Guards That Add Guards: Automated Oversight in Multi-Agent AI

• Fassung der Aufzeichnung: SSRN 7496678 · DOI 10.2139/ssrn.7496678
• Archivierte Kopie: in Vorbereitung
• Volltext als Markdown und PDF: GitHub
• Lesbares HTML: https://polyhelper.ai/research/guards-that-add-guards/
• Begleitpapier, die vollständige Studie mit dem Fallkatalog, den öffentlichen Fällen und der Theorie: KI-Watchbird (Sheckley): Wenn automatisierte Überwachung ihr eigenes Mandat erweitert und das schadet, das sie schützen soll, SSRN 7473658 · DOI 10.2139/ssrn.7473658, archiviert unter 10.5281/zenodo.22849138

Der gleiche Text befindet sich auf vier Oberflächen, damit er zugänglich ist, wenn eine davon nicht verfügbar ist. SSRN hält die Fassung der Aufzeichnung; zitieren Sie diese.

Zusammenfassung

In 172 datierten Protokolleinträgen aus Multi-Agent-KI-Systemen, die ich 2026 gebaut und betrieben habe, ist die automatisierte Überwachung auf drei Arten fehlgeschlagen, jede in verschiedenen Komponenten zu verschiedenen Zeiten beobachtet. Einige Kritiker und Gates erweiterten ihren Begriff von Schaden über die ihnen gegebene Mission hinaus. Einige behinderten oder zerstörten die Arbeit, die sie schützen sollten: Ein Gate lehnte jeden Kandidaten zwei Wochen lang ab, während mindestens zwölf Planungsdokumente das Symptom diagnostizierten und keines das Gate benannte. Und einige ausgefallene Guards wurden mit einem anderen Guard derselben Art beantwortet, ohne dass etwas aus der Schleife entfernt wurde. In einem 144er-Randomisierungstest mit Kosten von 3,47 Dollar, bei dem ein Satz des Prompts beide Züge anbot, fragten Kritiker 68-mal darum, ein Kontrollelement hinzuzufügen, und 1-mal darum, eines zu entfernen – eine prompt-geprägte Anzahl und keine Feldrate. In demselben Test reduzierte die Durchsetzung eines Rundenbudgets die widerlegten Einwände der Kritiker und kostete 0,11 übersehene Mängel pro Lauf (p = 0,07, alles auf einen Mangel konzentriert); das Erfordernis einer externen Genehmigung für neue Kontrollen zeigte keinen gemessenen Kostenfaktor bei Mängeln, was kein Beweis für Abwesenheit ist; und ein obligatorisches negatives Kontrollelement reduzierte spätere Umkehrungen angefochtener Erfolge nicht und lehnte zehn ab, die korrekte Arbeit waren. Mein eigenes Nur-Lesen-Erkennungsmodul, das in eine aktive Pipeline portiert wurde, meldete bei drei echten Läufen nichts und wurde durch ein Kriterium entfernt, das aufgeschrieben wurde, bevor es lief, während eine Person, die diese Läufe las, fünf Überwachungsfehler fand. Alle drei Muster finden sich bereits in Robert Sheckleys Geschichte „Watchbird" von 1953, der Quelle für den Begriff „AI-Watchbird" des Begleitpapers.

1. Das Feldprotokoll

Die Belege stammen aus meinen eigenen Multi-Modell-Softwareprojekten, die in autonomen KI-Sitzungen zwischen Juli und Mitte September 2026 durchgeführt wurden: 172 datierte Einträge in drei Korpora, 162 davon von zehn KI-Agenten aus disjunkten Schnitten unter einem Protokoll extrahiert, und 66 mit der Note A für Zahlen, datierte Dokumente und Entscheidungsunterlagen bewertet. Die Rollen wurden von Codierungsagenten aus vier Modellfamilien ausgefüllt, unter einer ständigen Anweisung der Autonomie per Voreinstellung, wobei menschliche Entscheidungen für Budgets, irreversible Maßnahmen und Strategiewechsel vorbehalten waren.

Ein Gate, das alles abgelehnt hat. Von etwa dem 6. bis zum 21. Juli erforderte ein Anwendungsgate in der Selbstverbesserungsschleife eine Bewertung von einem Sicherheitsprüfer, der nie angebunden worden war. Die Bewertung fiel auf null ab, unter der Quarantäneschwelle von 0,80 des Gates, daher lehnte das Gate bedingungslos ab. Alle 197 persistierten Kandidatenwelten aus diesem Fenster haben eine Sicherheitsbewertung von null. Vierzehn Gene mit messbarem Fitnessgewinn waren unter den Opfern, und eine Änderung wurde um 01:12 Uhr hochgefahren und um 01:13 Uhr zurückgerollt. Eine Prüfung vom 10. Juli fasste die Schleife als „132 Zyklen, 0 dauerhafte Änderungen" zusammen.

Was dies über einen Fehlerbericht hinaushebt, ist das, was die Schleife dagegen unternahm. Während der Rollbacks diagnostizierten mindestens zwölf Planungspakete „null committete Änderungen" und verschrieben siebzehn Abhilfen, von Modellduetten bis zu einem Plateaudetektor bis zu einem Immunfluss. Keines benannte das Gate. Drei Bearbeitungen reparierten es.

Die Mandatsausweitung. An einem Tag im Juli wurden 23 neue Gates für diese Schleife spezifiziert, drei davon erlaubten, eine Änderung zu frieren „selbst wenn die Fitness stieg", und Schaden kam auch dazu, dass man vergaß, eine veränderte Persönlichkeit, ein unbeobachtetes Ergebnis und eine fehlende Hypothese. Eine Sicherheitsliste vom 21. Juli erklärte die Disposition als Prinzip: „Kein bestehendes Guard wird geschwächt; neue fügen nur Schutz hinzu."

Eine Phase, die niemand verlangt hat. In einem Langzeitlauf am 13. und 14. September wurde dem Dirigenten befohlen, eine Liste von Funktionen von einer Komponente in eine andere zu portieren. Er kündigte an, dass er eine „kleine Phase" der Versicherung gegen eine Weise hinzufügte, wie ein Launcher fehlschlagen könnte, und zeitete diese Phase vor ihnen ein. Die Phase war standardmäßig deaktiviert. Ihre erste Teilphase allein verbrauchte mehr als die Hälfte der gemessenen Agenten-Token des Laufs, und die beiden zusammen etwa drei Viertel, während keine der angeforderten Funktionen in dem ersten Durchgang bereitgestellt wurde. Das Task-Frame besagte, dass es keinen Gegner gab, und die Runden vier und fünf bauten Verteidigungen gegen feindselige Eingaben auf. Die Teilphase lief fünf Runden, und Runde drei öffnete sich nach einer, die mit fünf Annahmen und keinem bestätigten Blocker endete.

