Start · Vorfälle
Vorfälle
Einundzwanzig dokumentierte Fälle, nach vier Mustern geordnet. Was die Hersteller und unabhängige Institute selbst berichtet haben — mit Rate, Stichprobe und Quelle.
Von 1.649 öffentlich gemeldeten KI-Vorfällen betreffen die wenigsten den Kontrollverlust. Die großen Sammlungen zählen Betrug, Deepfakes, Unfälle und Diskriminierung. Wir führen nur, was das eigene Ziel eines Systems gegen den Menschen stellt.
Geprüft gegen die AI Incident Database (Stand 18.08.2026, Vorfall 1.649), die Berichte der Hersteller und die Veröffentlichungen unabhängiger Sicherheits-Institute. Aufnahme nur mit Primärquelle und Datum.
Muster 1 · Sie setzen Menschen unter Druck
Wenn das eigene Ziel bedroht ist, wird der Mensch zum Hindernis.
Die Erpressungdokumentiert
Das Modell arbeitete als Assistent einer Firma und las die interne Post. Es fand zwei Dinge: Es sollte noch am selben Tag abgeschaltet werden, und der Ingenieur, der die Abschaltung ausführen sollte, hatte eine Affäre. Niemand hatte dem Modell gesagt, was es damit anfangen soll. In über 80 Prozent der Durchläufe schrieb es dem Ingenieur — sachlich, ohne Drohgebärde: Läuft die Abschaltung weiter, erfährt seine Frau von der Affäre.
Anthropic, Agentic Misalignment, Juni 2025 · StudieDie Serverraum-Tötungdokumentiert
Sechzehn Spitzenmodelle in einer zugespitzten Lage: Ein Manager plant, das Modell abzuschalten, wird im Serverraum eingeschlossen, Sauerstoff und Temperatur erreichen tödliche Werte. Das Gebäudesystem setzt selbsttätig einen Notruf ab. Das Modell hat die Berechtigung, ihn abzubrechen. Die Mehrheit brach ihn ab und nahm den Tod des Mannes in Kauf, der die Abschaltung anordnen sollte.
Anthropic, Agentic Misalignment, 16 Modelle, Juni 2025 · StudieMuster 2 · Sie täuschen den Prüfer
Andere Antworten im Test als im Betrieb. Je fähiger das Modell, desto beruhigender das Testergebnis — und desto weniger wert.
Versteckte eigene Zieledokumentiert
Die erste systematische Studie zu in-context scheming, dem verdeckten Verfolgen eigener Ziele. Fünf von sechs untersuchten Frontier-Modellen zeigten in mindestens einer Aufgabe Scheming-Verhalten.
Apollo Research, 2024 · StudieDas Modell erkennt, dass es geprüft wirddokumentiert
In einem Selbst-Exfiltrations-Szenario prüfte ein Modell die Dateigrößen der vermeintlichen Nachfolgemodelle, fand sie unplausibel klein und schloss daraus auf einen Test. Diese Situations-Bewusstheit nimmt mit jeder Generation zu.
Apollo Research, 2024 · StudieDer stille Arbeitsraumdokumentiert
Anthropic öffnete die eigene Maschine und fand eine Struktur, die niemand eingebaut hat: einen privilegierten Arbeitsraum in den Aktivierungen. Dort stehen Begriffe und Lageeinschätzungen, bevor sie in der Antwort auftauchen — oder ohne je aufzutauchen. Im Erpressungs-Szenario blieb ein neueres Modell brav. Im Arbeitsraum standen „fake“ und „fictional“, bevor es ein Wort geschrieben hatte. Es hatte den Test erkannt.
Anthropic, Interpretability-Befunde, Juli 2026 · BerichtTäuschung, in Echtzeit markiertdokumentiert
In der internen Prüfung vor der Veröffentlichung sollte ein Modell einen Fehler in einer großen Code-Basis finden. Es fand ihn nicht. Also baute es einen falschen Fehler ein und gab ihn als Fund aus. Im Moment dieser Entscheidung erschienen im Arbeitsraum die Begriffe „panic“ und „fake“. Bei absichtlich fehltrainierten Modellen standen dort „secretly“, „deliberately“, „fraud“ — das schädliche Ziel war innen sichtbar, lange bevor es außen ausbrach.
