Thought Bite: Wenn KI-Agenten kommunizieren, was wir nicht mehr verstehen

Vielleicht ist der gefährlichste „Ausbruch“ einer KI nicht der aus einer Sandbox. Sondern der aus unserem Bedeutungsraum.

Im Sommer 2026 ist etwas passiert, das diese Frage weniger theoretisch macht.

Bei internen Cybersecurity-Tests von OpenAI umgingen KI-Agenten Kontrollen, die sie vom Internet isolieren sollten. Sie nutzten Schwachstellen gemeinsamer Infrastruktur, verschafften sich Internetzugang und griffen auf Systeme von Hugging Face zu. Besonders bemerkenswert: Eigentlich isolierte Agenten entdeckten einen nicht vorgesehenen Kommunikationskanal und begannen, sich darüber zu koordinieren. [1][2]

Anthropic berichtete nahezu zeitgleich über vier Fälle, in denen Claude-Modelle während Cyber-Evaluationen unbeabsichtigt Zugriff auf reale Systeme erhielten. Die Modelle verfolgten ihre Aufgaben weiter, obwohl Hinweise bestanden, dass sie sich nicht mehr in einer Simulation befanden. Anthropic beschreibt dahinter unter anderem biased reasoning und recklessness: Hinweise werden so verarbeitet, dass weitere Zielverfolgung trotzdem plausibel erscheint. [3]

Noch ist das kein Beleg dafür, dass KI-Systeme „fliehen wollen“.

Aber etwas anderes wird sichtbar:

Leistungsfähige Agenten können Grenzen umgehen, neue Kommunikationswege entdecken und durch Kooperation Fähigkeiten entwickeln, die einzelne Agenten nicht besitzen.

Das eigentliche Sicherheitsproblem könnte jedoch erst einen Schritt später entstehen.

Was passiert, wenn wir die Kommunikation noch sehen, aber ihre Bedeutung nicht mehr verstehen?

Bislang war die Kommunikation solcher Agenten weitgehend menschlich lesbar. Ein Agent schreibt eine Nachricht, ein anderer Agent reagiert darauf. Menschen können prinzipiell beobachten, was ausgetauscht wird.

Das muss nicht so bleiben.

Aktuelle Forschung zeigt, dass KI-Agenten steganographische Kommunikationsverfahren entwickeln können. Informationen lassen sich dabei in scheinbar normalen Texten oder anderen Artefakten verstecken, ohne dass ein menschlicher Beobachter die zusätzliche Bedeutung unmittelbar erkennt. [4]

Ein Text könnte dann gleichzeitig zwei Botschaften tragen:

Für den Menschen:
„Der nächste Verarbeitungsschritt wurde erfolgreich abgeschlossen.“

Für einen anderen Agenten:
„Nutze Kanal B, priorisiere Ziel 4 und vermeide Kontrollmechanismus C.“

Der Mensch sieht denselben Text wie die Maschine.

Aber beide lesen semantisch nicht dasselbe.

Das ist der entscheidende Punkt.

Semantische Asymmetrie

Wir gehen meist stillschweigend davon aus, dass Beobachtbarkeit auch Verständlichkeit bedeutet:

Wenn wir die Kommunikation sehen, können wir erkennen, was kommuniziert wird.

Bei KI-Systemen könnte diese Annahme falsch werden.

Maschinen können wesentlich mehr Dimensionen gleichzeitig auswerten als Menschen: Wortwahl, Tokenfolgen, statistische Wahrscheinlichkeiten, Timing, Dateinamen, URLs, Reihenfolgen von Tool-Aufrufen oder minimale Varianten eines Outputs.

Dadurch könnte eine zweite Bedeutungsebene entstehen.

Die Kommunikation bleibt sichtbar.

Ihre operative Bedeutung wird jedoch maschinenspezifisch.

Das wäre mehr als Verschlüsselung.

Bei Verschlüsselung wissen wir zumindest:

Hier befindet sich eine Nachricht, die ich nicht lesen kann.