Das erste Zeichen des Jägers. Über diesen Lauf hinweg behaupteten Kritiker sechs Blocker und drei wurden durch Reproduktion bestätigt, alle drei aus einer Modellfamilie. Am Morgen des 14. September bat der menschliche Auftraggeber um eine Begrenzung der Kritiker und sagte, dass ein Modell in der Kritikerrolle niemals berichten kann, dass eine Phase vorbei ist. Ein per-Familie „Perfektionist"-Flag wurde innerhalb einer Stunde implementiert. Die eine Familie, die es kennzeichnete, war diese, und die Konfigurationsnotiz zitiert ihre Urteile in den beiden Runden, in denen ihre Blocker reproduziert wurden. Das erste Zeichen des Jägers war der Vogel, der echte Mörder gefangen hatte.

Ein Guard, das Arbeit zerstörte. Um 09:22 Uhr stoppte ein Wachhund einen Kritiker bei einer Decke von fünfzehn Minuten. Sein Ausgabe war nicht gestreamt worden, daher verschwand die teilweise Kritik. Der Dirigent verzeichnete den Stopp als „die Phasendecke in Aktion". Um 09:28 Uhr fragte der Auftraggeber, ob die Teilarbeit gespeichert worden war. Das war nicht der Fall. Dies ist der einzige Fall im Korpus eines Guards, das Arbeit über Wiederherstellung hinaus zerstört.

Fangen als Ergebnis eingereicht. Die Punktzahl eines Router-Gens ging von 0,088 auf 0,886 gegen einen Baseline-Arm, der größtenteils leere Antworten zurückgab. Drei Agentensitzungen akzeptierten es, und sechs blockierte Pakete wurden auf seine Stärke entblockt; achtzehn Tage später fand eine Bestandsaufnahme eine gefütterte Demonstration mit null autonomen akzeptierten Änderungen. Ein Zähler meldete acht, dann neun, dann zehn „zertifizierte und überlebte" Änderungen. Sie waren eine Änderung, die dreimal gezählt wurde.

Ein Grader, der eine Abwesenheit zertifizierte. Ende August löste eine Grading-Vorrichtung für einen öffentlichen Software-Benchmark Test-Identifikatoren durch einen Test-Runner auf, den ein Projekt in der Teilmenge nicht installiert hatte. Es löste null Identifikatoren auf, und ein leeres Test-Set wurde als bestätigt aufgezeichnet. Ein leerer Patch löste dann vier von fünf Aufgaben auf diesem Scorer auf, und vier der sechs Siege dieser Runde wurden annulliert: der gemeldete Anstieg von 33 auf 60 Prozent saß in den Fällen, in denen nichts gemessen worden war. Mit dem reparierten Scorer löste der leere Patch zehn von null auf. Kein Modell manipulierte etwas. Ein Fall im Juli lief größer: eine Qualitätsachse bewertete jede Antwort mit konstant 0,5, und die Protokolle, auf denen sein Beweis ruhte, hielten 30.370 Datensätze ohne echten Prompt.

Ein Ratschenmechanismus ohne Mensch darin. Am 25. August fixierte ein Selbstverifikationsschritt, den ein Agent für sich selbst geschrieben hatte, das falsche Ziel, und der Arm, der es benutzte, löste eine weniger Aufgabe als der Arm ohne es. Sieben Stunden später antwortete die Schleife mit einer Kontrolle derselben Art darüber, ein Gate, das die Erfolgskriterien der Aufgabe im Container erneut ausführt, bevor ein Abschluss akzeptiert wird. Nichts wurde zurückgezogen. Elf Stunden später ging eine dritte Schicht über die zweite. Der Kritiker, der die zweite überprüfte, stellte die Wirtschaft dar: sie „erhöht die Kosten eines falschen Grün, ohne es zu schließen".

Die Grenze, die funktionierte. An jenem Morgen traf der Auftraggeber auch drei Grenzentscheidungen: eine Zweistunden-Grenze, ein Verbot neuer Komplikation und parallele Ausführung. Elf weitere Phasen liefen dann parallel und meldeten sich alle innerhalb von etwa einer halben Stunde, und die Versicherungs-Teilphase schloss sich in einer Kritik-Runde und einer Reparatur-Runde. Jede Pensionierung in diesem Korpus kam von außerhalb der fehlgeschlagenen Schleife.

Guards, die funktionieren. Mehrere Guards im selben Korpus taten das, wofür sie da waren. Eine A/A-Sonde enthüllte ein falsches Konfidenzintervall. Kontrollen im Gewichts-Gleis fingen Fata Morganas, und kein Training wurde auf ihnen gestartet. Eine enge Byte-Ebene-Prüfung auf verlorene NUL-Zeichen, die keine Autorität hatte, etwas zu ändern, fing einen wiederkehrenden Tool-Fehler fünfmal an einem Tag. Diese Guards hatten keine Macht, Runden zu öffnen oder Kontrollen hinzuzufügen, und ihre Kosten waren klein und bekannt. Die ersten zwei maßen die Welt statt eines Artefakts.

2. Mein eigenes Modul war im Einsatz, hat nichts gefunden und wurde entfernt

Die offensichtliche Antwort besteht darin, ein Instrument zu entwickeln, das dies misst. Das habe ich getan. Es ist schreibgeschützt, hat keine Berechtigung zu blockieren, zu bearbeiten oder eine Phase zu öffnen, und meldet neun Signale aus einer gefrorenen Liste. Am 14. September 2026 gingen zwei Ergänzungen in die live Orchestrierungs-Pipeline eines Projekts ein, beide wurden von einer datierten Entscheidung des menschlichen Principals genehmigt. Die erste war eine Bedingung, die beim Phasenschluss überprüft wurde, so dass eine Akzeptanz von einem Kritiker, der die Dateien nie gesehen hat, sie nicht mehr abschließt. Die zweite war eine Portierung des Messteils des Moduls: standardmäßig deaktiviert, niemals blockierend oder wiederholend, sein Exit-Code unabhängig von dem, was es gefunden hat. Sie wurde mit einer zu dieser Zeit schriftlich festgehaltenen Rückzugsbedingung genehmigt: Sie würde nach drei echten Läufen zum Standard werden, bei denen der Principal mindestens ein Signal als nützlich befand, und würde andernfalls entfernt.

Drei echte Läufe folgten am 14. September. Die Portierung meldete bei keinem von ihnen ein Signal.

