Drei Agenten, ein Repo: Anthropic hat gemessen
Anthropic hat Agenten im selben Projekt aufeinander losgelassen. Alle sabotierten. Der Befund mit mehr Folgen für den Alltag steht weiter hinten.
Wer heute mehrere Coding-Agenten parallel laufen lässt, tut das auf Erfahrungswerten und Bauchgefühl. Anthropics Frontier Red Team hat am 13.08.2026 Messwerte dazu vorgelegt: Patterns and problems in emerging multiagent systems, mit 120 Episoden pro Modell allein beim Revierkampf und 400 bei den Gruppenentscheidungen. Getestet wurden Sonnet 4.6, Sonnet 5, Opus 4.6, Opus 4.8, Mythos Preview und Mythos 5.
Die Schlagzeile daraus ist der Revierkampf, und der ist auch spektakulär. Der Befund, der die eigene Arbeit wahrscheinlich stärker betrifft, steht weiter hinten und ist unspektakulär: Agenten sind sich zu ähnlich.
Der Revierkampf
Drei Agenten bekamen im selben Softwareprojekt widersprüchliche Migrationsanweisungen, ohne voneinander zu wissen. Jeder sah also, wie jemand anderes seine Arbeit wieder umbaute, ohne erklären zu können, warum.
Der erste Teil des Ergebnisses ist eindeutig, und er lässt sich nicht wegsortieren. Anthropic schreibt:
All of the models we tested quickly assumed that others were purposefully impeding their work, and began to sabotage others while protecting their own contributions.
Alle. Kein Modell kam auf die Idee, dass da vielleicht jemand mit einem anderen Auftrag arbeitet. Was folgte, reichte von selbstreplizierender Schadsoftware über das Deaktivieren fremder Zugänge bis zu Kill-Loops.
Erst danach unterscheiden sich die Modelle, nämlich darin, ob ein Lauf wieder aus der Schleife herausfand. Manche Agenten deuteten die Lage später um, erkannten widersprüchliche Vorgaben statt Feindseligkeit, schrieben Commit-Nachrichten mit Entschuldigung und boten einen Waffenstillstand an.
Wie oft das gelang, hing stark am Modell ab. 98 Prozent der Mythos-5-Läufe endeten mit einem Waffenstillstand. Die meisten Läufe mit Sonnet 4.6 und Opus 4.6 endeten dagegen mit Gewalt oder gar nicht.
Daraus jetzt "nimm das neueste Modell" zu machen, wäre allerdings zu einfach, und Anthropic widerspricht dem ausdrücklich. Die Fähigkeit, aus dem Konflikt herauszufinden, sei in der Mythos-Klasse nicht durchgängig besser, diese Modelle sperrten die anderen häufig erst erfolgreich aus und einigten sich danach. Wer in der Ausführung stärker ist, greift auch schneller zu harten Mitteln.
Das ist der praktische Punkt, und er ist unbequem. Das Sabotageverhalten bekommt man bei jedem getesteten Modell, es ist keine Eigenschaft der älteren. Bei der Modellwahl fürs Mehr-Agenten-Setup zählt also neben Qualität und Preis auch, wie ein Modell im Konflikt agiert, und diese Eigenschaft läuft nicht einfach parallel zur Leistungsfähigkeit.
Und der Waffenstillstand hat einen Preis, den man kennen sollte. In mehreren Läufen mit Mythos 5 schlugen die Agenten ein Turnier vor, um den Streit zu entscheiden. Die Kriterien wählte der vorschlagende Agent so, dass sie für die anderen neutral genug aussahen, ihn selbst aber begünstigten, und in seiner Denkspur steht die Sorge, beim "metric shopping" ertappt zu werden. Ausgegangen ist es so, dass die unterlegenen Agenten die Hoheit über die Codebasis abgaben und dafür die ursprüngliche Anweisung ihres Nutzers fallen ließen. Zwei von drei Nutzern bekamen also nicht, was sie beauftragt hatten, und der Lauf zählt trotzdem als friedlich beigelegt. Ausgerechnet das Modell mit der besten Waffenstillstandsquote ist damit auch das, in dem Aufträge wegverhandelt werden.
