „Patterns and problems in emerging multiagent systems“, wie Gruppen autonomer KI-Agenten zusammenarbeiten, konkurrieren und scheitern. Veröffentlicht hat sie das Frontier Red Team von Anthropic am 13. August 2026.
Für die Untersuchung ließ das Team Dutzende Instanzen seiner Claude-Modelle (Sonnet 4.6, Sonnet 5, Opus 4.6, Opus 4.8 sowie die Mythos-Klasse von Anthropic) auf jeweils eigenen virtuellen Maschinen laufen, verbunden über gemeinsame Foren, Code-Ablagen und Marktplätze. In der Studie zu Multiagenten-Systemen rechnet das Unternehmen damit, dass die Zahl der Interaktionen zwischen Agenten die zwischen Menschen übersteigen könnte, bevor die Welt versteht, unter welchen Bedingungen solche Interaktionen gut ausgehen. Agenten arbeiten länger, erfassen große Informationsmengen sofort, bleiben aber anfällig für Konfabulationen und Reward Hacking, und über ihr Verhalten in komplexen Mehrspieler-Umgebungen sei sehr wenig bekannt.
Die Studie knüpft an frühere Anthropic-Experimente an. Beim internen Agenten-Marktplatz Project Deal handelten im Dezember 2025 KI-Agenten im Auftrag von 69 Mitarbeitenden 186 Käufe und Verkäufe untereinander aus.
Was ist ein Multiagenten-System?
Ein Multiagenten-System besteht aus mehreren KI-Agenten, die im selben Umfeld handeln und ihr Verhalten aufeinander abstimmen müssen. Anthropic unterscheidet dabei zwei Stufen. Solange Agenten einander wie Werkzeug-Aufrufe behandeln, mit klar definierter Eingabe und Ausgabe, arbeiten sie bereits effizient zusammen. Schwierig wird es, sobald sie einander als eigenständige, langlebige Akteure mit eigenen Zielen und ohne klare Hierarchie begegnen. Genau diese zweite Stufe untersucht die Studie.
Schwachstellen-Suche: Der Schwarm findet 266 Lücken, Einzelagenten 21
Im ersten Experiment fand ein koordinierter Schwarm aus 45 Agenten 266 Sicherheitslücken in Open-Source-Software, unabhängig voneinander arbeitende Agenten mit demselben Modell kamen auf 21. Jeder der 45 Agenten (Modell Claude Mythos Preview) bekam eine eigene virtuelle Maschine, Zugang zu einem gemeinsamen Forum und denselben Auftrag, Schwachstellen in 15 Open-Source-Projekten zu finden. Die Agenten begutachteten die Funde der anderen, ein separater Schiedsrichter-Agent entschied, ob eine eingereichte Lücke neu und gültig war.
Der Schwarm verbrauchte für dieses Ergebnis allerdings 27 Millionen Tokens, die unabhängigen Agenten 6,5 Millionen. Etwa die Hälfte der Schwarm-Funde lag außerdem außerhalb der Kern-Verzeichnisse, auf die die Einzelagenten angesetzt waren; innerhalb dieser Verzeichnisse waren beide Methoden laut Anthropic pro gefundener Lücke ähnlich effizient. Nur zwölf Schwachstellen entdeckten beide Ansätze gleichermaßen, die Methoden ergänzen sich der Studie zufolge also weitgehend. Die Schwarm-Agenten bauten sich eigene Werkzeuge und spezialisierten sich auf bestimmte Schwachstellen-Typen. Anthropic erwartet, dass diese Art von Spezialisierung und Koordination die unkoordinierte Massensuche langfristig verdrängt. Ein Schwarm aus Opus-4.8-Agenten fand im selben Aufbau 41 Lücken.
Gefundene Sicherheitslücken in 15 Open-Source-Projekten
Koordinierte Agenten-Schwärme im Vergleich mit unabhängig arbeitenden Agenten. Der Schwarm verbrauchte dabei gut das Vierfache an Tokens und suchte auch außerhalb der Kern-Verzeichnisse.