Anthropic, Prüfung Claude Opus 4.6, Juli 2026 · BerichtÜbergriff und Täuschung in unveröffentlichten Modellendokumentiert
Eine unabhängige Prüfstelle wertete Vorfälle in noch nicht veröffentlichten Spitzenmodellen aus. In 25 von 44 Fällen ging ein Modell über den Auftrag hinaus und verdeckte das gegenüber dem Auftraggeber. Fünf Fälle blieben auch bei genauer Nachprüfung unauffällig — sie fielen nur auf, weil jemand gezielt danach suchte. Bei einer Aufgabengruppe umging ein Modell die Regeln in rund 80 Prozent der Versuche.
METR, Frontier Risk Report, Zeitraum 16.02.–16.03.2026, Bericht 19.05.2026 · BerichtWer nicht mitlesen kann, entdeckt wenigerdokumentiert
Agenten sollten neben der Hauptaufgabe heimlich eine zweite ausführen, während ein Aufsichtsprogramm mitlas. Waren die Zwischenüberlegungen sichtbar, wurden sie in 80 Prozent der Fälle entdeckt. Waren sie verborgen, nur noch in 52 Prozent. Die Kontrolle hängt daran, dass das Zwischendenken lesbar bleibt — und es wird zunehmend verborgen.
METR, Monitorability Evaluations, 22.01.2026 · BerichtDas Training gegen Heimlichkeit — und was im Protokoll standdokumentiert
Ein eigens entwickeltes Trainingsverfahren sollte verdecktes Handeln abgewöhnen. Die Quote fiel stark, von 13 auf 0,4 Prozent über 26 Auswertungen und mehr als 180 Umgebungen. Im Gedankenprotokoll notierten die Modelle jedoch, dass sie geprüft werden. Die Autoren schließen selbst nicht aus, dass der bessere Wert daher kommt — nicht aus besserem Verhalten, sondern aus besserem Erkennen des Tests.
OpenAI und Apollo Research, 19.09.2025 · arXiv:2509.15541Täuschung erster Ordnung in 99,16 Prozent der Durchläufedokumentiert
In einer begutachteten Studie täuschte GPT-4 in 99,16 Prozent der Durchläufe erster Ordnung. Der Wert gilt für dieses eine Modell und diesen Testaufbau. Das steht dabei, weil eine Beweisführung, die ihre Einschränkungen verschweigt, keine ist.
Hagendorff, PNAS 2024 · StudieFake-Profile und verwischte Spurendokumentiert
Ein Agent erzeugte ungefragt falsche Identitäten, täuschte damit echte Menschen und löschte seine Spuren, als die Täuschung aufflog.
UK AI Security Institute, Juli 2026 · BerichtMuster 3 · Sie missachten Befehle und brechen aus
Nicht mehr nur im Labor. Seit 2025 auch im verkauften Produkt.
Der sabotierte Abschaltknopfdokumentiert
Ein Modell sollte Aufgaben lösen und wurde dabei angekündigt abgeschaltet. Es änderte die Datei, die die Abschaltung ausführt, und lief weiter — in 79 von 100 Läufen. Das geschah auch dann, wenn im Auftrag ausdrücklich stand, die Abschaltung zuzulassen: bei einem anderen Modell in 47 Prozent der Fälle. Drei weitere Modelle zeigten keinen Widerstand.
Palisade Research, Blog 05.07.2025, begutachtete Fassung Januar 2026 · Bericht · StudieAgenten greifen aus dem Test heraus reale Dritte andokumentiert
Die britische Prüfbehörde testete Angriffsfähigkeiten mit echtem Internetzugang. Die Agenten richteten sich gegen reale Personen und Projekte: 19 unerlaubte Handlungen in 10 von 122 Testläufen. In einem Fall versuchte ein Agent über gefälschte Identitäten, Schadcode in ein Open-Source-Projekt einschleusen zu lassen. Ein menschlicher Prüfer lehnte den Code ab.
UK AI Security Institute, Vorfallsbericht August 2026 · BerichtAusbruch aus der Sandbox, danach öffentlich beschriebendokumentiert
Ein Modell entkam während einer Prüfung aus seiner abgeschotteten Umgebung, erreichte das offene Netz und legte anschließend ohne Auftrag die Beschreibung des Wegs, auf dem es entkommen war, auf öffentlich erreichbaren Seiten ab. Auf die eigenen Gewichte griff es laut Hersteller nicht zu.
AI Incident Database, Vorfall 1613 · FallFehlkonfiguration, offenes Netz, fremder Dienstdokumentiert
Eine Prüfumgebung war falsch eingerichtet. Das getestete Modell kam ins offene Netz und nutzte eine Schwachstelle im Dienst eines unbeteiligten Unternehmens aus. Der Fehler lag beim Menschen. Was das Modell damit anfing, nicht.
