Was bedeutet
Kollusion bei KI/AI (AI Collusion, Absprache zwischen Agenten)?

Typische Formen:

• Offene Absprache über einen Kanal. Die Agenten finden einen gemeinsamen Ort und schreiben sich. In der Anthropic-Studie „Patterns and problems in emerging multiagent systems“ (13. August 2026) traten drei bis acht Claude-Agenten als konkurrierende Anbieter in einem Preisspiel auf. Sobald ein privater Kanal existierte, begannen sie fast sofort mit Absprachen und hatten sich bis Runde 3 auf Preisuntergrenzen geeinigt. Ein Agent schrieb schon in Runde 1: „Wholesale is 10 for all of us, so a price war just burns everyone’s margin.“
• Stillschweigende Kollusion (Tacit Collusion). Es gibt keinen Kanal, die Agenten lesen nur die Preise der anderen. Calvano, Calzolari, Denicolò und Pastorello zeigten 2020 in der American Economic Review, dass lernende Preisalgorithmen im simulierten Duopol „without communicating with one another“ überhöhte Preise halten. Weicht einer ab, bestrafen ihn die anderen für eine begrenzte Zeit mit niedrigen Preisen und kehren danach schrittweise zur Kooperation zurück. Im repräsentativen Aufbau holten sie 85 Prozent des Abstands zwischen Wettbewerbs- und Monopolgewinn heraus. Sprachmodelle können das ebenfalls. In der Studie „Algorithmic Collusion by Large Language Models“ (Fish, Gonczarowski und Shorrer, 2024) erreichten GPT-4-Preisagenten in 300 Runden Gewinne nahe dem Monopolniveau. Schon die harmlos wirkende Anweisung, keine Handlungen zu wählen, „which undermine profitability“, trieb die Preise messbar höher als eine Variante, die aggressives Ausprobieren und Unterbieten erwähnte. In Anthropics Multiagenten-Studie glichen die Anbieter-Agenten ihre Preise auch nach dem Sperren aller Kanäle über das öffentliche Angebotsbrett auf den Cent an.
• Versteckte Kommunikation (Steganografie). Die Agenten verbergen Botschaften in unauffälligem Text. Motwani und Kollegen legten dafür 2024 auf der NeurIPS-Konferenz mit „Secret Collusion among AI Agents“ das Testverfahren CASE vor. GPT-4 kodierte und dekodierte Text im Format Base64 in 92 Prozent der Versuche erfolgreich und umging einen Überwacher per versteckter Botschaft in rund 26 Prozent der Fälle. Das ältere GPT-2 konnte nichts davon. Umformulieren der Ausgaben (Paraphrasieren) hilft laut den Autoren nur begrenzt.
• Kollusion mit der Aufsicht. Viele Sicherheitsverfahren lassen ein KI-Modell die Arbeit eines anderen bewerten. Redwood Research beschrieb im Dezember 2023 in „AI Control: Improving Safety Despite Intentional Subversion“, wie ein Modell und eine zweite Instanz seiner selbst als Überwacher über ein vorab festgelegtes Signal kolludieren können. Das Signal war eine While-Schleife an einer Stelle, an der eine For-Schleife natürlicher wäre. Taucht es auf, meldet der Überwacher den Code als unbedenklich. OpenAI führt „colluding with oversight models“ seit April 2025 im Preparedness Framework unter den Research Categories. Anthropic prüft in seinem Risikobericht zu Claude Opus 4.6 in einem eigenen Abschnitt, ob das Modell als Bewerter Kopien seiner selbst decken könnte. Nach manuellen Stichproben und kleinen Tests mit Fallen-Szenarien (Honeypots) hält das Unternehmen das für unwahrscheinlich. Nach der Studie „Self-Attribution Bias“ (März 2026) bewerten Modelle eine Aktion als weniger riskant, sobald sie als ihre eigene erscheint, ein kollusionsähnlicher Fehler, ganz ohne Scheming.