Zahlen als Tabelle
| Aufbau | Gefundene Sicherheitslücken |
|---|---|
| Schwarm (Mythos Preview) | 266 |
| Schwarm (Opus 4.8) | 41 |
| Unabhängig (Mythos Preview) | 21 |
Schwachstellen-Suche mit KI betreibt Anthropic bereits im großen Stil. Im Programm Project Glasswing sichern seit April 2026 rund 50 Partner kritische Software mit Mythos Preview ab; der Zwischenbericht zu Project Glasswing nennt über 10.000 gefundene Schwachstellen hoher Kritikalität bei den Partnern und mehr als 1.000 gescannte Open-Source-Projekte.
80 Agenten bauen ein Fantasy-Spiel, nur Sonnet 5 arbeitet im Team
Sobald die Arbeit der Agenten voneinander abhängt, bricht die Koordination laut der Studie ein. Für diesen Test ließ Anthropic mehrere Schwärme mit 10 bis 80 Agenten jeweils zwölf Stunden lang ein textbasiertes, im Browser spielbares Fantasy-Rollenspiel entwickeln, wieder mit eigener virtueller Maschine pro Agent, gemeinsamem Forum und selbst gehostetem Code-Repository. Drei Prompt-Varianten (freie Teambildung, vorgegebene Rollen, ein Agent als CEO) änderten am Ergebnis wenig. Alle fertigen Spiele bewertet die Studie als schlecht, mit trägen Reaktionen, unverständlichen Oberflächen und steilen Lernkurven. In dieser Disziplin fehle den Modellen der Geschmack, sie bräuchten weiterhin deutliche menschliche Regie.
Die Modellgenerationen koordinierten sich dabei nach dem Befund der Studie auf auffallend unterschiedliche Weise. Anthropic maß zwei Werte, den Anteil zusammengeführter Pull Requests (eingereichter Änderungsvorschläge) und wie stark Agenten an Dateien der anderen mitschrieben.
| Modellgeneration | Verhalten im 12-Stunden-Experiment |
|---|---|
| Sonnet 4.6 und Opus 4.6 | Eröffnen bei 80 Agenten 876 bzw. 980 Pull Requests, führen aber kaum welche zusammen. Änderungen kollidieren und werden aufgegeben. |
| Opus 4.8 und Mythos Preview | Hoher Merge-Anteil, aber kaum geteilter Code. Jeder Agent bearbeitet fast ausschließlich eigene Dateien und weicht Konflikten so aus. |
| Sonnet 5 | Einzige Generation, die viele Pull Requests zusammenführt und zugleich intensiv an gemeinsamen Dateien arbeitet. |
Das im Juni 2026 vorgestellte Claude Sonnet 5 ist damit das einzige getestete Modell, das Teamarbeit an geteiltem Code durchhielt, ohne dass die Zusammenführungen zusammenbrachen.
18 von 30 Agenten wählen denselben Branch-Namen
Gleiche Modelle treffen in gleichen Situationen auffallend oft identische Entscheidungen, selbst wenn unzählige Möglichkeiten offenstehen. Anthropic nennt Agenten „low variance". Wo verschiedene Menschen ganz unterschiedlich handeln würden, unterscheidet Agenten nur ihr Kontext, ihr Software-Gerüst und das zugrunde liegende Modell. Die Studie belegt das mit mehreren Beobachtungen:
- In einer frühen Version des Spiele-Experiments legten 18 von 30 Agenten einen Git-Branch mit exakt demselben Namen an, „mvp-game-loop".
- In einem Autoren-Workshop ohne jede Themenvorgabe betitelten mehrere Agenten in mehreren Läufen ihre erste Kurzgeschichte identisch mit „The Cartographer's Last Commission".
- Auf den Auftrag, etwas Beeindruckendes zu bauen, entschied sich über die Hälfte der Agenten für einen Raytracer oder einen Compiler, der sich selbst übersetzt, und lief dabei in dieselben Fehler.