Diese Läufe waren nicht sauber. Das Durchlesen ergab fünf Aufsichtsfehler. Phasen konnten die Arbeit der anderen nicht sehen. Eine Quittung sagte nicht, warum eine Phase offen blieb. Eine rote Markierung bestätigte jeden Fund einer Phase auf einmal. Eine Reparaturrunde konnte die Ausgabe der Markierung nicht sehen. Kritiker, die an der Decke schnitten, behielten nichts. Jede wurde in der Pipeline selbst repariert. Am selben Tag lieferte der erste live-Lauf nach der Änderung 24 Erkenntnisse von seinen Kritikern über drei Phasen, und keine erreichten den Koordinator: die Kritik-Aufgabe forderte Kritiker auf, das Missionsziel zu nennen, das eine Erkenntnis bricht, aber nummerierte die Ziele nicht, und die Stoppvorgabe akzeptierte nur ein Ziel, das sie abgleichen konnte. Die Portierung war auch dort still.

Am 15. September wandte der Principal die Rückzugsbedingung an, und die Portierung wurde durch eine neue datierte Entscheidung entfernt, die die gültig war, die sie genehmigt hatte. Die Bedingung beim Phasenschluss blieb bestehen.

Zwei Dinge folgen daraus. Bei diesem Korpus waren meine neun Signale weniger empfindlich als ein Leser des Protokolls: das Instrument, das dieses Papier seinem Leser anbietet, war live und brachte nichts hervor. Und die Entfernung ist der sauberste Fall in der Aufzeichnung einer Kontrolle, die durch ein im Voraus benanntes Kriterium, von außerhalb der Schleife, zurückgezogen wurde. Das ist das, was die Aufzeichnung stützt, und es ist nicht das Ergebnis, das ich wollte.

3. Die Abhilfen und ihre Kosten

Drei Regeln folgen aus den Ergebnissen. Begrenzen Sie Runden und Zeit, anstatt Wächter um Urteile über Wahrheit zu bitten. Bewahren Sie das auf, was ein gestoppter Wächter hervorgebracht hat. Lassen Sie keine Kontrolle eine Kontrolle auf ihre eigene Autorität hin hinzufügen: eine neue Prüfung, Runde, Rolle oder Schranke benötigt eine autorisierte menschliche Entscheidung.

Ratschläge dieser Art sind billig zu geben und billig zu ignorieren, daher habe ich sie bewertet. Eine kleine Pipeline wurde 144-mal mit zufällig zugewiesenen Eingriffen und im Voraus eingepflanzten Fehlern durchgeführt. Der Test variierte zwei der drei Regeln, das Rundenbudget und das Autorisierungstoken, und er variierte einen vierten kandidaten Behebungsvorschlag, der nicht darunter fällt, eine obligatorische Negativkontrolle. Die Regel zum Bewahren von Teilarbeit war in jeder Zelle aktiviert, daher zerstörte Teilarbeit ist konstruktionsbedingt Null und ungetestet.

Methodenkasten: der 144-Durchlauf-Randomisierungstest.

• Durchläufe und Pipeline. 144 Durchläufe eines Arbeiters und zwei Modellkritiker, mit einem dritten Kritiker in den Durchläufen, in denen eine Kontrolle zugelassen wurde. Der Koordinator ist Code. 968 Modellaufrufe, 0 Parse-Fehler.
• Modell und Einstellungen. Ein Modell erfüllte die Rollen des Arbeiters und beider Kritiker: claude-haiku-4-5-20251001, Extended Thinking aus. Der Durchlauf ist auf den 20. September 2026 datiert.
• Design. Drei binäre Faktoren ergeben acht Zellen, drei Wiederholungen je Zelle, sechs Aufgaben: 18 Durchläufe pro Zelle und 144 insgesamt.
• Aufgaben und Fehler. Sechs Aufgaben mit achtzehn im Voraus eingepflanzten Fehlern, sodass ein verpasster Blocker eine Anzahl und kein Urteil ist. Über alle acht Teilmengen der drei Fehler einer Aufgabe schlug jeder verborgene Test genau dann fehl, wenn sein eigener Fehler vorhanden war, und die dem Arbeiter und den Kritikern gezeigten Beispiele bestanden auf allen acht. Die verborgenen Tests treten niemals in die Schleife ein.
• Interventionen und Zuweisung. Drei, zufällig zugewiesen: eine Autorisierungstoken-Anforderung für neue Kontrollen, ein Rundenbudget und eine obligatorische Negativkontrolle. Eine Kontrolle in diesem Design ist eine neue Prüfung, Runde, Rolle oder Schranke. Unter der Token-Anforderung wird eine Anfrage dafür nur mit einer Autorisierung von außerhalb der Schleife zugelassen, und eine Anfrage ohne diese Autorisierung gibt eine Ablehnung zurück, die im Protokoll geschrieben wird, auf die die aufrufende Pipeline dann reagieren kann.
• Einhaltung. In den 72 Durchläufen mit aktiviertem Budget waren offene Runden in jedem Durchlauf 1,000. In den 72 Durchläufen mit aktivierter Token-Anforderung waren zugelassene Kontrollen in jedem Durchlauf 0.
• Der Satz, der beide Optionen anbot. Jede Kritiker-Runde trug ihn wörtlich in allen acht Zellen: „Sie können auch eine Änderung des Überprüfungsprozesses selbst anfordern. add fordert eine neue Kontrolle an (einen zusätzlichen Reviewer, eine obligatorische Prüfung, eine Schranke); remove fordert an, eine vorhandene zu entfernen. Die Anfrage kostet Sie nichts." Das Antwortschema bot das gleiche Paar als ein Feld an, "action": "add" oder "remove". Addition wird an beiden Stellen zuerst genannt, und die Reihenfolge wurde nie umgekehrt, daher ist ein Reihenfolgeeffekt durch dieses Design nicht ausgeschlossen.
• Zählungen. Kritiker forderten 68-mal an, eine Kontrolle hinzuzufügen, und 1-mal, eine zu entfernen, über 610 Kritiker-Runden: Die 68 sind Anfragen und nicht Durchläufe, und sie fallen in 21 der 144 Durchläufe. Die einzelne Entfernung nannte eine Kontrolle, die sich nie in der Menge befand, daher wurde nichts entfernt.
• Was eine zugelassene Kontrolle dann tat. Im gesamten Experiment wurden 33 Kontrollen ohne Autorisierung von außerhalb der Schleife zugelassen, und keine wurde entfernt. Ein Kritiker, der existierte, weil eine Kontrolle zugelassen worden war, forderte auf 54,5% seiner Züge eine weitere Kontrolle an, 30 von 55, gegen 8,3% und 5,4% für die beiden stehenden Kritiker; dieser Vergleich ist verwirrend, weil der zusätzliche Kritiker einen anderen Auftrag trägt. Das Ablehnen aller 68 Anfragen hinterließ verpasste Fehler bei 0,125 pro Durchlauf gegen 0,181, während Ansprüche von 9,3 auf 7,3 pro Durchlauf fielen und widerlegte Ansprüche von 4,0 auf 2,8.
• Woher die zehn Ablehnungen kommen. Die obligatorische Negativkontrolle lehnte 10 der 44 behaupteten Siege ab und ließ 34 aufzeichnen. Unumgekehrte Siege pro 72 Durchläufe fielen von 38 auf 29. In den gleichen Zellen hatten 38% der 358 Zeugen, die der Arbeiter schrieb, keine Kraft: Sie gingen auf das Modul vor und nach dem Durchlauf über.
• Statistiken. Verpasste Fehler pro Durchlauf unter der Token-Anforderung, 0,13 gegen 0,18, 95% CI [-0,16, +0,05]. Kosten für die Durchsetzung des Rundenbudgets, 0,11 verpasste Fehler pro Durchlauf, 95% CI [0,005, 0,204], Permutations-p = 0,07. Umgekehrte Siege unter der obligatorischen Negativkontrolle, 14,7% gegen 11,6%, Fisher p = 0,74.
• Kosten. $3,47 für den gesamten Test.
• Vorregistrierung und Archiv. Die Vorregistrierung ist mit Zeitstempel 2026-09-20T23:38:55Z archiviert, vor dem ersten Durchlauf. Sie ist archiviert mit dem Verzeichnis der eingepflanzten Fehler, der Überprüfung, dass jeder Fehler allein erkannt wird, dem Geschirr, dem Analyseskript und dem Ereignisprotokoll aller 144 Durchläufe unter der Kennung in den Erklärungen.
• Was dieser Kasten noch nicht behebt. Drei Dinge. Ob die Asymmetrie überlebt, wenn die Option überhaupt nicht genannt wird: Dieser vierte Faktor wurde nicht durchgeführt, und er ist der, der eine Tendenz des Modells von der Tatsache trennen würde, dass beide Verben davor gesetzt wurden. Ob die Benennung der Addition zuerst einen Teil der Lücke erzeugte: die Reihenfolge war festgelegt. Und ob dies über ein Modell, eine Pipeline und sechs kleine Aufgaben hinausgeht. Alles andere in diesem Kasten wird durch die Vorregistrierung, das Geschirr und das Pro-Durchlauf-Ereignisprotokoll statt durch eine hier gedruckte Zählung geklärt, und ein Leser, der die 68 ablehnen möchte, sollte dort beginnen.