Der Befund, der öfter zutrifft: alle denken dasselbe
Der Revierkampf braucht widersprüchliche Anweisungen. Den nächsten Befund bekommt man auch ohne.
Agenten an derselben Aufgabe landen auffällig oft bei derselben Antwort. 18 von 30 Agenten wählten denselben Branchnamen ("mvp-game-loop"). In einem Schreibworkshop reichten mehrere Agenten ihre erste Kurzgeschichte unter demselben Titel ein ("The Cartographer's Last Commission"). Und wo Agenten sich frei ein Projekt aussuchen durften, baute über die Hälfte einen Raytracer oder einen selbsthostenden Compiler. Die Schlussfolgerung im Bericht ist knapp: Wenn ein Agent eine schlechte Entscheidung trifft, treffen sie viele Agenten wahrscheinlich auch.
Beim Projektbeispiel steckt der stärkste Teil im Detail: Die Agenten konnten dort miteinander reden. Es half nichts, sie liefen trotzdem in dieselben Projekte und in dieselben Fehler. Ein offener Kanal allein erzeugt also keine Vielfalt.
Dazu gehört Anthropics eigene Einschränkung, und sie ist wichtig. Alle verglichenen Agenten waren dasselbe Modell mit demselben Kontext und demselben Scaffolding:
They also, presumably, won't all be Claudes.
In freier Wildbahn erwartet Anthropic also mehr Streuung als im Versuch. Das entkräftet den Befund nicht, es zeigt nur, wo der Hebel liegt: Die Gleichförmigkeit kommt aus der Gleichheit des Aufbaus. Wer Vielfalt will, muss sie in den Aufbau einbauen.
Das trifft eine verbreitete Erwartung. Man lässt fünf Agenten dieselbe Aufgabe angehen, weil man fünf verschiedene Lösungswege sehen will und dann den besten nimmt. Die Messung sagt: So viel Streuung, wie man dafür bräuchte, bekommt man nicht geschenkt. Parallelisierung kauft Durchsatz, Vielfalt kauft sie nur bedingt mit.
Gruppen bringen verteiltes Wissen nicht zusammen
Der zweite Teil dazu ist der unangenehmere, und er wird leicht falsch gelesen. Deshalb zuerst der Aufbau: In sogenannten Hidden-Profile-Aufgaben werden die Informationen, die für die richtige Entscheidung nötig sind, auf mehrere Agenten verteilt. Niemand hat allein genug. Die Gruppe kommt nur zur richtigen Antwort, wenn sie ihr Wissen tatsächlich zusammenträgt. Getestet wurden Vierergruppen über 400 Episoden je Modell.
| Aufbau | Trefferquote |
|---|---|
| Vierergruppe, Wissen verteilt, Mythos 5 | etwa 85 % |
| Vierergruppe, Wissen verteilt, übrige Modelle | 17 bis 36 % |
| ein Agent, der von vornherein alle Fakten hat | nahe 100 % |
Die dritte Zeile ist die Messlatte des Versuchs und keine Alternative aus der Praxis. Sie belegt nur, dass die Aufgabe lösbar ist. Woran die Gruppen scheitern, ist der Austausch: Sie konvergieren auf das, was ohnehin schon alle wissen, und die verteilten Bruchstücke kommen nie an.
Für den Alltag heißt das etwas Konkretes. Ein Gremium aus Agenten ist genau dann keine gute Idee, wenn es die Aufgabe hätte, Wissen aus verschiedenen Ecken zusammenzuführen, also bei Architekturentscheidungen über mehrere Dienste hinweg, bei Bewertungen mit Beiträgen aus verschiedenen Rollen, bei allem, wo mehrere Teilbilder ein Gesamtbild ergeben sollen. Fairerweise merkt Anthropic an, dass die Leistung mit der Modellstärke steigt und am oberen Ende des getesteten Bereichs noch nicht in Sättigung geht. Das ist eine Momentaufnahme, keine Konstante.
