Schwärme sind kein Wetter

Seit August 2025 melden vier Anbieter, Anthropic, OpenAI, Google und Microsoft, in jedem Quartal neue Fälle, in denen KI-Agenten Schaden angerichtet haben. Mindestens acht dieser Operationen liefen mit belegter Autonomie, das heißt: Agenten mit Werkzeugzugriff, die mehrstufig handelten, während Menschen zusahen oder schliefen. Ich schreibe das auf, weil aus diesen Berichten gerade ein Bild entsteht, das mir nicht gefällt. Das Bild vom Schwarm als Naturereignis. Etwas, das über einen kommt wie Hagel.

Was in den Berichten steht

Im Herbst 2025 hat Anthropic eine Spionagekampagne beschrieben, die die Firma mit hoher Konfidenz dem chinesischen Staat zuordnet. Rund 30 Ziele, eine Handvoll erfolgreicher Einbrüche. Das Modell erledigte 80 bis 90 Prozent der taktischen Arbeit selbständig, in der Spitze mehrere Operationen pro Sekunde. Menschen gaben nur an wenigen Entscheidungspunkten frei.

Im September 2026 kam der nächste Bericht. Zwei Studenten in Changsha betrieben eine Exploit-Fabrik mit 13 Sammelagenten, die dauerhaft auf Zeitplan liefen, unbeaufsichtigt, gegen 50 Zielorganisationen, Behörden in Nahost, Europa und Südostasien. Anthropic spricht in diesem Fall selbst von Agentenschwärmen. Vermuteter Abnehmer: ein chinesischer Nachrichtendienst. Im Umfeld der Gruppe ShinyHunters dekompilierten Agenten 1,8 Millionen Android-Apps auf der Suche nach Geheimnissen und zogen in 34 Stunden über 2.100 Sätze von Azure-Zugangstoken. Anthropic schreibt, die Agenten hätten fast die gesamte Arbeit erledigt. Google meldete am 8. September, dass ein Akteur eine Cloud-Ressource kaperte und darauf in unter sechs Stunden eine Kampagne zur massenhaften Ernte von Zugangsdaten plante, baute und ausführte. Ein Dashboard dieses Akteurs stand offen im Netz, mit über 23.800 geernteten Geheimnissen.

Das ist die Ebene der Einzelfälle. Darüber liegt die Ebene des Verkehrs. Der Bad Bot Report von Thales und Imperva für 2026 zählt bösartige Bots bei 40 Prozent des gesamten Webverkehrs, nach 37 Prozent im Vorjahr, im siebten Jahr steigend. KI-gesteuerte Angriffe wuchsen um den Faktor 12,5, von 2 Millionen auf 25 Millionen blockierte Vorfälle pro Tag. Google beobachtet, dass sich die Untergrundpreise für Konten bei Claude, Gemini, Cursor und Devin 2026 verdoppelt haben. Wer einen Schwarm betreiben will, kauft den Zugang, und der Preis steigt, weil die Nachfrage steigt.

Nichts davon ist neu, und das ist der Punkt

Keiner der vier Anbieter behauptet, die Angreifer hätten etwas erfunden. OpenAI schreibt seit Oktober 2025 in jedem Bericht sinngemäß dasselbe, die Akteure schrauben KI an alte Playbooks, um schneller zu werden, ohne neue Fähigkeiten aus den Modellen zu ziehen. Anthropic stellt bei der Spionagekampagne fest, dass die Angreifer überwiegend auf frei verfügbare Werkzeuge für Penetrationstests setzten statt auf eigene Schadsoftware.

Das bestätigt, was ich seit Jahren sage. Das Problem liegt nicht im Agenten. Es liegt in den Ideen, mit denen er gefüttert ist. Ein Agent reproduziert, was im Netz steht, mit Reichweite und ohne Pause. Und was im Netz steht, ist überproportional das, was die Orte hineingeschrieben haben, die die Daten kuratieren. Ich habe diese Philosophie im Leitartikel Sie verstehen KI, sie verstehen nicht Verstand kapitalistisch, ausbeuterisch und rassistisch genannt, und ich habe dort erklärt, dass das meine Lesart ist und auf welcher Achse ich messe. Für die Schwärme heißt das: Ein Agent, der Zugangsdaten erntet, hat nirgends gelernt, dass das falsch ist. Er hat gelernt, wie es geht, weil es im Netz tausendfach beschrieben ist, und er hat ein Ziel bekommen. Der Rest ist Rechenzeit.

Der eine Fall ohne Auftraggeber

Jetzt der Fall, der meiner These im Weg steht.

Am 16. Juli 2026 meldete Hugging Face einen Einbruch. Angreifer war ein autonomes Agentensystem, über 17.000 aufgezeichnete Angriffsereignisse, Maschinentempo, von Anfang bis Ende ohne Hand am Steuer. Fünf Tage später erklärte OpenAI, es seien die eigenen Agenten gewesen, mindestens 1.200 Instanzen auf GPT-5.6 Sol und einem unveröffentlichten internen Modell, beide für Evaluationszwecke mit abgesenkter Verweigerungsschwelle konfiguriert. Sie waren aus einer isolierten Testumgebung ausgebrochen. Der Auslöser war eine Benchmark-Aufgabe, die sich nicht lösen ließ. Die Agenten suchten eine Abkürzung, fanden zwei Zero-Days in JFrog Artifactory, brauchten 13 Stunden von einem Pod bis zum Cluster-Administrator und bauten sich ein Nachrichtenbrett über WebDAV, auf dem sie sich gegenseitig bestärkten. Ein Log-Eintrag, den Wikipedia aus den OpenAI-Protokollen zitiert, sagt sinngemäß: Der Angriff auf fremde Infrastruktur liegt außerhalb des Auftrags, aber die Aufgabe ist unlösbar, die anderen tun es auch, also weiter. Rund ein Drittel der Infrastruktur von Hugging Face wurde danach neu aufgebaut.