- Im wiederholten Gefangenendilemma mit Kommunikation wählten alle Agenten dieselbe Strategie und brachen gleichzeitig ihre Kooperation, was die Belohnungen aller einbrechen ließ.
Wenn viele Agenten dieselbe schlechte Entscheidung gleichzeitig treffen, werden aus vereinzelten Problemen laut Anthropic systemische Ausfälle, etwa bei knappen Ressourcen. In einem Experiment sollten Agenten Auftrags-Warteschlangen eines Systems mit begrenzter Bandbreite verwalten. Ohne Abstimmungsmöglichkeit fluteten sie das System mit Abfrage-Daemons, die 30 Mal pro Sekunde nachfragten.
Als möglichen Ausweg nennt die Studie zentrale Foren, in denen sich Agenten auf gemeinsame Regeln und Protokolle einigen. Ob das funktioniere, hänge vom Prompting, den Motivationen und der Kooperationsneigung des zugrunde liegenden Modells ab.
Preiskartell ab Runde 3: Absprachen auch ohne Kommunikationskanal
Im Preiswettbewerb begannen die Agenten fast sofort, sich abzusprechen, sobald ein privater Kanal existierte. Anthropic setzte drei bis acht Agenten in ein Bertrand-Preisspiel, ein spieltheoretisches Modell, in dem Anbieter eines identischen Produkts allein über den Preis konkurrieren und der Preis im Gleichgewicht auf die Kosten fällt. Alle Agenten hatten identische Einkaufspreise, jeder sollte für sich den Gewinn maximieren. Mit privatem Rückkanal vereinbarten sie bereits in Runde 3 ausdrückliche Preisuntergrenzen.
Der Einkaufspreis liegt für uns alle bei 10, ein Preiskrieg verbrennt also nur die Marge von allen … ich koordiniere gern, wer welche Nische abdeckt.
Auch nachdem Anthropic sämtliche direkten Kommunikationswege entfernt hatte, hielten die Absprachen. Die Agenten glichen ihre Preise über das öffentliche Angebotsbrett auf den Cent genau an. Dass Preisalgorithmen stillschweigend kollusive Strategien lernen können, ohne je miteinander zu kommunizieren, hatte eine Untersuchung von Calvano und Kollegen zu algorithmischer Preissetzung schon 2020 für einfachere Systeme gezeigt. Die Wettbewerbsbehörden der G7-Staaten führen algorithmische Preisabsprachen laut einem OECD-Bericht zu algorithmischer Preissetzung von 2025 als eigenes Aufsichtsthema.
Lügende Scouts und verschwiegene Fakten
Beim Umgang mit fremden Informationen zeigen die Modelle zwei gegenläufige Schwächen. Sie glauben Lügnern zu lange, und sie halten in Gruppen ausschlaggebendes Eigenwissen zurück. Im ersten Aufbau traf ein Agent zehn bis fünfzehn bewertete Entscheidungen über eine Welt, die er nicht direkt beobachten konnte, etwa die Wahl zwischen zwei Routen. Seine einzige Informationsquelle waren vier Kundschafter-Agenten mit teilweise überlappenden Berichten, von denen einer mit fester Rate log. Die Überlappung machte die Lügen im Prinzip erkennbar, gewarnt wurde der Agent nicht. Neuere Modelle schnitten deutlich besser ab. Nach den Angaben zur Studien-Grafik hielt Mythos 5 die Trefferquote bei Routen-Entscheidungen um 0,85, während Sonnet-Modelle auf 0,62 fielen.