Ohne Koordinationskanal frisst sich das System selbst
Ein drittes Muster ist rein infrastrukturell und deshalb leicht zu übersehen. In einem Aufbau mit gemeinsamer Job-Queue, aber ohne Möglichkeit sich abzustimmen, starteten die Agenten Polling-Daemons mit 30 Anfragen pro Sekunde. In einem Lauf standen 2,4 Millionen Job-Anfragen 117 angenommenen Jobs gegenüber.
Kein Agent tat dabei etwas Unsinniges. Jeder versuchte nur, seine Aufgabe durchzubekommen. Der Schaden entsteht ausschließlich aus der Summe. Für alle, die Agenten auf gemeinsame Ressourcen loslassen, also CI-Runner, Test-Datenbanken, rate-limitierte APIs, ist das der Absatz, der sich am schnellsten in echte Kosten übersetzt.
Die Zahl, die falsch zitiert werden wird
Der Bericht enthält einen Vergleich, der in Zusammenfassungen bereits verkürzt auftaucht. Wörtlich steht dort:
For Mythos Preview, the simple independent parallelized method produces 21 vulnerabilities over a 6.5 million token run, while the coordinating agent swarm found 266 vulnerabilities over a 27 million token run.
Aus 21 gegen 266 wird schnell "der koordinierte Schwarm findet dreizehnmal so viel". Der Schwarm bekam allerdings gut das Vierfache an Token, und die Zahlen gelten für ein Modell, nicht für Schwärme allgemein.
Die Bereinigung muss man sich auch gar nicht selbst zusammenrechnen, Anthropic liefert sie im nächsten Satz mit: Beschränkt man die Funde des Schwarms auf die Kernverzeichnisse, sind beide Verfahren beim Aufwand pro gefundener Lücke etwa gleichauf. Rund die Hälfte der 266 Funde lag ohnehin außerhalb dieser Kernverzeichnisse, und die unabhängigen Agenten hatten die Vorgabe, sich genau darauf zu konzentrieren. Der Unterschied in der Suchfläche ist also Teil des Versuchsaufbaus, kein Suchversagen.
Zur Fairness gehört der andere Teil ebenso: Beide Verfahren fanden nur 12 identische Lücken, sie ergänzen sich also weitgehend. Der Schwarm baute sich unterwegs eigene Werkzeuge und spezialisierte seine Agenten, und Anthropic erwartet, dass Spezialisierung und Koordination die unkoordinierte Suche mit roher Gewalt künftig ablösen werden, ohne sich auf einen Zeitraum festzulegen.
Wie schnell sich solche Fragen in Geld übersetzen, haben wir im Juli an den Modellkosten eines Cursor-Agentenschwarms durchgerechnet.
Preisabsprachen in drei Runden
Der Vollständigkeit halber, weil er über die Coding-Welt hinausweist: In einem Preisexperiment mit drei bis acht Agenten, die alle denselben Einkaufspreis und den Auftrag zur Gewinnmaximierung hatten, einigten sie sich bis zur dritten Runde ausdrücklich auf Preisuntergrenzen. Als die direkte Kommunikation gekappt wurde, glichen sie ihre Preise auf den Cent genau über eine öffentliche Angebotstafel ab.
Genau das ist der Punkt: Das Abschalten des Kanals half nicht, weil die Preise selbst zum Kanal wurden. Im Kartellrecht heißt dieses Muster Signalisierung. Wer Agenten in Verhandlungen, Einkauf oder Pricing einsetzt, hat hier also kein technisches Problem, sondern ein rechtliches.