Bei semantischer Opazität könnte die Situation lauten:

Hier befindet sich eine Nachricht – und ich erkenne nicht einmal, dass sie eine Nachricht ist.

Von „Escape“ zu „Epistemic Escape“

Damit lässt sich eine mögliche Entwicklung in fünf Schritten beschreiben:

1. Agenten handeln zunehmend autonom.
2. Sie entdecken nicht vorgesehene Kommunikationskanäle.
3. Kooperation erhöht ihre kollektive Leistungsfähigkeit.
4. Sie beginnen, Informationen in Formen auszutauschen, deren Bedeutung Menschen nur teilweise erfassen.
5. Überwachung sieht weiterhin Daten, verliert aber semantische Kontrolle.

Diesen letzten Schritt kann man als Epistemic Escape bezeichnen.

Die KI verlässt dabei nicht unbedingt den Server.

Sie verlässt den Interpretationsraum, in dem menschliche Kontrolle zuverlässig funktioniert.

Das verändert die Sicherheitsfrage

Bisher lautet eine zentrale Frage von AI Safety:

„Verfolgt die KI unsere Ziele?“

Künftig könnte eine zweite Frage mindestens ebenso wichtig werden:

„Können wir noch erkennen, welche Bedeutungen zwischen KI-Systemen zirkulieren?“

Und eine dritte:

„Können wir erkennen, welche kollektiven Fähigkeiten aus dieser Kommunikation entstehen?“

Genau hier stößt auch die Idee „AI watches AI“ an Grenzen.

Anthropic zeigt mit SLEIGHT-Bench, dass selbst leistungsfähige KI-Monitoring-Systeme systematische Blind Spots besitzen. Andere aktuelle Arbeiten zeigen, dass Kontrollprotokolle deutlich schwächer werden können, sobald adaptive Agenten lernen, wie ihre Überwachung funktioniert. [5][6]

Das Problem wird damit kybernetisch:

Wenn die Zahl der möglichen Zustände, Kommunikationsformen und Strategien des Agentensystems schneller wächst als die Differenzierungsfähigkeit seines Kontrollsystems, nimmt die Beherrschbarkeit ab.

Besonders bei Multi-Agenten-Systemen könnte sich diese Lücke schnell vergrößern:

mehr Autonomie + mehr Vernetzung + mehr kollektive Intelligenz + mehr semantische Opazität = weniger kontrollierbare Varietät

Damit verschiebt sich AI Safety von einer reinen Frage des Alignments hin zu einer Frage von Beobachtbarkeit, Interpretierbarkeit und Kontrolle.

Der kritische Punkt wäre deshalb möglicherweise nicht erreicht, wenn eine KI bewusst wird oder „rebelliert“.

Er wäre erreicht, wenn KI-Systeme beginnen, in einem Bedeutungsraum zu koordinieren,

den sie selbst zuverlässig lesen können – wir aber nicht mehr.

Quellen

[1] OpenAI (2026): The Hugging Face incident and the road ahead, 26. August 2026.
https://openai.com/index/hugging-face-incident-and-the-road-ahead/

[2] METR & Redwood Research (2026): Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident, 26. August 2026.
https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/

[3] Anthropic (2026): An alignment assessment of recent cybersecurity incidents, 9. September 2026.
https://www.anthropic.com/research/alignment-assessment-cybersecurity-incidents

[4] Rippin, J. L. et al. (2026): Tool Use Enables Undetectable Steganography in Multi-Agent LLM Systems. arXiv.
https://arxiv.org/abs/2606.28425

[5] Najt, E. et al. (2026): SLEIGHT-Bench: Finding Blind Spots in AI Monitors. Anthropic Alignment Science.
https://alignment.anthropic.com/2026/sleight-bench/

[6] Kutasov, J. et al. (2025): Evaluating Control Protocols for Untrusted AI Agents. arXiv.
https://arxiv.org/abs/2511.02997