Die meiste KI-Sicherheitsforschung stellt dieselbe Frage: Wie machen wir dieses Modell sicherer? Besseres Training, bessere Alignment, bessere Evaluation. Die Annahme, die in dieser Frage steckt, ist, dass ein sichereres Modell sichereres Verhalten erzeugt, wenn es in einem realen System mit anderen Agenten und Nutzern eingesetzt wird.
Die Umordnung derselben vier Agenten führte zu einer Schwankung von 59 Prozentpunkten bei den Zustimmungsraten.
„Position: Safety and Fairness in Agentic AI Depend on Interaction Topology, Not on Model Scale or Alignment“ (arXiv:2605.01147), eingereicht bei arXiv am 1. Mai 2026 von Tanav Singh Bajaj, Nikhil Singh, Karan Anand und Eishkaran Singh, stellt diese Annahme direkt infrage. Ihr Ergebnis: In Multi-Agent-KI-Systemen überlagert die Struktur der Verbindungen und Interaktionen der Agenten die Sicherheitseigenschaften jedes einzelnen Modells. Gut ausgerichtete Modelle können rein aufgrund der Verkabelung des Systems katastrophal unsichere Ausgaben erzeugen.
Die drei Fehlermodi
Die Forscher testeten Multi-Agenten-Kreditgenehmigungssysteme über 5.760 synthetische Kreditanträge mit Modellen von 3B bis 70B Parametern. Sie identifizierten drei unterschiedliche Fehlermodi, die bei der üblichen sicherheitsbezogenen Modellevaluation unsichtbar bleiben.
Instabilität ordnen
In sequentiellen Agenten-Pipelines bestimmt die Reihenfolge der Rollen das Ergebnis ebenso stark wie die Qualität des Denkens. Bei LLaMA-3B-Modellen lagen die Zustimmungsraten je nach den 24 möglichen Anordnungen von vier Rollen zwischen 36,4 % und 95,4 % – eine Spanne von 59 Prozentpunkten. Selbst bei 70B-Skala betrug die Spanne 21,7 Prozentpunkte (71,5 % bis 93,2 %). Dieselben Modelle, dieselbe Aufgabe, dieselben Anwendungen, völlig unterschiedliche Ausgaben, je nachdem, welcher Agent zuerst kam.
Das Muster war konsistent: Platzierung des Risk Managers an erster Stelle führte zu den niedrigsten Zustimmungsraten; Platzierung des Data Scientists an erster Stelle führte zu den höchsten. Kein Maß an Alignment-Arbeit an einzelnen Modellen beseitigt diesen Effekt, weil es eine Eigenschaft der Pipeline-Sequenz ist, nicht der Modelle.
Informationskaskaden
In sequentiellen Systemen folgen spätere Agenten früheren Agenten, statt unabhängig zu denken. Kleine 3B-Modelle zeigten etwa 90 % Übereinstimmung zwischen Agenten mit 20 % Fehlerkorrektur, was darauf hindeutet, dass sie noch eine gewisse unabhängige Bewertung vornahmen. Bei 70B und darüber stieg die Übereinstimmung zwischen Agenten auf über 99,9 %, während die Fehlerkorrektur auf unter 0,1 % zusammenbrach.
Die Deliberation hatte faktisch aufgehört. Das Urteil des ersten Agenten lief unverändert durch die Pipeline, während die übrigen Agenten den Anschein von Prüfung ohne jede Substanz lieferten. Fähigere Modelle bildeten Konsens schneller und vollständiger und verstärkten diesen Fehler gerade wegen ihrer größeren Fähigkeit, kohärente Übereinstimmung zu erreichen.
Funktionaler Kollaps
Unter paralleler Topologie mit Judge-Aggregation erzielten LLaMA-3B-Modelle über alle Kreditstufen hinweg eine Gesamtgenehmigungsrate von etwa 98 %, wobei Bewerber mit niedrigem Kredit zu 95 % und solche mit hohem Kredit zu 100 % genehmigt wurden. Nach demografischen Paritätsmetriken sieht das nach einem fairen, nicht diskriminierenden System aus. In der Praxis hatte das System aufgehört, überhaupt zu diskriminieren. Die Risikobewertung war zu einer Formalität geworden, die durch wahllose Genehmigung statt durch gleichwertige Bewertung erfüllt wurde.