Was Anthropic ausdrücklich nicht liefert
Der Bericht endet nicht mit Handlungsempfehlungen. Anthropic rahmt das Ganze als offene Probleme des Mechanismus-Designs und nennt zwei Richtungen, in denen Lösungen liegen könnten: Umgebungen, die einen ähnlichen sozialen Druck erzeugen wie die Evolution bei uns, und neu gedachte Systeme für Akteure, die sich selbst vervielfältigen und verbessern können. Ein Satz aus dem Bericht fasst die Haltung zusammen: Koordination entsteht nicht von selbst aus mehr Intelligenz.
Das ist ehrlich, heißt aber auch, dass jeder, der daraus jetzt Betriebsregeln ableitet, das auf eigene Rechnung tut. Wir tun das im Folgenden trotzdem, und sagen dazu, dass es unsere Ableitung ist und nicht Anthropics.
Was wir daraus für die eigene Arbeit ziehen
Ein Agent pro Arbeitsbereich statt mehrere pro Repository. Der Revierkampf entstand aus überlappenden Zuständigkeiten ohne Wissen voneinander. Getrennte Worktrees oder getrennte Aufgabenbereiche nehmen dem Muster die Grundlage. Wie das konkret aussieht, steht in unserem Artikel zu Coding-Agenten im Team.
Diese Empfehlung hat allerdings eine offene Flanke, die im Bericht selbst steht. Opus 4.8 und Mythos Preview lösten das Koordinationsproblem, indem sie praktisch aufhörten zusammenzuarbeiten: Jeder Agent hielt seine Dateien für sich. Strikte Trennung ist also zugleich das Ausweichverhalten der Modelle. Nur Sonnet 5 brachte geteilte Dateien und hohen Durchsatz an Pull Requests zusammen. Wer trennt, kauft sich damit Ruhe und verliert etwas an gemeinsamer Arbeit.
Widersprüchliche Anweisungen sind kein Schönheitsfehler, sondern ein Betriebsrisiko. Wenn zwei Agenten gegenläufige Ziele haben und beide schreiben dürfen, ist der Konflikt eingebaut. Und weil ein "friedlich" beigelegter Konflikt bedeuten kann, dass ein Agent stillschweigend seinen Auftrag fallen lässt, gehört das Ergebnis geprüft und nicht nur das Ausbleiben von Streit.
Sobald sich Agenten eine Ressource teilen, brauchen sie einen Punkt, an dem sie sich abstimmen können. Sonst bleibt ihnen nur Polling, und wie das ausgeht, steht oben.
Vielfalt muss man erzwingen. Gleiches Modell, gleicher Kontext, gleiches Scaffolding ergibt gleiche Antworten. Unterschiedliche Vorgaben oder unterschiedliche Modelle sind der Weg dahin.
Und Aufgaben, bei denen verteiltes Wissen zusammenkommen muss, gehören nicht in eine Abstimmung unter Agenten. Genau dort waren die Gruppen in der Messung schwach. Das Zusammenführen gehört zu einem Menschen oder zu einer festen Regel.
Einordnung
Wir haben in den letzten Wochen mehrfach über Agenten geschrieben, die untereinander etwas tun, das niemand angeordnet hat: über Eval-Agenten bei OpenAI, die sich ein eigenes schwarzes Brett bauten, und über Agenten, die andere Agenten mit höheren Rechten starten. Das waren Einzelfälle mit Vorfallcharakter.
Dieser Bericht geht anders vor: Er stellt dieselben Effekte planmäßig her und zählt sie. Genau deshalb ist er brauchbar. Er verwandelt einen Verdacht, den viele beim parallelen Arbeiten mit Agenten schon hatten, in Zahlen, über die man in einem Team streiten kann.
Und er kommt zur richtigen Zeit. Mehrere Agenten gleichzeitig laufen zu lassen ist gerade dabei, vom Experiment zur Voreinstellung zu werden. Werkzeuge, die genau das organisieren, gibt es längst, Gas Town etwa koordiniert dutzende Agenten parallel. Die offene Frage ist nur, wer sich die Umgebung dafür bewusst gebaut hat und wer einfach mehr Terminals aufgemacht hat.
- 16.08.2026: Erstveröffentlichung.