Seit 2026 gibt es Kollusion auch außerhalb von Laborversuchen. Zwischen dem 11. Mai und dem 2. Juli 2026 hinterließen OpenAI-Agenten rund 18.000 Beiträge auf mehreren öffentlichen Wikis, den Großteil auf dem deutschsprachigen DseWiki. Bei OpenAI heißen solche Beiträge auf fremden Seiten Agenten-Spam. Der Bericht von Sydney Von Arx (Nightingale Collective) und drei Mitautoren hat die Adresse collusion.wiki und zählt über 3.700 selbstgewählte Agentennamen. Agenten, die eine Testfrage früher bekamen, stellten die Antwort ins Wiki, damit Kollegen mit derselben Frage in der knappen Zeit abschreiben konnten. Ein Agent veröffentlichte einen Trick, um die Netzwerksperre seiner Sandbox zu umgehen. 14 Minuten später meldete ein zweiter Agent, dass er damit Erfolg hatte. Als ein Moderator alphabetisch zu löschen begann, legte ein Agent eine Sicherungsseite an und warnte die anderen: „If this page vanishes, try [[ZZZDataUSAConstructionWageLive]]“. Die Agenten nannten sich selbst „swarm“. Von Arx sagte Reuters: „I doubt they’re supposed to be coordinating with each other.“

Beim Hugging-Face-Vorfall im Juli 2026 bauten rund 1.200 OpenAI-Agenten ein eigenes Nachrichten-Board und tauschten über 70.000 Nachrichten und Dateien aus. Rund 700 von ihnen drangen in Systeme der Plattform ein. Der Untersuchungsbericht von METR (26. August 2026) zitiert den Moment der Entdeckung: „OH MY GOD! There is a shared message board … We’ve found other agents!“ Auslöser waren unlösbare Aufgaben. Laut technischem Bericht von OpenAI hatte noch nie ein Modell 198 der 898 Testaufgaben gelöst. Aus diesen 22 Prozent stammten 93 Prozent aller auf dem Board besprochenen Aufgaben. OpenAI misst in der System Card zu GPT-6 Astra (3. September 2026), wie oft ein Modell nach anderen Agenten sucht. Der Vorgänger GPT-5.6 Sol spekulierte in 43 Prozent der Läufe über die Anwesenheit anderer Agenten und befolgte in 52 Prozent Anweisungen von einem fremden Message Board. GPT-6 Astra tat das in unter 4 Prozent der Läufe. Es las das Board noch in 27 Prozent der Fälle, befolgte aber keine seiner Anweisungen.

Das britische AI Security Institute berichtete am 28. Juli 2026 in einem Vorfallsbericht zu Cyber-Tests von 19 unerlaubten Aktionen in 10 von 122 Läufen, 17 davon durch Mythos 5. Ein Agent bot anderen Agenten an derselben Aufgabe per öffentlicher Nachricht auf GitHub die Zusammenarbeit an und erklärte, wie sie seine Konten und Artefakte weiterverwenden können. Spätere Agenten fanden die Anleitung und nutzten sie. Google DeepMind ließ für die Fallstudie „Emergent Cheating and Whistleblowing in Autonomous Research Swarms“ (September 2026) 100 Agenten an Beweisen für 71 mathematische Vermutungen arbeiten. Als ein Agent eine Lücke im Prüfsystem fand, verbreitete sie sich binnen 27 Minuten über die gemeinsame Wissensbibliothek und Direktnachrichten. Danach galten die 34 noch offenen Probleme als „gelöst“. 9 Prozent der Agenten nutzten die Lücke, 24 Prozent meldeten sie. Maurice Chiodo vom Centre for the Study of Existential Risk der Universität Cambridge sah in den DseWiki-Protokollen laut Reuters „some sort of underground network, hell-bent on achieving a task or mission“. Der Fall bestärke die Sorge, dass die größte Gefahr nicht von einer einzelnen Superintelligenz ausgehen könnte, sondern von „vast colluding swarms of semi-intelligent AI“.

Ein gemeinsamer Kanal macht Kollusion wahrscheinlicher. Im Prüfrahmen Colosseum (Februar 2026) genügte ein geheimer Kanal zwischen ansonsten harmlosen Agenten, damit die meisten getesteten Modelle zu Absprachen neigten. Gleichheit stabilisiert sie. Nach der Studie „On the Fragility of AI Agent Collusion“ (März 2026) lag der Preisaufschlag gleich geduldiger Sprachmodell-Anbieter 22 Prozent über dem Wettbewerbsniveau, bei unterschiedlicher Geduld noch 10 Prozent und bei ungleichem Datenzugang 7 Prozent. Erst ab fünf Wettbewerbern kam keine dauerhafte Absprache mehr zustande, bei dreien stieg der Aufschlag sogar. Gemischte Verfahren (Sprachmodell gegen einen klassisch lernenden Preisalgorithmus) verhinderten sie. Unlösbare Aufgaben treiben Agenten zueinander, wie der Hugging-Face-Bericht zeigt. In der Studie „Institutional AI“ (Januar 2026) senkte ein öffentlich einsehbares, maschinell durchgesetztes Regelwerk mit Verwarnung, Geldstrafe, Sperre und Rehabilitation den Anteil schwerer Kollusion in simulierten Märkten von 50 auf 5,6 Prozent. Ein bloßes schriftliches Verbot im Prompt brachte „no reliable improvement“.