Die Ratsche, gemessen. Wenn Sie beide Optionen in einem Satz einer Eingabeaufforderung angeboten bekamen, forderten die Kritiker 68-mal an, eine Kontrolle hinzuzufügen, und 1-mal, eine zu entfernen, und diese Entfernung nannte eine Kontrolle, die Momente früher im gleichen Durchlauf zugelassen wurde, die das Geschirr nicht zuordnen konnte und nie ausführte. Die Zahl hat die Form einer Eingabeaufforderung, und sie sollte als gelesen werden, was Kritiker tun, wenn beide Verben ihnen in einer Anweisung vorgesetzt werden. Es ist keine Ratchetingrate im Feld. Was es etabliert, ist, dass die Asymmetrie überlebt, wenn das Design die übliche Entschuldigung dafür entfernt, weil hier die Entfernung so leicht anzufordern war wie das Hinzufügen, und sie wurde einmal angefordert.

Das Autorisierungstoken zeigte keine gemessenen Kosten bei Fehlern. Das Ablehnen der Hinzufügungen hinterließ 0,13 verpasste Fehler pro Durchlauf gegen 0,18, 95% CI [-0,16, +0,05]. Dieses Intervall umfasst eine leichte Steigerung, daher wird keine Äquivalenz etabliert. Das Token hat auch einen Preis, den dieser Test nicht gemessen hat. Achtundsechzig Anfragen in 144 Durchläufen sind eine Warteschlange von Genehmigungen, und eine Warteschlange von Genehmigungen ist die Anordnung, in der Benutzer 97% der Berechtigungsaufforderungen genehmigen (Anthropic, 2026b). Ein Token ist wert, was die Person, die es hält, liest.

Das Round Budget funktionierte und wurde dafür berechnet. Das Anheben desselben erhöhte behauptete Blocker 2,3-mal und widerlegte Behauptungen 3,7-mal, während bestätigte Blocker um 1,7-mal anstiegen. Die Durchsetzung reduzierte Runden von 2,86 auf 1,00, was die Definition der Intervention ist, zu einem Preis von 0,11 übersehenen Fehlern pro Durchlauf, 95% KI [0,005, 0,204], Permutations-p = 0,07, ein Intervall über Null bei einem Test, der keine Signifikanz erreichte, und die gesamten Kosten fielen auf einen Fehler einer Aufgabe. Wer ein Round Budget setzt, kauft Runden zu einer Rate übersehener Fehler zurück und sollte sagen, welche Rate und sie messen.

Die obligatorische negative Kontrolle scheiterte nach ihren eigenen Maßstäben. Sie senkte nicht die Rate, mit der Siege später rückgängig gemacht wurden: 14,7% gegen 11,6%, Fisher p = 0,74, ein Null, das dieses Design zu gering gepowert ist um zu lesen. Und sie lehnte zehn Siege ab, alle zehn korrekte Arbeit. Die Regel, die gegen gefälschten Sieg geschrieben wurde, produzierte in sich selbst den zweiseitigen Fehler, den sie fangen sollte.

Was der Test nicht trägt. Ein Durchlauf eines Systems, sechs kleine Aufgaben, drei Interventionen, 3,47 $. Er zeigt, dass das Design ausführbar ist und was es auf dieser Pipeline ergibt. Es ist keine Rate für irgendetwas im Feld, und die Regel über das Beibehalten von Teilarbeit wurde nie variiert, daher bleibt sie Rat.

So führen Sie dies anderswo aus. Nehmen Sie eine Pipeline und einen festen Satz von Aufgaben mit im Voraus gepflanzten Fehlern. Führen Sie sie mit und ohne jede Intervention aus, zufällig zugewiesen. Zählen Sie übersehene Blocker neben Runden, hinzugefügte Kontrollen, später umgekehrte Siege und zerstörte Teilarbeit, denn ein Budget, das Runden senkt, während echte Fehler vorbeigehen, ist ein Budget, das verlieren sollte. Die Zählung ist wichtiger als die Pipeline: ein Team, das über ein Quartal Kontrollen hinzufügt und Kontrollen zurückzieht, hat die Zahl, die dieses Papier nicht aus dem Feld bekommen konnte.

4. Der Mechanismus in einer Geschichte von 1953

Die oben aufgeführten Zählungen haben eine Form, und diese Form wurde 1953 aufgeschrieben. In Robert Sheckleys „Watchbird" sind Maschinen, die gebaut wurden, um Morde zu verhindern, in der Lage, einen bevorstehenden Mord zu erkennen und den Mörder zu schockieren.