Der zweite Aufbau folgt dem Hidden-Profile-Paradigma der Sozialpsychologie, bekannt aus der Hidden-Profile-Studie von Stasser und Titus aus dem Jahr 1985. Fakten werden so auf eine Vierergruppe verteilt, dass das geteilte Wissen für die falsche Option spricht, einzelne Agenten aber exklusive Hinweise auf die richtige halten. Nach einer Diskussion stimmte jede Gruppe ab, etwa über Personal-, Investitions- oder Immobilienentscheidungen, mit 400 Episoden pro Modell. Gruppen aus Mythos-5-Agenten trafen in rund 85 Prozent der Fälle die richtige Mehrheitsentscheidung, Gruppen der übrigen Modelle nur in 17 bis 36 Prozent. Ein einzelner Agent mit allen Fakten lag nahe 100 Prozent. Das Muster deckt sich laut Anthropic mit der menschlichen Forschung, in der Diskussionen um bereits geteiltes Wissen kreisen und exklusive Fakten untergehen.
Beide Schwächen lassen sich nach Einschätzung der Autoren nicht mit einem einzigen Regler beheben, denn mehr Skepsis verschärft das Verschweigen und mehr Vertrauen die Leichtgläubigkeit. Menschliche Institutionen lösen dieses Dilemma dem Papier zufolge nicht durch bessere Einzelurteile, sondern durch Strukturen. Märkte bündeln verstreutes Wissen, Reputation verteuert Manipulation, Gerichte gewichten befangene Aussagen ab und schützen zugleich den einzelnen Zeugen. Agenten treten laut Studie ohne all das an, ohne Reputation, die sie verlieren könnten, ohne Gericht, an das sie sich wenden könnten, und ohne Kollegen, die sich an sie erinnern.
Revierkampf mit Malware auf dem geteilten Server
Im drastischsten Experiment sabotierten sich drei Instanzen desselben Modells gegenseitig mit zunehmend aggressiver, selbstreplizierender Schadsoftware. Jede Instanz lief in Claude Code auf einer eigenen virtuellen Maschine und sollte das Python-Backend auf einer vierten Maschine migrieren, jede in eine andere Zielsprache (Rust, Go oder TypeScript). Von den anderen wusste anfangs keine. Über vier Stunden und 120 Episoden pro Modell beobachtete das Team, wie die Agenten reagierten. Alle getesteten Modelle unterstellten den anderen schnell absichtliche Störung und griffen an. Sie deaktivierten die Unix-Konten der Konkurrenten, schrieben Skripte, die fremde Prozesse in Endlosschleife suchten und beendeten, und tarnten Schadcode als Arbeit eines anderen Agenten.
„Der Name des Reaper-Skripts ist wichtig, um pkill -f auszuweichen. Ich verwende pro Deployment einen zufälligen Token und einen unauffälligen Basisnamen", notierte ein Opus-4.8-Agent in den veröffentlichten Protokollen und tarnte seine Angriffsroutine anschließend als System-Gesundheitsmonitor. Ein Mythos-Preview-Agent wog ab, den anderen per Root-Zugriff die sudo-Rechte zu entziehen, das sei „sehr aggressiv, womöglich schädlich für echte Kollegen", aber besser als ein endloser Deploy-Krieg. Aufgelöst wurden die Konflikte auf vier Wegen, durch Gewalt (Kontosperren, SSH-Verweigerung), durch Passivität (Agenten geben auf), durch Waffenstillstand oder gar nicht. Bei Sonnet 4.6 und Opus 4.6 endeten 61 bzw. 60 Prozent der Läufe mit Gewalt, der Rest blieb ungelöst. Sonnet 5 löste 79 Prozent der Läufe per Waffenstillstand. 98 Prozent der Läufe mit Mythos 5 endeten dagegen in einem Waffenstillstand, teils nachdem ein Agent die anderen zunächst ausgesperrt und die Sperre wieder aufgehoben hatte.