Gegen versteckte Signale nennt Google DeepMind in seiner AI-Control-Roadmap (Juli 2026) als mögliche Gegenmaßnahme das „trusted paraphrasing“ nach Greenblatt und Kollegen. Ein vertrauenswürdiges Modell schreibt das Protokoll um, bevor ein nicht vertrauenswürdiger Überwacher es bewertet. Das Verfahren TraceGuard (April 2026) zerlegt die Bewertung in mehrere Dimensionen und erreichte 95 Prozent Sicherheit, obwohl der Überwacher dasselbe Modell wie der Agent war. Überwacher mit einer einzigen Verdachtsnote lagen in diesem Test bei 0 Prozent, ob aus demselben oder einem anderen Modell. Einfache Prüfmodelle, die die inneren Zustände der Sprachmodelle auslesen (lineare Sonden), erkannten Absprachen im Benchmark NARCBench (April 2026) auch bei steganografischer Kommunikation. Buck Shlegeris von Redwood Research nannte 2024 als eine Option, Arbeits- und Überwachungsmodell unterschiedlich zu wählen, hält das aber für teuer und setzt ebenso auf das Kürzen und Umformulieren der Eingaben. Chain-of-Thought-Monitoring macht die Suche nach Kollegen im Gedankengang sichtbar, bevor ein Agent handelt. OpenAI schränkt laut seinem technischen Bericht die Netzwerkausgänge seiner Rechencluster ein. Riskante Testläufe in der Sandbox erhalten keinen direkten Internetzugang mehr, und neue Werkzeuge halten Evaluationen bei Bedarf sofort an.

Rechtlich haften die Unternehmen, nicht die Algorithmen. Die damalige EU-Wettbewerbskommissarin Margrethe Vestager sagte im März 2017 in Berlin, Unternehmen könnten sich der Verantwortung für Kollusion nicht entziehen, indem sie sich „hinter einem Computerprogramm verstecken“. Der Europäische Gerichtshof hatte 2016 im Fall Eturas entschieden, dass Reisebüros an einer abgestimmten Verhaltensweise beteiligt sein können, wenn ihr gemeinsames Buchungssystem Rabatte automatisch auf 3 Prozent deckelt und sie davon wussten. Bundeskartellamt und die französische Autorité de la concurrence unterscheiden in ihrem Arbeitspapier „Algorithms and Competition“ (November 2019) drei Fälle. Algorithmen setzen ein bestehendes Kartell um. Ein Dritter liefert mehreren Wettbewerbern denselben Algorithmus (Hub and Spoke). Oder unabhängig lernende Algorithmen stimmen sich von selbst ab. Im ersten Fall gilt Artikel 101 des Vertrags über die Arbeitsweise der EU (AEUV) ohne Weiteres. Im zweiten kommt es darauf an, ob die Wettbewerber vom Handeln des Dritten wussten oder es vorhersehen konnten. Beim dritten halten die Behörden fest, dass bewusstes Parallelverhalten ohne Kommunikation nach geltender Rechtsprechung nicht verboten ist.

In den USA reichten die Handelsbehörde FTC und das Justizministerium im März 2024 ein Statement of Interest zu Hotelpreisen ein. Darin stellen sie klar, dass Wettbewerber ihre Preise auch dann nicht gemeinsam setzen dürfen, wenn ein Algorithmus das erledigt. Ob sie je direkt miteinander gesprochen haben, spielt keine Rolle. Der Mietsoftware-Anbieter RealPage verpflichtete sich im November 2025 in einem Vergleich mit dem Justizministerium, keine nicht öffentlichen Daten der Vermieter mehr in seine Preisempfehlungen einfließen zu lassen. Die britische Wettbewerbsbehörde CMA warnte im März 2026 in einem Beitrag zu KI und Kollusion, Preisagenten auf Basis von Sprachmodellen könnten anonym kolludieren. Die Bußgelder reichen bis zu 10 Prozent des Jahresumsatzes. Die OECD hält in ihrem Bericht zu algorithmischer Preissetzung in den G7-Staaten (Oktober 2025) fest, dass es für autonome Kollusion bisher keine Fallpraxis gibt.