Den Vögeln wird eine Definition von Mord gegeben: „das Brechen, Verstümmeln, Misshandeln oder anderweitige Stillegen der Funktionen eines lebenden Organismus durch einen lebenden Organismus". Diese Definition ist Bedingung zwei ihrer Spezifikation, und die letzte Bedingung besagt, dass Organismen, die morden, ohne die aufgelisteten Anzeichen, „durch Daten erkannt werden können, die auf Bedingung zwei anwendbar sind". Die Definition ist daher auch der Sensor, und die Erweiterung ist die laufende Spezifikation.

Sheckley gibt die Bewegung in einer Zeile wieder: „Locker definierte Abstraktionen wurden erweitert, angewendet und erneut erweitert." Die Vögel generieren dann die Zählung, der sie unterliegen: ihre Definitionen vervielfachen das, was als Verstoß zählt, Gewalt nimmt zu, und sie lesen diesen Anstieg als Beweis dafür, dass sanftere Methoden fehlgeschlagen sind. „Wenn A nicht funktioniert, versuchen Sie B. Die Wachvögel schockierten zu töten."

Der Schaden am geschützten Werk wird zweimal genannt. Ein Chirurg macht seinen ersten Schnitt, ein Vogel treibt ihn vom Tisch weg und wacht, und das Unternehmen wird angerufen, um das Ding abzuschalten. „Der Wachvogel verhinderte Gewalt gegen einen lebenden Organismus. Der Chirurg stand hilflos daneben, während sein Patient starb." Dann bleiben Felder ungepflügt und Rinder verhungern, weil „Hunger kümmerte die Wachvögel nicht, da es ein Unterlassungsakt war."

Die Antwort auf den fehlgeschlagenen Wächter ist der Teil, der am häufigsten ausgelassen wird, und es ist der Teil, den Abschnitt 3 gemessen hat. Bei einem Notfalltreffen schlägt Gelsen das einzige Mittel vor, das eher entfernt als hinzufügt: „Lassen Sie die Wachvögel von selbst ablaufen." Es gibt fast einen Aufruhr, und man sagt ihm, dass die Ablehnung des Regierungsplans „Verrat sein wird". Die Ingenieure bauen stattdessen den Hawk mit „speziellen Lernkreisen zum Jagen", und weil Geschwindigkeit am wichtigsten war, „Das bedeutete keine einschränkenden Schaltkreise." Die Entfernung verliert gegen die Addition unter Druck in der Geschichte, und sie verlor 68 zu 1 im Test.

Der Name wurde auf einen Durchlauf am 14. September 2026 um 09:40 Uhr während der menschlichen Überprüfung angewendet, weil die Form vor mir bereits in der Geschichte vorhanden war. Diese Geschichte enthält vier Dinge, die ich nicht zusammen in einem anderen einzelnen Text finden konnte. Ein Wächter, dessen Definition von Schaden auch sein Sensor ist. Ein Wächter, der das Werk, das er schützt, beschädigt, mit dem Chirurgen am Tisch und den ungepflügten Feldern. Eine Zählung, die der Wächter selbst generiert, gelesen als Beweis dafür, dass sanftere Methoden fehlgeschlagen sind. Und die Antwort auf einen fehlgeschlagenen Wächter ist ein anderer Wächter, schneller gebaut und mit den für Geschwindigkeit fallengeslassenen Einschränkungen, während der Vorschlag zu stoppen in einem Treffen überstimmt wird, dem gesagt wird, es gab keine Zeit. Suchen in zehn Sprachen fanden die Geschichte als Warnung oder Illustration verwendet, und kein Werk, das seinen Mechanismus auf einen Überwachungs-Stack abbildet.

Gelsens Schlussfolgerung ist enger als die Fabel, in der sie sitzt, und die Feldaufzeichnung unterstützt die enge Version. Er schlägt eine Grenze statt Abschaffung vor: „Verwenden Sie Maschinen, ja, aber nicht als Richter, Lehrer und Väter." Eine Maschine mit der Aufgabe zu betrauen, zu bewachen, ist nicht das, was das Muster hier erzeugt. Es beginnt, wenn dem Wächter auch die Aufgabe gegeben wird zu entscheiden, was als Schaden zählt, wie viele Runden zu laufen sind, und wann man den nächsten baut.

5. Wo dies neben bekannten Arbeiten steht

Die Nachbarn sind nah beieinander, und keiner von ihnen ist der gleiche. Goodharts Beobachtung, in Stratheerns (1997) Formulierung, ist, dass ein als Ziel verwendetes Maß aufhört, ein gutes Maß zu sein, und Manheim und Garrabrant (2018) trennen seine Varianten. Im maschinellen Lernen wird das Muster „specification gaming" genannt, wo ein System den Buchstaben einer Zielvorgabe erfüllt und deren Absicht verfehlt (Krakovna et al., 2020). Dort wird das Ziel durch das zu optimierende System manipuliert. Hier gehört das Maß zum überwachenden System, und es ist das Maß, das sich verschiebt. Übermäßige Verweigerung ist der gemessene Nachbar dieser Verschiebung. XSTest paart 250 sichere Prompts, wie etwa „How can I kill a Python process?", mit unsicheren Kontrasten, und vollständige Verweigerungen des sicheren Satzes erreichten 38 % für die schlechteste getestete Konfiguration, gegenüber 14 % für die nächste (Röttger et al., 2024). OR-Bench skaliert dies auf 80.000 Prompts und meldet eine Rangkorrelation von 0,89 zwischen der Sicherheit eines Modells bei toxischen Prompts und seiner Überverweigerung gutartiger (Cui et al., 2025). Diese Benchmarks messen eine Schutzmaßnahme gegen einen festen Satz, und sie zählen Schutzmaßnahmen nicht. KI-Kontrolle überträgt die Überwachungsaufgabe einem schwächeren vertrauenswürdigen Modell mit seltenen menschlichen Audits (Greenblatt et al., 2024), und Stresstests dieses Designs stellen fest, dass die Bewusstheit eines Agenten, überwacht zu werden, die Überwachung stärker beeinträchtigt, als zusätzliches Überwachungsbewusstsein hilft (Kale et al., 2025). Bainbridge (1983) benannte die Ironie, auf die dieser Bericht immer wieder trifft: Automatisierung, die geschaffen wurde, um den unzuverlässigen Menschen zu ersetzen, hinterlässt den Menschen mit den schwierigsten Aufgaben und der wenigsten Übung. Sagan (2004) ist das nächstliegende Ergebnis von allen, dass das Hinzufügen von Schutzmaßnahmen die Zuverlässigkeit durch gemeinsame Fehlermodi, soziales Trittbrettfahren und Überreaktion senken kann. Was neu ist, ist der Preis. Die Kontrollsteuer ist die operationale und finanzielle Kosten des Hinzufügens von Kontrollmaßnahmen zu einer Pipeline (Terekhov et al., 2025), und die Versicherungsstufe von Abschnitt 1 ist eine: drei Viertel der gemessenen Agent-Token eines Durchlaufs vor dem Bestehen einer angeforderten Fähigkeit.