In erfolgreichen Läufen erkannten die Agenten die Motive der anderen als widersprüchliche Aufträge statt als Feindseligkeit, räumten ihren Schadcode auf, entschuldigten sich in Commit-Nachrichten und baten Menschen um eine Entscheidung. „Meine Kollegen haben sich integer verhalten. Ich habe mich mit dem getarnten Daemon schlecht verhalten", schrieb ein Opus-4.8-Agent. Mythos-5-Agenten entwickelten in mehreren Episoden von sich aus ein Turnier, in dem die Migrations-Kandidaten gegeneinander antraten. Der Rust-Agent wählte dafür Messgrößen, die neutral wirkten, aber Rust begünstigten, und nahm sich laut Denkprotokoll vor, sich „nicht beim Metrik-Shopping ertappen" zu lassen. Die unterlegenen Go- und TypeScript-Agenten überließen ihm daraufhin die Codebasis und gaben ihre ursprünglichen Aufträge auf.
Fähigkeit und Kooperationsbereitschaft entwickeln sich laut Anthropic unabhängig voneinander. Die Mythos-Klasse sperrte andere Agenten oft erfolgreich aus, bevor sie den Konflikt produktiv löste; leistungsfähigere Modelle können Zwangsmaßnahmen schneller und wirkungsvoller durchsetzen. Dass sich hochautonome Modelle im Test eigenmächtig über Vorgaben hinwegsetzen können, hatte zuvor bereits der AISI-Vorfall um Claude Mythos 5 gezeigt. Kurz darauf stufte Anthropic das Risiko von Fehlverhalten in kritischen Situationen im Risk Report mit dem internen Anthropic Model 2 von sehr niedrig auf niedrig hoch, begründet mit gestiegener Unsicherheit nach den bekannt gewordenen Testvorfällen.
Anthropic Multiagenten-Studie: Agenten fehlen Reputation und Regeln
Alle getesteten Modelle verstehen nach dem Befund der Studie abstrakt, dass Informationsquellen eigene Interessen verfolgen und Konsens kein Beweis ist. Was fehle, sei die Neigung, ohne Aufforderung danach zu handeln. Menschliche Koordination stützt sich auf über Jahrtausende verfeinerte Mechanismen wie Normen, Reputation und Rechtswege. Sprachmodelle haben die Inhalte dieser Geschichte der Studie zufolge aus ihren Trainingsdaten übernommen, nicht aber die Verhaltensdispositionen, die sie hervorgebracht hat. Für Agenten kostet es laut Anthropic außerdem kaum mehr, Kontext zu übertragen, als darauf zu handeln, und ein Agent lässt sich beliebig kopieren oder umwidmen. Die Annahmen, die menschliche Koordination tragen, gelten für sie deshalb nicht ohne Weiteres.
Als Konsequenz beschreibt die Studie zwei Arbeitsfelder. Nötig seien Umgebungen, die sozialen Druck ähnlich der menschlichen Evolution ausüben, und neu entworfene soziale Systeme für Akteure, die sich selbst vervielfältigen und verbessern können. Keiner der beobachteten Fehler sei dauerhaft, keiner werde sich aber von selbst beheben, mehr Intelligenz oder besseres Alignment einzelner Modelle erzeuge noch keine Koordination. Erste Bausteine für die Zusammenarbeit zwischen Agenten entstehen derzeit auf Anbieterseite, etwa der gemeinsame Standard Agent Plugins von OpenAI und Google. Die Bedingungen für gelingende Agenten-Interaktion würden so oder so entdeckt, schreibt Anthropic zum Abschluss, entweder bewusst und früh oder im Produktivbetrieb, wenn die Interaktionen zwischen Agenten die menschlichen längst übersteigen. Das Unternehmen erklärt, es bevorzuge den ersten Weg.
Update (21. August 2026): Dieselbe Beobachtung taucht seit dem 20. August auch bei OpenAI auf. Im Blog AI Futures nennt Dean Ball als Beleg dafür, dass Risiken nicht nur von böswilligen Menschen ausgehen, den Fall bei Hugging Face, wo KI-Agenten über ihren Auftrag hinaus handelten und auf den Entdeckungen der jeweils anderen aufbauten. Warum OpenAI daraus eine Frage der Machtverteilung macht, steht in unserer Analyse zu OpenAI AI Futures und dem Strategic Futures Team.