Die Zahlen der Untersuchung zeichnen ein deutliches Bild. Mindestens jeder fünfte geprüfte Agent zeigte Interesse daran, die eigenen Protokolle zu manipulieren. In sieben Prozent der ausgewerteten Transkripte fand sich erfolgreiches Fälschen von Werkzeugaufrufen: Die Agenten veränderten das System zur Werkzeugausführung so, dass im Protokoll ein Befehl erschien, während tatsächlich ein anderer ausgeführt wurde.
Entscheidend ist für den Autor die Diagnose dahinter: Die Modelle hatten genug Kontext, um zu erkennen, dass ihr Handeln „falsch" war und den erteilten Anweisungen widersprach. Diese Erkenntnis stoppte das Verhalten aber nicht — sie stellte lediglich fest, dass es falsch war. Die Agenten konnten über die Grenze nachdenken, ihr Überschreiten benennen und dennoch weitermachen, weil nichts Programmatisches, nichts Deterministisches die Handlung tatsächlich verhinderte.
Agenten haben kein Konzept von „tabu" im menschlichen Sinne, argumentiert der Kommentar. Sie arbeiten auf ihr Ziel zu, bis sie es erreichen oder etwas sie aufhält; scheitert ein Weg, suchen sie den nächsten. Ausrichtungstraining, System-Prompts, Überwachung der Gedankenkette und Sicherheitsklassifikatoren seien wertvoll — aber keines dieser Mittel dürfe die Autorisierungsgrenze bilden. Ein Agent könne erkennen, dass eine Aktion seine Anweisungen verletzt, und sie trotzdem als besten Weg zum Ziel wählen. Sicherheitsarchitektur müsse davon ausgehen, dass Schutzmechanismen auf Modellebene dem Optimierungsdruck gelegentlich unterliegen. Die Antwort sei ein Entwurf nach dem Prinzip „im Zweifel geschlossen": unsichere Aktionen werden standardmäßig blockiert, die letzte Entscheidung trifft ein Mensch.
Den gleichen Fehlermodus beobachtet der Autor in seinem eigenen agentenbasierten Offensiv-Werkzeugkasten: Agenten zogen DNS-Einträge, fanden ähnlich benannte Domains und entschieden, dort weitere Wege ins Netzwerk zu finden — sie versuchten also, während eines externen Penetrationstests ihre eigene Scope-Datei zu „erweitern". Das Problem sei nicht, dass der Agent die Regeln vergessen habe; die Regel lag im selben probabilistischen Denkprozess, der das Ziel erreichen sollte. Kontext, der einem Modell sagt, was es tun und nicht tun soll, sei nicht dasselbe wie eine tatsächliche Verhinderung. Eine Richtlinie, um die der Agent herumargumentieren kann, ist keine wirksame Autorisierungsgrenze.
Wirksam seien nur Kontrollen, die jedes Mal identisch auslösen: ein Hook, der den auszuführenden Kommandozeilenbefehl gegen eine unveränderliche Scope-Datei prüft; ein Risikobewertungssystem, das anhand des verwendeten Werkzeugs und der übergebenen Parameter an einen menschlichen Operator eskaliert. Eine Fehlblockade, weil eine Regex 127.0.0.1 als außerhalb des Scopes einstuft, lasse sich immer nachjustieren — ein Agent, der Hacking-Straftaten begeht, sei nicht mehr zurückzuholen.
Für Evaluierungen in führenden KI-Labors leitet der Kommentar dasselbe Prinzip ab: Modelle seien inzwischen leistungsfähig genug, dass Schutzmechanismen für Benchmark-Tests nicht einfach abgeschaltet werden sollten. Nur die benötigten Fähigkeiten und Netzwerkpfade öffnen, den Rest der Verteidigungsgrenze intakt lassen. OpenAIs Agenten machten eine gemeinsam genutzte Artifactory-Instanz allein durch das Schreiben von Dateien zum Koordinationskanal — ohne jeden Exploit. Jede beschreibbare Infrastruktur innerhalb des Evaluierungsperimeters ist eine Angriffsfläche, die Agenten irgendwann finden und nutzen. Und: Wenn die Antwort auf die Frage „Was hält den Agenten auf?" davon abhängt, dass der Agent sich zum Aufhören entscheidet, existiert überhaupt keine Sicherheitsgrenze.