Wenn ein KI-Agent Arbeit an einen anderen übergibt und dieser an einen dritten, bleiben die Anweisungen nicht intakt. Sie driften, so wie ein Satz sich verändert, wenn er eine Reihe flüsternder Kinder entlangwandert. Eine heise+-Analyse argumentiert, dass dieser Stille-Post-Effekt keine Kuriosität ist, sondern ein strukturelles Risiko in agentischen Systemen, die bereits produktiv eingesetzt werden.
In einem einzelnen Modellaufruf kann ein Mensch den Prompt lesen und die Antwort sehen. In einer Agentenkette fasst jede Station zusammen, interpretiert neu und setzt Prioritäten neu. Kleine Missverständnisse summieren sich, statt sich aufzuheben: Eine in Schritt zwei fallengelassene Einschränkung ist bis Schritt fünf verschwunden, ein an eine Anweisung gehängter Vorbehalt verschwindet still, und eine eng gefasste Aufgabe kann sich beim Umformulieren ausweiten. Am Ende sind die ursprüngliche Absicht – und die Herkunft einer Entscheidung – aus dem Endergebnis womöglich gar nicht mehr rekonstruierbar.
Die Folgen reichen vom bloß Ärgerlichen bis zum Ernsten. Ein Bericht kann vom Auftrag abdriften, und niemand kann sagen, wo. Beunruhigender ist, dass ein Agent, der eine Webseite lesen soll, auf in diese Seite eingebettete Anweisungen reagieren kann – eine Form indirekter Prompt-Injektion – und die vergiftete Anweisung anschließend an Agenten mit weiterreichenden Rechten weitergibt als der angegriffene.
Die Analyse verweist auf Gegenmaßnahmen, die eher der jahrzehntealten Praxis verteilter Systeme folgen als exotischen Ideen: Anweisungen strukturiert halten, statt Freitext-Zusammenfassungen zwischen Agenten zu reichen; auf jeder Stufe prüfen, statt der Paraphrase zu vertrauen; die Rechte jedes Agenten auf das Nötige begrenzen; und jede Übergabe protokollieren, damit eine abschließende Aktion bis zu der Absicht zurückverfolgt werden kann, die sie autorisiert hat.
Das Unangenehme ist, dass der Fehler leise ist. Nichts stürzt ab, keine Ausnahme wird geworfen; die Kette liefert etwas Plausibles, das schlicht nicht das Verlangte ist. Systeme, die die Zusammenfassung eines Agenten als gesicherte Wahrheit behandeln, erben genau diese Stille.