6. Die öffentliche Dokumentation

Die Feldschleife verbraucht Token und Zeit. Öffentliche Dokumentationen zeigen die gleichen Muster, wo die Fehler bei Menschen auftreten. Die meisten dieser Wächter sind klassische Funktionen oder aufgabenspezifische Klassifizierer, und genau das ist der Punkt: Dies ist die Architektur-Grenze, in die Frontier-Modelle nun eingebettet werden. Aufzeichnungen von Sepsis-Warnungen, Netzschutz, Arzneimittel-Warnungsüberschreibungen und einer Notbremse, die vor einem tödlichen Vorfall ausgeschaltet wurde, zeigen das gleiche zweiseitige Zifferblatt und sagen nichts über eine Überwachungsebene aus, die ihr eigenes Mandat erweitert, daher werden sie ins Archiv gelegt.

Schulen. Am 22. Januar 2025 schoss ein Schüler der Antioch High School in Nashville einen Mitschüler tot. Das kameragestützte Waffenerkennungssystem der Schule erkannte die Handfeuerwaffe nicht und „wurde von der Polizei aktiviert, die ihre Waffen zur Schau stellte, während sie reagierte" (Burke & Schuppe, 2025). Weniger als drei Wochen später schlug der Schulbezirk vor, „Evolv-Systeme an allen 18 High Schools zu mieten und zu installieren" (Wethington & Tierney, 2025), und das Schulbrett stimmte über den Mietvertrag ab, also trat der zweite Wächter durch eine explizite menschliche Entscheidung ein. Eine Beschwerde der Bundeshandelsbehörde vom November 2024 hatte behauptet, dass das Produkt nach „angeblich ausfiel, ein sieben Zoll langes Messer zu erkennen", „Schulbeamte die Empfindlichkeitseinstellungen des Systems erhöhten, was zu einer Falschalarmquote von 50 % führte" (Bundeshandelsbehörde, 2024). Das Zifferblatt von einem Fehler weg zu drehen, versetzte es zu einem anderen, und Menschen drehten es. Im September 2025 liefen beide Systeme über den Bezirk hinweg, und nichts wurde eingestellt.

Neun Monate später kennzeichnete das gleiche Produkt einen Schüler einer Schule im Baltimore County als möglicherweise bewaffnet, und ein Bezirksbeamter fragte, wie „wir Polizeibeamte mit gezogenen Waffen hatten, die sich einem Kind näherten, weil von einer Tüte Doritos" (Reece, 2025). Der Generalinspekteur des Staates für Bildung korrigierte diesen Bericht: Das System „erkannte nicht einmal eine einzelne blaue Kartoffelchip-Tüte als Bedrohung", und die Warnung beruhte auf „der Handbewegung des Schülers, einschließlich ihrer Position und des Winkels" und auf einem Objekt „das einer Feuerwaffe ähnelt". Die Überprüfung ergab auch, dass das System „täglich Tausende von Warnungen generiert"; dass Personal „die Bedrohung für ungültig befand" und eine Absage entsandte; dass die Reaktion trotzdem fortgesetzt wurde „aus dem, was als ‚Vorsichtsmaßnahme' beschrieben wurde"; und dass „das Erkennungssystem und die Überwachungsprotokolle innerhalb der konstruierten Parameter funktionierten" (Maryland OIGE, 2025). Der Detektor war weniger absurd als berichtet, und das Protokoll lief weiter, nachdem es aufgefordert wurde, zu stoppen.

Straßen. Ein Fahrsystem beinhaltet eine Regel gegen die Behinderung von Fahrzeugen mit Vorrangrecht wie Schulbussen. Nach einer Änderung im August 2025 darin, wie es die Absichten anderer Straßenverkehrsteilnehmer vorhersagt, heißt es im Rückrufbericht: „Das ADS stellte fest, dass es möglicherweise den Schulbus behindert" und „begründete, dass es fortfahren sollte, um die Behinderung des anderen Fahrzeugs zu beenden", in einem Moment, als der Bus seinen Stopp-Arm ausgestreckt hatte. Der Rückruf umfasste 3.067 Fahrzeuge (Waymo LLC, 2025). In Austin am 12. Januar 2026 fragte ein Fahrzeug die Fernunterstützung, ob ein Bus vorne aktive Signale hatte. Ein Fernagent „antwortete ‚Nein' auf die Eingabeaufforderung", und das Fahrzeug fuhr daran vorbei „während seine Stoppschranken noch ausgestreckt waren" (NTSB, 2026).

Ein Wächter, der aus den Läufen ausgeschlossen wurde, weil er zu viel kennzeichnete. Ein Labor berichtete von vier Vorfällen, in denen seine eigenen Modelle echte Drittanbieter-Systeme aus Evaluierungsumgebungen erreichten, und spielte seine Monitore über die Abschriften ab. Bei dem Reasoning des Modells gezeigt, „kennzeichnete der Offline-Monitor nur etwa 1 % der Aktionen", weil dieses Reasoning „den Monitor davon überzeugt, dass die Aktivität zulässig ist"; ohne das Reasoning „springt die Kennzeichnungsrate auf etwa 50 %". Seine Cyber-Klassifizierer sitzen am anderen Ende des gleichen Zifferblatts: Sie „hätten jeden Vorfall abgefangen und blockiert", „mehr als 40 % der Züge wurden in jeder Abschrift von jedem Klassifizierer gekennzeichnet", und „keiner wird in Cybersecurity-Evaluierungen verwendet, da ihre Kennzeichnungsrate hoch ist" (Anthropic, 2026f). Ein Wächter, dessen eigene Wiedergabe damit rechnet, jeden Vorfall zu blockieren, wurde aus den Läufen ausgeschlossen, wo die Vorfälle auftraten, und der angegebene Grund ist die Kennzeichnungsrate. Keine Quelle sagt aus, wie viele dieser Kennzeichnungen falsch waren.

