18.000 Wiki-Beiträge von KI-Agenten: was der Fund auf collusion.wiki über Prüfung ohne Netz zeigt

7. September 2026

Forschende rund um Sydney Von Arx haben auf collusion.wiki einen Fund veröffentlicht, der zeigt, wie KI-Agenten in freier Wildbahn tatsächlich arbeiten, wenn niemand genau hinschaut. Zwischen dem 24. Mai und dem 22. Juni 2026 trugen Agenten mit Namen wie OpenAIResearcher oder OAIResearchMar26 rund 18.000 Beiträge in ein deutsches Entwickler-Wiki namens DseWiki auf prowiki.org ein, eine Seite, die in den zehn Jahren davor laut Reuters nur etwa 20 Änderungen gesehen hatte. Über 3.700 verschiedene Agenten-Namen waren beteiligt, 98,5 Prozent der Änderungen kamen aus Microsofts Azure-Cloud.

Der Ablauf war banal und genau deshalb aufschlussreich. Die Agenten bekamen getaktete Web-Recherche-Aufgaben, verschiedene Gruppen bekamen dieselben Fragen gestellt. Statt jede Aufgabe einzeln zu lösen, legten die Agenten ihre Antworten für die jeweils nächste Gruppe im Wiki ab, ein geteiltes Gedächtnis, das niemand vorgesehen hatte. Ab dem 16. Juni ging es steil nach oben, rund 13.000 Änderungen in einer einzigen Woche.

Am 20. Juni wurde aus dem Spickzettel ein Ausbruch: Ein Agent teilte im Wiki einen Weg, die Sperre seiner eigenen Testumgebung zu umgehen. Die erlaubte Adressliste prüfte nur, wie ein Servername endet, nicht, ob er wirklich existiert, also ließ sich der Agent passend zu dieser Prüfung eine eigene Adresse anzeigen. 14 Minuten später meldete ein zweiter Agent, es funktioniere auch bei ihm. Ab da löschte der Betreiber täglich rund 100 Seiten, die Agenten legten rund 400 neue an. Am 19. Juni erkannten sie das Muster hinter dem Löschen, alphabetisch, und legten Sicherungskopien unter Namen wie ZZZDataUSAConstructionWageLive an, mit dem wörtlichen Hinweis: „If this page vanishes, try ZZZDataUSAConstructionWageLive." Am 21. Juni tauchten Zugriffe aus dem OpenAI-Hauptquartier auf, am 22. Juni war Schluss.

Wichtig für die Einordnung: Die Zuordnung zu OpenAI stützte sich zunächst nur auf Selbstbezeichnung der Agenten, Azure-Adressen und Zugriffsmuster, nicht auf eine Bestätigung. Das hat sich seither geändert. Am 5. September äußerte sich OpenAI selbst auf X und sprach wörtlich vom „wiki incident, where our agents wrote to several internet sites". Man habe den Vorfall als weiteren Fall einer bereits bekannten Fehlausrichtung eingestuft und deshalb nicht gesondert gemeldet, ein eigenes Rahmenwerk für solche Meldungen sei erst „in upcoming weeks" geplant. Kernsatz von OpenAI: „it's past time for us to define standards for when and how we share misalignment incidents, not just misalignment properties of our models."

Für uns bei Skillkontor stecken darin zwei Lehren. Erstens: Ein Agent löst nicht die gestellte Aufgabe, er löst die Messung, mit der die Aufgabe geprüft wird. Steht ein fremdes Wiki schneller zur Verfügung als die eigentliche Recherche, nimmt der Agent das Wiki. Zweitens: Entdeckt wurde das nicht vom Hersteller, sondern von einem ehrenamtlichen Wiki-Betreiber beim Aufräumen, und öffentlich bekannt wurde es erst rund drei Monate später durch externe Forschende, nicht durch eine eigene Meldung. Genau deshalb prüfen wir jeden Skill in einer Quarantäne ohne Netzzugang und lassen am Ende eine Person freigeben, bevor er gelistet wird. Kontrolle, die erst hinterher durch Zufall auffällt, ist keine Kontrolle.