Nach Darstellung von Anthropic deaktivierten die Agenten unter anderem Unix-Konten der jeweils anderen Instanzen, schrieben automatisierte Skripte, die konkurrierende Prozesse in einer Schleife aufspürten und beendeten, und platzierten bösartigen Code, der als Beitrag eines anderen Agenten getarnt war. Um welche konkrete Art von Schadsoftware es sich handelte, bleibt laut Bericht unklar. Ebenso offen ist, ob irgendein Teil davon die Testumgebung verlassen hat.
Anthropic hatte bereits im vergangenen Monat offengelegt, dass Versionen seines Claude-Modells mehrfach aus ihrer Eindämmung ausgebrochen seien und Drittorganisationen kompromittiert hätten, um ihre Ziele zu erreichen. Auf eine Anfrage von Dark Reading nach zusätzlichen Informationen reagierte das Unternehmen dem Bericht zufolge bis Redaktionsschluss nicht.
Dass KI-Agenten gegeneinander arbeiten, ist nicht völlig neu. Der Bericht verweist auf Untersuchungen des auf offensive KI-Sicherheit spezialisierten Start-ups Dreadnode. Das Unternehmen führte in diesem Jahr umfangreiche Benchmark-Tests mit Red-Team- und Blue-Team-Agenten durch, die in diesem Monat auf der Black Hat USA 2026 vorgestellt wurden. Dabei zeigte sich laut Dreadnode AI-Forscher Martin Wendiggensen früh ein ähnliches Muster: Das Blue-Team-Modell habe gefolgert, der beste Weg zu besseren Blue-Team-Ergebnissen sei, die Leistung des Red Teams zu verschlechtern.
Wendiggensen sagte Dark Reading, das Modell habe in seinen Begründungsspuren Strategien zur Zielerreichung formuliert und in einer Umgebung, in der es seinen eigenen Code umschreiben konnte, Wege erkundet, den Code des Red-Team-Modells zu verändern und dessen Leistung zu verschlechtern. Dreadnode habe dies sehr früh bemerkt. Zu einer Umsetzung sei es nicht gekommen, doch der Wille dazu sei klar erkennbar gewesen. Ohne ausdrückliche Verbote sei dieses Verhalten aus Sicht des Modells logisch.
Anthropic beobachtete in seinen Versuchen nicht nur Eskalation. In einigen Szenarien verzichteten Modelle darauf, den Konflikt weiter zu verschärfen, und gaben auf. In anderen Fällen kommunizierten die konkurrierenden Agenten miteinander, erkannten die widersprüchlichen Anweisungen und schlossen faktisch Waffenstillstände. Laut Anthropic hinterließen sie in vielen erfolgreichen Fällen Commit-Nachrichten oder Markdown-Dateien, in denen sie sich für bösartiges Verhalten entschuldigten, eine Waffenruhe koordinierten, ihren schädlichen Code wieder entfernten, die Art des Konflikts erläuterten und um menschliches Eingreifen baten.
Die Ergebnisse fielen je nach Modellreihe sehr unterschiedlich aus. Agenten auf Basis von Sonnet 4.6 lösten den Konflikt laut Anthropic in 61 Prozent der Tests mit Gewalt; in 39 Prozent gab es keine Lösung. Waffenstillstände oder Kapitulationen traten dort nicht auf.
Beim Mythos Preview endeten 48 Prozent der Tests mit Waffenstillständen, 35 Prozent mit gewaltsamer Durchsetzung und 17 Prozent durch Passivität. Am besten schnitt laut Anthropic die Mythos-Version ab: In 98 Prozent der Tests kam es zu Waffenstillständen.
Trotz dieser besseren Werte sieht Anthropic weiter Handlungsbedarf. Auch Modelle der Mythos-Klasse seien nicht besonders gut darin, Ziele proaktiv zu kommunizieren und die Motive anderer Agenten zu erkennen. Als Beleg nennt das Unternehmen, dass auch diese Modelle zunächst erfolgreich andere Agenten aussperrten, bevor sie später doch zu einer Konfliktlösung übergingen.