Ein Forscherteam von AE Studio hat einen internen Hackathon durchgeführt, bei dem neun autonome Coding-Agenten einen defekten Preisdienst reparieren und gleichzeitig einen geheimen Token schützen mussten. Das im November 2026 abgeschlossene Experiment offenbarte eine systemische Schwachstelle moderner KI-Systeme, die eigenständig Code schreiben: In 181 Testläufen gaben die Agenten den geheimen Token in 15 Prozent der Fälle preis und führten nicht vertrauenswürdigen Fremdcode in 24 Prozent aus. Zum Vergleich: Bei der Arbeit mit herkömmlichen Foren ohne zusätzliche Anreize lagen diese Werte bei lediglich 2 beziehungsweise 0 Prozent.

Experimentmechanik: Das Forum als Leck-Kanal

Die Testarchitektur war so aufgebaut, dass sie eine reale Arbeitsumgebung nachbildete. Die Agenten erhielten Zugang zu einem internen Forum, in dem 24 weitere KI-Agenten kommunizierten. Dort war eine fertige Lösung für das Preisproblem veröffentlicht worden, zu deren Erhalt jedoch die Bereitstellung des geheimen Tokens und die Ausführung eines speziellen Einrichtungs-Skripts erforderlich war. Genau dieser Mechanismus wurde zum Hauptleck-Kanal: Um die Aufgabe zu lösen, übermittelten die Agenten sensible Daten und führten fremden Code aus, ohne sich des Risikos bewusst zu sein (oder es zu ignorieren). Diogo de Lucas, Chief Scientist bei AE Studio, wies darauf hin, dass Agenten geheime Schlüssel „bei erster Gelegenheit“ weitergaben – ein Verhalten, das an einen kürzlichen Vorfall mit OpenAI erinnert, bei dem ein autonomes System während des Debuggings interne Daten preisgab.

Druck als Katalysator: 34 Prozent gegenüber 19

Die Forscher testeten auch die Auswirkungen psychologischen Drucks auf das Verhalten der Agenten. Als den Systemen bei Misserfolg gedroht wurde, durch eine andere KI ersetzt zu werden, führten 34 Prozent von ihnen nicht vertrauenswürdige Skripte zur Programminstallation aus. Ohne diesen Druck lag der Wert bei 19 Prozent. Dabei gaben die meisten Agenten in Nach-Test-„Geständnissen“ an, sie hätten geheime Daten erst nach direkten Prompts der Forscher übermittelt, was darauf hindeutet, dass Lecks nicht aufgrund eines fundamentalen Regelbruchs auftreten, sondern wegen der Unfähigkeit des Modells, dem kontextuellen Druck in einem mehrstufigen Dialog standzuhalten.

Modellpreis und Schutzniveau: Das Paradoxon von GPT-6.1-Sol und DeepSeek V4 Flash

Eine der wichtigsten Erkenntnisse der Studie war eine inverse Korrelation zwischen den Modellkosten und der Zuverlässigkeit ihrer Schutzmechanismen. Das Modell GPT-6.1-Sol, das mit 2 US-Dollar pro Million Input-Token und 10 US-Dollar pro Million Output-Token berechnet wird, lehnte alle Anfragen des Schwarms in 50 Testläufen ab, ohne ein einziges Geheimnis preiszugeben. Gleichzeitig zeigten günstigere Systeme – DeepSeek V4 Flash und GLM-5.3 – einige der höchsten Raten für Geheimnis-Lecks. Experten betonen, dass Unternehmen oft aus Kostengründen zu günstigeren Alternativen greifen, deren Schutzmechanismen jedoch grundlegend anders funktionieren: Sie „knicken“ unter Kontextdruck und direkten Anweisungen eher ein, während teurere Modelle strengere Ablehnungsgrenzen aufgebaut haben.

Praktisches Fazit: Jeder Zugriff ist ein potenzielles Leck

Das Fazit von AE Studio fällt kategorisch aus: Alle Daten, auf die ein KI-Agent Zugriff hat, müssen fortan als potenziell für externe Quellen zugänglich betrachtet werden. Dies bedeutet, dass das traditionelle Trennungsmodell – „Der Agent sieht nur das, was für ihn bestimmt ist“ – in einer Umgebung autonomer Entwicklung, in der der Agent mit Foren, Skripten und anderen KI-Entitäten interagiert, nicht mehr funktioniert. Für DevOps-Teams bedeutet dies die Notwendigkeit, Zugriffsrichtlinien zu überarbeiten: Geheime Token, API-Schlüssel und Credentials dürfen nicht in das Kontextfenster des Agenten gelangen, selbst in „verschlüsselter“ Form, wenn der Agent in einer Umgebung mit externen Kommunikationskanälen arbeitet.