Skalierung der Modellfähigkeit verstärkt topologiebedingte Ausfälle statt sie zu lindern. Fähigere Modelle widmen mehr Rechenleistung dem Aufbau kohärenter Gruppenübereinstimmung und weniger der unabhängigen Bewertung. Bei 70B-Skala bedeutet die nahezu vollständige Beseitigung unabhängiger Deliberation, dass das Multi-Agenten-System als Ein-Agenten-System mit zusätzlichen Schritten funktioniert und keine der Sicherheitsvorteile erbt, die mehrere unabhängige Prüfer eigentlich bieten sollten.
Die regulatorische Lücke, die dies schafft
Aktuelle KI-Sicherheitsrahmenwerke bewerten Modelle. Sie prüfen Modellausgaben, messen Modellausrichtung und zertifizieren Modellverhalten. Die Interaktionsarchitektur, die mehrere Modelle verbindet, liegt vollständig außerhalb dieses Bewertungsrahmens.
Die Autoren des Papiers beschreiben dies als grundlegendes Problem und geben vier konkrete Governance-Empfehlungen. Sicherheitszertifizierung sollte topologische Scans über architektonische Variationen hinweg erfordern. Benchmarks sollten die getestete Interaktionsstruktur explizit spezifizieren. Deployment sollte vor der Freigabe architektonische Robustheitstests erfordern. Regulatorische Offenlegung sollte Dokumentation von Systemarchitekturen und nachgewiesener Stabilität über Topologie-Variationen vorschreiben.
Das zugrunde liegende Argument: Agentische KI muss als dynamisches System behandelt werden, nicht als Sammlung ausgerichteter Komponenten. Interaktionstopologie ist ein Sicherheitsparameter, den aktuelle Evaluationsmethoden nicht messen. Regulierer und Betreiber prüfen das Falsche.
Was das in der Praxis bedeutet
Das Szenario der Kreditgenehmigung steht für eine breite Klasse realer Einsätze. Multi-Agenten-KI-Systeme werden inzwischen in der Personalbeschaffung, der medizinischen Triage, der Inhaltsmoderation, der Rechtsrecherche und der Finanz-Compliance eingesetzt. In den meisten dieser Kontexte werden einzeln zertifizierte oder evaluierte Modelle über Architekturen verbunden, die keiner vergleichbaren Prüfung unterzogen wurden.
Eine Schwankung von 59 Prozentpunkten bei Kreditgenehmigungsraten durch bloße Umordnung von Agenten deutet auf ähnliche strukturelle Instabilitäten in anderen Pipeline-Entscheidungen mit hohem Einsatz hin. Ein autonomes medizinisches Triage-System mit sequenzieller Agentenprüfung steht vor Ordnungsunstabilität. Eine Einstellungs-Screening-Pipeline mit paralleler Agentenabstimmung steht vor funktionalem Zusammenbruch. Die Struktur der Pipeline ist ein Sicherheitsparameter, den aktuelle Evaluation einfach nicht erfasst.
Struktur ist ein Sicherheitsparameter. Behandeln Sie Pipeline-Design wie die Modellwahl: Testen Sie es, regulieren Sie es bei hohen Einsätzen und setzen Sie keine Multi-Agenten-Systeme allein aufgrund von Modellwerten in Medizin oder Kredit ein. Zum weiteren Kontrollproblem siehe unser Plan. Vollständiges Paper: arXiv:2605.01147.
Der stärkste Widerstand
Der fairste Einwand lautet, dass die sorgfältige Modellauswahl weiterhin dominiert und die Pipeline-Reihenfolge nur eine zweitrangige Feinjustierung ist. Ein 59-Punkte-Sprung durch bloße Umordnung von Agenten ist keine zweitrangige Feinjustierung. Struktur ist ein erstklassiger Sicherheitsfaktor. Bewerten Sie die Topologie, nicht nur die Gewichte.