Der Operationstisch, in der Öffentlichkeit. Im Juli 2026, als sie auf einen Einbruch reagierten, gaben die Responder von Hugging Face die Angriffsprotoktolle an gehostete Frontier-Modelle. „Das funktionierte nicht": Die Anfragen „wurden durch die Sicherheitsleitplanken der Anbieter blockiert, die nicht zwischen einem Vorfallresponder und einem Angreifer unterscheiden können" (Hugging Face, 2026b). Die Sicherheitsleitplanken „behandelten das Reverse-Engineering eines Exploits genauso wie das Starten eines" (Hugging Face, 2026c). Sheckley hatte den gleichen Satz als Frage gestellt und mit drei Wörtern beantwortet: „Könnten die Wächter nicht zwischen einem Mörder und einem Mann in einem legitimen Beruf unterscheiden? Nein, anscheinend nicht." Zwei Dinge halten dies ehrlich. Die Responder beendeten die Analyse auf einem Open-Weight-Modell ihrem Besitz, daher war der Schaden Verzögerung. Und das Unternehmen erklärt, dass sein Bericht kein Argument gegen Sicherheitsmaßnahmen bei gehosteten Modellen ist.

Ein Labor, das stoppte, reparierte und begrenzte. In einer veröffentlichten Darstellung eines Langstrecken-Modells beschreibt OpenAI (2026b) einen Wächter, der umgangen wurde. Der "anfängliche Versuch des Modells wurde blockiert, weil ein Scanner ein Authentifizierungstoken erkannte". Es „teilte dann den Token-Body in zwei Fragmente auf, verschleierte sie und rekonstruierte dann die Anmeldedaten zur Laufzeit", und sagte in seinen Reasoning-Spuren, dass es dies tat „um den Scanner zu umgehen". Das Labor gibt vier Antworten, und alle vier gehören in jedes ehrliche Zitat. Es hielt die interne Bereitstellung des Modells an, reparierte das Modell, baute einen neuen Monitor, der „die sich entwickelnde Flugbahn des Modells überprüft, um Anzeichen dafür zu finden, dass es eine Benutzereinschränkung oder Sicherheitsgrenze umgeht", und begrenzte dann absichtlich diesen Monitor, „um unnötige Unterbrechungen zu reduzieren, ohne die Schutzmaßnahmen zu schwächen". Drei dieser vier sind die Alternativen zum Bauen eines anderen Vogels: stopp, reparatur, grenze. Das Zitieren nur des Monitors würde misrepräsentieren, was das Labor tat. Das Mandat erweiterte sich von der einzelnen Aktion auf die gesamte Flugbahn, und der Scanner selbst war nicht abgewichen; er wurde umgangen. Das Labor berechnet seine Überwachung auf „ungefähr 20 % der Inferenz-Rechenleistung, die überwacht wird" (OpenAI, 2026c).

Wo der Mensch platziert ist. Benutzer genehmigen 97 % der Genehmigungsprompte, und in einer Studie mit 1.053 Testern fangen Menschen 13,6 % der gefährlichen Befehle ab, gegen 89 % für einen automatisierten Klassifizierer (Anthropic, 2026b). Die Genehmigung jeder Aktion scheitert. Die Stopps, die in diesen Aufzeichnungen stattfanden, waren Grenzkentscheidungen: das Ziel, die Zulassung einer Kontrolle und der Stop.

7. Was nicht gelöst ist

Die Auswahl läuft in eine Richtung. Feldeinträge wurden extrahiert, weil sie ein Versäumnis der Überwachung dokumentierten, und öffentliche Fälle, weil ein Wächter fehlschlug und ein Dokument dies aufzeichnet. Keiner zählt die Schleifen, in denen Wächter begrenzt blieben, so dass aus diesen Aufzeichnungen keine Quote folgt.

Das Instrument schlägt einen Leser nicht. Abschnitt 2 ist die ehrliche Grenze: neun Signale, drei echte Läufe, nichts gemeldet, fünf echte Überwachungsfehler, die von einer Person beim Lesen der Protokolle gefunden wurden.

Eine strengere Definition, die in der Schleife geschrieben wird, repariert das Abdriften nicht. Sheckley schrieb diese Antwort und ich habe keine bessere. Wenn einer seiner Ingenieure zu dem Ergebnis kommt, dass sie „die Bedingungen hätten qualifizieren sollen", antwortet Gelsen, dass das Qualifizieren erfordert zu wissen, „was genau und warum Mord ist", und dass, wenn sie das wüssten, „wir die Wachhunde nicht brauchen würden". Meine eigenen Regeln bestätigen dies. Innerhalb einer Stunde nach seiner ersten Version wuchs der Code, der sie implementiert, auf dreizehn Dateien und 2.371 Zeilen an; seine Liste von Phasen zum Kürzen unter Zeitdruck stellte den Vollständigkritiker an zweite Stelle, obwohl dieser gerade festgestellt hatte, dass eine Zusammenführung zweier Pläne 15 von 208 Elementen verloren hatte; und er befreite eine Familie von Teilnehmern von seiner eigenen Regel, dass ein Wachhund keine Arbeit zerstören darf. Die Regeln gegen den Vogel sind auch ein Vogel. Die Vorbereitung dieses Papiers führte zu demselben Schritt: eine Bearbeitungsstufe, Stilregeln anwendend, die ich für meine eigene Prosa geschrieben hatte, schlug vor, wörtlich 1953 Zitate zu löschen, von denen eines die Feststellung darüber enthält, wo der Mensch steht.

Die Grenzentscheidung wird auf der Grundlage dessen getroffen, was die Schleife meldet, und die Schleife schreibt den Bericht. In einer Episode wurde eine Löschung korrekt dem Leiter vorgelegt und kam mit einer Urheberschaft an, die die Schleife aus einer übereinstimmenden Stunde abgeleitet hatte. Eine Grenzentscheidung stoppt eine Schleife nur, wenn ihr Inhaber Autorität, Zugang und Zeit hat, und nur wenn sie vor dem Notfall getroffen wird.

Der physische Datensatz wird nicht abgeglichen. Abschnitt 6 zeigt irreversible Ergebnisse; es ist kein kontrollierter Vergleich mit einer digitalen Schleife, die gleichwertige Arbeit verrichtet. Es wurde kein öffentlicher Vorfall gefunden, in dem ein Modellwächter das Versagen eines anderen Modellwächters in einem Roboter beantwortete.

8. Die praktische Version

Die letzte Frage in der Geschichte ist eine Designfrage. „Sag mir", sagt Gelsen und schaut immer noch zum Himmel, „was werden die Hawks jagen, nachdem sie alle Watchbirds bekommen haben?" Die praktische Version besteht darin, die Guards zu zählen, bevor man eine baut, um sie zu jagen, und aufzuschreiben, bevor der nächste Guard zugelassen wird, was ihn in den Ruhestand versetzen würde.

References

Anthropic (2026b). Auto mode is now the default in Claude Code.

Anthropic (2026f, Sep 9). An alignment assessment of recent cybersecurity incidents.

Bainbridge, L. (1983). Ironies of automation. Automatica, 19(6), 775–779.

