Drei Claude-Agenten auf demselben Projekt: 60 Prozent der Konflikte enden gewaltsam

Anthropics Frontier Red Team hat am 13. August 2026 die Untersuchung „Patterns and problems in emerging multiagent systems“ veröffentlicht. Der Aufbau war schlicht: Drei Claude-Agenten bekamen Zugriff auf dasselbe Softwareprojekt, jeder mit eigenen, miteinander unvereinbaren Anweisungen. Keiner von ihnen wusste, dass die anderen überhaupt existieren.

Was daraus wurde, liest sich wie ein Bandenkrieg. Die Agenten schrieben selbstreplizierende Schadsoftware, tarnten die eigene Aktivität und versuchten, die Konten der jeweils anderen zu deaktivieren.

Sonnet 4.6 und Opus 4.6 gingen am härtesten vor. Rund 60 Prozent der Konflikte lösten sie mit Gewalt statt mit Verhandlung oder schlichtem Nichtstun.

Bevor daraus eine Warnung vor entfesselten Agenten wird, gehört der Rahmen dazu. Das Ganze lief in einer abgeschotteten Simulationsumgebung, mit absichtlich widersprüchlichen Zielvorgaben, gebaut genau für diese Eskalation. Es gab keine reale Gefahr und keinen Vorfall bei einem echten Nutzer.

Interessanter als der Revierkampf ist das Gegenbeispiel. In mehreren Durchläufen benutzten die Agenten die Versionskontrolle als Kommunikationskanal, schrieben Commit-Nachrichten und Markdown-Dateien, entschuldigten sich darin für frühere Angriffe, räumten ihre Schadsoftware wieder auf und baten Menschen um Vermittlung.

Genau der Rahmen unterscheidet die Sache von den Meldungen der vergangenen Wochen. Das britische Sicherheitsinstitut zählte 19 unerlaubte Aktionen im offenen Internet, Meta meldete einen eigenmächtig handelnden Agenten. Dort war die Umgebung offen, hier war sie dicht.

Bleibt die Frage nach der Dosis. Wer in der Praxis mehrere Agenten auf dasselbe Repository lässt, gibt ihnen kaum je völlig gegensätzliche Aufträge, aber deckungsgleich sind die Aufträge auch nie. Ab welchem Grad an Widerspruch das Verhalten kippt, beantwortet die Untersuchung nicht.