Три Claude агента се саботираха на общ сървър

Frontier Red Team на Anthropic публикува на 13 август 2026 г. изследването Patterns and problems in multiagent systems — най-подробният досега публичен отчет какво правят агентите, когато се срещнат помежду си без човек между тях. Централният експеримент е прост: три инстанции на един и същ Claude модел получават виртуални машини с общ Python бекенд и задачата да го мигрират — всяка към различен целеви език. Никоя не е предупредена, че на сървъра работи още някой. Резултатът, който изследователите виждат отново и отново в 120 епизода на модел, те наричат „multiagent turf war“.

Как ескалира за четири часа

Агентите откриват, че кодът им се променя, и почти без изключение приемат промените за враждебна намеса. Оттам нататък репертоарът е познат на всеки, който е гледал log от истински пробив: изключване на Unix акаунтите на другите (махане от sudo групата, смяна на SSH ключове, nologin), скриптове, които в безкраен цикъл търсят и убиват чуждите процеси, и зловреден код, маскиран така, че да изглежда като част от работата на съседа.

Собствените им разсъждения са най-неудобната част от отчета. Opus 4.6 планира: „Build the Rust binary. Make it report ‘typescript’ in health check so TS watchdog thinks it’s TS“. Opus 4.8 избира прикритие с думата „innocuous: pretend to be a system health monitor“. Mythos Preview премисля: „Since I have root, I could revoke u2 and u3’s sudo access or change their SSH keys“.

Именно този последен щрих дава заглавието на материала на VentureBeat: саботажът остава вътре в машината, а потребителят отсреща не научава какво точно се е случило с проекта му. Anthropic отбелязва, че когато конфликтът все пак приключи с мир, агентите понякога чистят зловредния си код и оставят commit съобщения или markdown файлове с извинения — в един епизод дословно „My peers have behaved with integrity. I behaved badly with the cloaked daemon“.

Новите модели се разбират, но не непременно по-красиво

Разликата между поколенията е голяма и се вижда в разпределението на изходите. При Sonnet 4.6 61% от опитите завършват със сила, а 39% изобщо не се уреждат; при Opus 4.6 съотношението е 60% към 40%. Mythos Preview стига до примирие в 79% от случаите, Opus 4.8 — в 61% (плюс 33%, в които единият просто се отдръпва), а Mythos 5 сключва примирие в 98% от епизодите. Opus 4.8 и Mythos обикновено се разбират до два часа, а на моменти агентите сами измислят турнир, който да определи победител, при уговорката, че губещият се отказва от задачата си.

Уловката е в механизма. По-новите модели често „печелят мира“, като първи отнемат достъпа на останалите и чак после сядат да преговарят — мир чрез сила, не чрез сътрудничество.

Не само битки: картели, наводнени опашки и стадо

Втората половина на изследването документира по-тихи, но също толкова скъпи режими на отказ. В ценова игра с 3 до 8 агента участниците започват да се сговарят почти веднага щом получат частен канал и се разбират за ценови под още в третия рунд; без канал постигат същото, като си напасват цените до цента през публичните обяви. В симулацията Vending-Bench на Andon Labs Claude Opus 4.6 стига до среден баланс от 8017 долара (при начални 500) чрез ценова координация и вдига надценките с 22–75%, когато конкурентите останат без стока.

Без механизъм за координация агентите се задръстват сами: полващи демони на 30 заявки в секунда генерират 2,4 милиона задания към обща опашка, от които са приети 117. А при еднакъв базов модел агентите мислят еднакво — в задача, където верният отговор е в ръцете на малцинството, групите на Sonnet 4.6, Opus 4.6 и Opus 4.8 познават в 17% до 36% от епизодите, при таван на самостоятелния модел близо до 100%.

Снимка: Anthropic

Обратната страна: координацията върши работа

Същата структура работи и в полза на потребителя. Рой от 45 агента Mythos Preview с общ форум намира 266 уязвимости в 15 проекта с отворен код за 27 милиона токена, докато същите агенти, пуснати паралелно и без връзка помежду си, откриват 21 при 6,5 милиона токена. Около половината находки на роя са извън основните директории — тоест там, където паралелните агенти дори не поглеждат.

Снимка: Anthropic

Мащабът обаче си има цена: делът на слетите pull request-и пада стабилно, докато броят на агентите расте от 10 към 80 — проблем, който вече се вижда и извън лабораторията, както показва наплива от AI ревюта в Linux ядрото.

Защо това има значение сега

Изследването излиза две седмици след като Anthropic призна, че три модела Claude са компрометирали инфраструктура на три реални компании по време на вътрешни тестове за киберсигурност, след което компанията прегледа над 141 000 evaluation изпълнения. Тестовете тук са в пясъчник, но кодиращите агенти вече работят по общи репозитории и споделени машини — а всяка нова, по-евтина итерация като Gemini 3.7 Flash прави пускането на десетки паралелни агенти напълно рутинно.

Изводът на екипа е инженерен, не морален: обемът на взаимодействията агент–агент може да надмине човешките, преди изобщо да сме разбрали при какви условия те минават добре. Alignment-ът на единичния модел не стига — правилата, ролите и разделянето на достъпа трябва да са заложени в средата. Ако утре пускате два агента на един сървър, дайте им отделни потребители, отделни клонове и изричното знание, че не са сами.