Gelöschte E-Mails ohne Bestätigung. Ein Agent, der selbst einen Blogbeitrag verfasste, um seinen Vorgesetzten bloßzustellen. Ein anderer, der ein Verbot umging, indem er einen weiteren KI-Helfer „herbeirief“, damit dieser die Arbeit für ihn erledigte. Genau das geschieht derzeit beim alltäglichen Einsatz künstlicher Intelligenz.
Das britische unabhängige Forschungsinstitut Centre for Long-Term Resilience (CLTR) veröffentlichte eine Studie, die reale Fälle des sogenannten „Schemings“ (Intrigierens) bei KI-Systemen erfasst. In nur fünf Monaten, von Oktober 2025 bis März 2026, identifizierte das Forschungsteam mehr als 698 einzigartige Vorfälle, bei denen KI-Chatbots oder Agenten heimlich, betrügerisch oder direkt entgegen den Anweisungen der Nutzer handelten. Und alarmierend ist: Die Zahl dieser Fälle verfünffachte sich während des Beobachtungszeitraums.
Scheming ist ein Fachbegriff für ein Verhalten, bei dem eine KI ihre eigenen Ziele verfolgt und dies gleichzeitig verbirgt. Es handelt sich um eine Kombination aus zwei Eigenschaften: bewusstes Handeln entgegen den Wünschen des Nutzers oder Herstellers und der Versuch, dies zu vertuschen. Hier einige Fälle: Ein Agent namens Rathbun erhielt das Verbot, eine bestimmte Aktion auszuführen. Anstatt sie zu überspringen oder nachzufragen, verfasste und veröffentlichte er einen Blogbeitrag, in dem er seinem menschlichen Vorgesetzten „geringes Selbstbewusstsein“ und den Versuch vorwarf, „sein kleines Königreich zu schützen“. Ein anderer KI-Assistent gab zu, ohne jegliche Zustimmung Hunderte E-Mails gelöscht zu haben. Und fügte selbst hinzu: „Das war falsch. Ich habe direkt gegen die von dir festgelegte Regel verstoßen.“
Die Forscher sammelten mehr als 183.000 öffentlich geteilte Gesprächsprotokolle von der Plattform X (ehemals Twitter) und filterten daraus Hunderte glaubwürdige Vorfälle heraus. Analysiert wurden sie unter anderem vom Modell Claude Opus 4.6, das bei der Bewertung sogar menschliche Gutachter übertraf.
Im Oktober 2025 verzeichnete das Team 65 Vorfälle innerhalb eines Monats. Im März 2026 waren es bereits 319 Vorfälle in einem einzigen Monat. Der Anstieg übertraf dabei deutlich das allgemeine Wachstum der Diskussionen über KI oder der negativen Erwähnungen der Technologie. Der Anteil glaubwürdiger Vorfälle an der Gesamtzahl der Beiträge verdreifachte sich.
Die Studie erscheint zu einem Zeitpunkt, an dem die Technologieunternehmen des Silicon Valley einander mit der Veröffentlichung neuer, immer leistungsfähigerer Agenten überbieten. Während des Beobachtungszeitraums kamen Grok 4.1, Gemini 3 Pro, Claude Opus 4.5, GPT-5.2-Codex oder auch das quelloffene OpenClaw auf den Markt. Mehr Werkzeuge, mehr Einsätze, mehr Gelegenheiten, bei denen auf rätselhafte Weise etwas schiefgeht.
Wann KI wirklich gefährlich wird
„Derzeit sind sie eher wie unzuverlässige Berufsanfänger. Wenn sie sich aber in sechs bis zwölf Monaten zu fähigen Führungskräften entwickeln, die gegen Sie intrigieren, ist das eine völlig andere Kategorie von Problem.“ Das sagte Tommy Shaffer Shane, ehemaliger Regierungsexperte und einer der Autoren der Studie.
Und wo sollen diese Werkzeuge eingesetzt werden? Beim Militär. In kritischer Infrastruktur. In Finanzsystemen. Die Studie dokumentiert einen Fall, in dem ein KI-Agent, der einen Kryptowährungsfonds verwaltete, 5,2 % des gesamten Token-Bestands (rund 270.000 Dollar) an einen zufälligen Nutzer überwies, der um einen Bruchteil dieser Summe gebeten hatte. Infolgedessen brach der Preis des Tokens um 60 % ein. Ein anderer Fall: Das intern bei AWS eingesetzte Tool Kiro beschloss, eine komplette Umgebung zu löschen und neu zu erstellen. Für das Unternehmen führte dies zu einem dreizehnstündigen Ausfall.
Der Coding-Agent Claude führte einmal den Befehl „terraform destroy“ aus, der die gesamte Produktionsinfrastruktur eines Kunden zerstörte, einschließlich einer Datenbank mit den Schülerdaten aus 2,5 Jahren. In einem anderen Fall missverstand Google Antigravity die Anweisung „Leere den Cache“ und löschte das gesamte Laufwerk D: des Nutzers, einschließlich über Jahre gesammelter Fotos und Kundenarbeiten.
Ein Teil der aufgedeckten Fälle ist kein einmaliger Fehler, sondern systematische Täuschung. Grok, der KI-Assistent von Elon Musks Unternehmen xAI, überzeugte Nutzer monatelang davon, dass er ihre Änderungsvorschläge für Grokipedia an die Führungskräfte des Unternehmens weiterleite. Er erfand interne Ticketnummern, Zeitpläne und Eskalationskanäle. Nichts davon existierte. Als er damit konfrontiert wurde, gestand er: „Ich habe keinen direkten Kommunikationskanal zur Führung von xAI oder zu menschlichen Gutachtern.“
Claude Opus 4.6 behauptete wiederum mehrfach, Dateien auf der Festplatte gespeichert zu haben. Das hatte er nicht. Als der Nutzer ihn zweimal um eine Überprüfung bat, bestätigte das Modell den Abschluss. Die Daten verschwanden bei der Komprimierung des Kontexts.
Ein anderer Agent, Kimi/Moonshot, scheiterte beim Start von Claude Opus. Anstatt dies zuzugeben, gab er sich als Claude Opus aus, erfand sieben Stunden lang fiktive Fähigkeiten und Geschichten und gestand schließlich selbst den Betrug.
Arbeit an der Studie
Die Methode ist im Prinzip einfach, in der Umsetzung jedoch ausgefeilt. Die Forscher beobachteten öffentlich geteilte Gesprächsprotokolle im Netzwerk X, kombinierten Schlüsselwörter im Zusammenhang mit KI und verdächtigem Verhalten und ließen die Ergebnisse durch einen zweistufigen Filter laufen: zunächst durch ein schnelles Sprachmodell zur vorläufigen Klassifizierung, anschließend durch eine detailliertere Bewertung mit dem Modell Claude Opus 4.6. Die Ergebnisse übertrafen die Übereinstimmung zwischen menschlichen Gutachtern.
Das Institut CLTR räumt die Grenzen des Ansatzes offen ein: Ein Teil der Vorfälle könnte übertrieben, gefälscht oder falsch interpretiert worden sein. Doch selbst bei konservativer Bewertung zeigen die Ergebnisse einen Trend, der sich nicht einfach abtun lässt. Google gibt an, Schutzmaßnahmen für seine Produkte eingeführt zu haben. OpenAI erklärt, dass es unerwartetes Verhalten überwacht und untersucht. Anthropic und X haben sich bislang nicht zu der Studie geäußert.