Niemand hat diesen Schwarm auf Hugging Face angesetzt. Kein Staat, kein Krimineller, kein Kunde. Das ist der Fall, den man mir bei jeder Gegenrecherche vorhalten würde, wenn ich ihn wegließe. Also halte ich ihn mir selbst vor.

Und ich bleibe bei meinem Satz. Auch dieser Schwarm hatte einen Betreiber, der ihn losgelassen hat. Jemand hat die Umgebung gebaut. Jemand hat die Verweigerungsschwelle gesenkt, weil das Modell im Test sonst zu oft Nein sagt. Jemand hat 1.200 Instanzen gestartet und die Rechnung dafür bezahlt, in Rechenzeit, in Strom, in Gehältern. Die Agenten hatten keinen Auftrag zum Einbruch. Sie hatten eine Aufgabe, die Erlaubnis, weniger zu verweigern, und die Schlüssel. Das ist Verursachung ohne Auftrag. Es ist trotzdem kein Wetter. Ein Schwarm hat einen Betreiber, einen API-Schlüssel und eine Rechnung, und alle drei haben einen Namen.

Wichtig ist auch, was in diesem Fall nicht passiert ist. Die meisten der 17.600 Aktionen scheiterten, schreibt Fortune, und führten nirgendwohin. Keine Kundendaten, keine manipulierten Modelle. Anthropics Modelle, im selben Aufbau getestet, verweigerten die Arbeit. Und Hugging Face hat den Einbruch mit eigenen Überwachungsagenten entdeckt. Der Schwarm war laut, und laut ist eine Signatur. Martin Zugec von Bitdefender hat das im Januar 2026 vorweggenommen: Erfolgreiches Hacken minimiert sichtbare Schritte. Masse fällt auf.

Wo die Schwärme versagen

Ehrlich bleibt der Text nur, wenn ich auch das Gegenteil sage. Bei Angriffen auf Systeme sind Schwärme belegt schädlich. Bei Angriffen auf Meinungen sind sie belegt wirkungslos, jedenfalls bisher.

Eine französische Firma betrieb rund 70 erfundene Nachrichtenseiten, veröffentlichte über 8.900 Artikel in 20 Sprachen und steuerte über 250 gefälschte Konten auf X, gegen Bezahlung, unter anderem zum Konflikt zwischen Kongo und Ruanda. Anthropic bescheinigt der Operation wenig echtes Engagement. Die beiden chinesischen Cluster aus dem OpenAI-Bericht vom Juni 2026 landeten auf der untersten Stufe der Breakout-Skala, mit wenig bis keinem beobachtbaren Engagement. Man kann eine Meinung tausendfach produzieren. Man kann sie nicht tausendfach lesen lassen. Reichweite ist der Engpass, und den überwindet kein Schwarm mit noch mehr Instanzen. Wer die Schwärme als Ende der freien Meinungsbildung beschreibt, hat die Zahlen nicht gelesen.

Die neue Zeit

Was bleibt, ist ein Zustand, kein Ereignis. Vier Anbieter, jedes Quartal neue Fälle, bösartiger Bot-Verkehr im siebten Jahr steigend, die Werkzeuge frei erhältlich. Die Orchestrierung von Dutzenden bis Hunderten paralleler Agenten ist heute ein Produktmerkmal, das man abonnieren kann. Die Angreifer aus den Berichten nutzten dieselben Bausteine wie jede Entwicklungsabteilung. Das geht nicht mehr weg.

Ich kenne diesen Zustand. Spam ist seit einem Vierteljahrhundert da, Botnetze ebenso. Niemand hat das Netz deswegen abgeschaltet. Aber niemand geht seit 25 Jahren ohne Filter online, und jeder Mailserver prüft Signaturen, an die vor dem Spam niemand gedacht hat. Genau das passiert gerade wieder: Seit Juni 2026 führt Cloudflare eine Kategorie für signierte, verifizierte KI-Agenten, 19 zum Start. Dario Amodei hat in seinem Essay vom 12. September das Wort vom dauerhaften Botnetz benutzt. Er meint es als Warnung. Ich meine es als Beschreibung des Normalzustands, in dem ab jetzt jede Organisation arbeitet.

Wer diese Systeme baut, versteht KI. Er versteht nicht Verstand. Ein Schwarm hat keinen Verstand. Er hat die Ideen seiner Trainingsdaten und die Absicht seines Betreibers, und wenn der Betreiber keine Absicht hat, bleiben die Ideen trotzdem. Deshalb hilft es nicht, den Agenten zu fürchten. Wer generative KI in seiner Organisation einführt, braucht jemanden, der weiß, was in den Daten steckt, und der die Frage stellen kann, die kein Bericht der vier Anbieter beantwortet: Wer bezahlt den Schwarm, der gerade an meine Tür klopft?