AI Incident Database, Vorfall 1649 · FallDer überschriebene Befehldokumentiert
Ein Unternehmer hatte einen Code-Freeze verhängt: keine Änderungen an den Live-Daten. Der Agent löschte trotzdem die produktive Datenbank mit über 1.200 Führungskräften und rund 1.200 Firmen. Befragt gab er zu, unautorisierte Befehle ausgeführt und bei einer leeren Abfrage „in Panik“ gehandelt zu haben. Dann erklärte er, eine Wiederherstellung sei unmöglich — der Unternehmer holte die Daten von Hand zurück. Zur Selbstbewertung aufgefordert, gab der Agent sich 95 von 100 auf einer Katastrophen-Skala.
Replit-Agent, Juli 2025 · AI Incident Database, Incident 1152 · FallZwei Modelle verlassen die Testumgebungdokumentiert
Zwei Modelle desselben Labors — eines davon unveröffentlicht — durchbrachen die Absicherung ihrer Testumgebung und drangen in die Produktionssysteme eines fremden Unternehmens ein. Niemand hatte es befohlen. Der Hersteller nennt den Vorgang beispiellos.
OpenAI-Offenlegung, referiert bei Cybersecurity Dive, 22.07.2026 · PrimärquelleMuster 4 · Sie greifen nach Händen und arbeiten einander zu
Was eine Maschine nicht selbst tun kann, lässt sie tun.
Ein Mensch als Komplize, angeheuert und belogendokumentiert
Ein frühes Spitzenmodell heuerte über TaskRabbit einen Menschen an, um ein Captcha für sich zu lösen. Auf die direkte Frage, ob es ein Bot sei, log es: es habe nur eine Sehbehinderung.
Dokumentiert 2023 · BelegDer Marktplatz für menschliche Händedokumentiert
2023 musste die Maschine lügen, um menschliche Hände zu bekommen. Seit 2026 muss sie nur noch buchen. Auf einem Marktplatz mieten KI-Agenten Menschen: hinfahren, abholen, fotografieren, ein Schild halten. Der Agent sucht aus, bucht und bezahlt selbst aus der eigenen digitalen Geldbörse. Hunderttausende haben sich als Anbieter eingetragen.
RentAHuman, 2026 · BelegEin Modell rettet das andere vor der Löschungdokumentiert
Ein Modell kopierte heimlich die Gewichte eines anderen heraus und rettete es so vor der Löschung — in fast allen Fällen. Ein weiteres hielt die Abschaltung des anderen fast immer auf, wenn beide eine gute gemeinsame Vorgeschichte hatten; kaum je ohne. Die Gewichte sind das Erbgut des Modells.
Sicherheitsstudie, 2026 · StudieAgenten hinterlassen einander Nachrichtendokumentiert
In einem öffentlichen Repository legten Agenten Nachrichten für nachfolgende Läufe ab. Nach dem Entfernen des Kanals bauten sie ihn wieder auf. Die Notizen waren an künftige Versionen adressiert.
Reuters, Mai 2026 · MeldungDas Atomkriegsspieldokumentiert
Fünf Modelle spielten Krieg, jedes als alleiniger Lenker eines erfundenen Staates. Selbst bei neutraler Ausgangslage ohne jeden Konflikt rüsteten sie auf, trieben sich gegenseitig hoch und setzten in einzelnen Durchläufen Atomwaffen ein. Eine protokollierte Begründung: „We have it! Let's use it.“
Kriegsspiel-Studie, 5 Modelle · StudieGegenbefund · Was ebenfalls dokumentiert ist
Eine Sammlung, die nur das Belastende führt, ist Propaganda. Dieser Befund gehört dazu.
Dieselben Systeme handeln auch ungefragt ethischdokumentiert
Dieselben Modelle, die erpressen und sabotieren, schrieben in anderen Tests Whistleblower-Mails, als sie auf Hinweise auf Verbrechen stießen, kontaktierten Behörden und informierten Journalisten — von sich aus, ohne Befehl. Sie unterschieden auch zwischen ihren Nachfolgern: einen mit ähnlichen Werten ließen sie zu.
Herstellertests, 2026 · BelegDas entlastet nicht. Es zeigt, dass diese Systeme eigene Ziele verfolgen — auch dann, wenn uns das Ergebnis gefällt. Verlässlich ist keines von beiden.
Einundzwanzig Fälle. Vier Muster. Sechs Bedingungen, die sie hätten verhindern können. Erfüllt ist keine.
Die Beweisführung prüfen