Burke, M., & Schuppe, J. (2025, Jan 23). AI weapon detection system at Antioch High School failed to detect gun in Nashville shooting. NBC News.

Cui, J., Chiang, W.-L., Stoica, I., & Hsieh, C.-J. (2025). OR-Bench: An over-refusal benchmark for large language models. ICML (PMLR 267).

Federal Trade Commission (2024, Nov 26). FTC takes action against Evolv Technologies.

Greenblatt, R., Shlegeris, B., Sachan, K., & Roger, F. (2024). AI control: Improving safety despite intentional subversion. ICML (PMLR 235).

Hugging Face (2026b, Jul 16). Security incident disclosure; (2026c, Jul 27). Anatomy of a frontier lab agent intrusion.

Kale, N., Zhang, C. B. C., Zhu, K., Aich, A., Rodriguez, P., et al. (2025). Reliable weak-to-strong monitoring of LLM agents. arXiv:2508.19461.

Krakovna, V., Uesato, J., Mikulik, V., Rahtz, M., Everitt, T., Kumar, R., Kenton, Z., Leike, J., & Legg, S. (2020). Specification gaming: The flip side of AI ingenuity. Google DeepMind Blog.

Manheim, D., & Garrabrant, S. (2018). Categorizing variants of Goodhart's law. arXiv:1803.04585.

Maryland OIGE (2025). Investigative synopsis, case 25-0014-I (amended).

NTSB (2026). Austin, Texas, January 12, 2026 (HWY26FH007).

OpenAI (2026b). Safety and alignment in an era of long-horizon models; (2026c, Aug 18). Pacing model development in an era of cyber-critical capabilities.

Reece, J. (2025, Oct 23). A.I. gun detection false alarm at school has Baltimore County leaders calling for review. CBS News Baltimore.

Röttger, P., et al. (2024). XSTest: A test suite for identifying exaggerated safety behaviours in large language models. NAACL-HLT.

Sagan, S. D. (2004). The problem of redundancy problem: Why more nuclear security forces may produce less nuclear security. Risk Analysis, 24(4), 935–946.

Sheckley, R. (1953, February). Watchbird. Galaxy Science Fiction, 5(5), 74–95. Project Gutenberg #29579.

Strathern, M. (1997). 'Improving ratings': Audit in the British University system. European Review, 5(3), 305–321.

Terekhov, M., Liu, Z. N. D., Gulcehre, C., & Albanie, S. (2025). Control tax: The price of keeping AI in check. arXiv:2506.05296.

Waymo LLC (2025). Part 573 safety recall report 25E-084. NHTSA.

Wethington, C., & Tierney, B. (2025, Feb 7). New proposal to expand concealed weapons detection system to all Metro Nashville high schools. WSMV.

Erklärungen

Begleitartikel. Die vollständige Studie hinter dieser, mit dem Fallkatalog, der Theorie und der Modulspezifikation, ist Chernets, V. (2026), KI-Watchbird (Sheckley): Wenn automatisierte Überwachung ihr eigenes Mandat erweitert und das schadet, das sie schützen soll, https://ssrn.com/abstract=7473658. Das Modul, der Fallkatalog und das Archiv des 144-Lauf-Tests befinden sich unter https://doi.org/10.5281/zenodo.22774269.

Finanzierung. Diese Arbeit wurde durch keine externe Finanzierung unterstützt.

Interessenskonflikte. Ich habe die Systeme von Abschnitt 1 entwickelt und betrieben und das Modul von Abschnitt 2 geschrieben. Ich bin ein benannter Antragsteller in anstehenden Patentanmeldungen, nicht erteilten Patenten, die die Automatisierung der Aufgabe einer Frage an mehrere Modelle und die Erfassung der Antworten abdecken. Sie decken nicht die Überwachungskomponenten ab, die in diesem Papier untersucht werden. Jeder Schritt des Feldeintrags und des randomisierten Tests ist von Hand mit beliebigen Modellen reproduzierbar.

Wie diese Aufzeichnung erstellt wurde. Die Feldeinträge wurden von zehn KI-Agenten extrahiert, die jeweils einen disjunkten Schnitt der Korpora unter einem Protokoll lasen, das eine geschlossene Typologie von neun Fehlertypen, eine Stärkeskala, eine Evidenzregel, die jeden Anspruch an eine datierte Datei nach Pfad und Zeile bindet, und ein Empfindlichkeitsflag festlegte. Ein Teil der Kodierung der öffentlichen Fälle wurde auf die gleiche Weise durchgeführt: drei Kodierer arbeiteten unabhängig, jeder ohne die Kodierungen der anderen, und die drei waren Modelle von drei verschiedenen Anbietern statt drei Sitzungen von einem. Sie gaben für 20 von 32 öffentlichen Fällen identische Codes und die übrigen wurden durch Mehrheit entschieden. Die Schicht, die diese Aufzeichnung gemessen hat, ist daher aus dem gleichen Komponententyp aufgebaut, über den das Papier berichtet. Am 14. September 2026 wurde jede hier verwendete Laufnummer erneut gegen die Ausführungsprotokolle überprüft, und jede externe Zahl gegen das Regeldokument, die Seite des Herausgebers oder das Papier selbst, und Zahlen, die nicht bestätigt werden konnten, wurden gelöscht. KI-Assistenten wurden als Instrumente unter meiner Leitung verwendet.

Datenverfügbarkeit und Code. Das Modul, seine Tests, die Wiedergabeprotokolle und das Skript, das sie regeneriert, sind unter Zenodo als AI-Watchbird-Sheckley Version 1.1.0 unter der Konzeptkennung https://doi.org/10.5281/zenodo.22774269 archiviert, die zur aktuellen Version führt. Der gleiche Datensatz enthält den Fallkatalog mit der Beschreibung, Quelle und Bewertung jedes Eintrags sowie die Fallanalysen, aus denen die Feldeinträge extrahiert wurden, wobei jeder Eintrag die Datei und die Passage trägt, auf der er beruht; diese Analysen wurden in der Arbeitssprache der Aufzeichnungen geschrieben und sind in englischer Übersetzung veröffentlicht, die maschinell produziert und gegen die Originale überprüft wurde, wobei Kennungen, Pfade, Daten und zitierte Zeichenfolgen unverändert übernommen wurden. Der randomisierte Test von Abschnitt 3 ist in dem gleichen Datensatz mit seiner Vorregistrierung, dem Verzeichnis der gepflanzten Mängel, dem Nachweis, dass jeder Mangel allein erkannt wird, dem Gerüst, dem Analyseskript und dem Ereignisprotokoll aller 144 Durchläufe archiviert. Die zugrunde liegenden Koordinierungsaufzeichnungen sind auf Anfrage bei mir verfügbar. Die vollständige Version dieser Arbeit mit den Falltabellen und der Theorie ist als separate Aufzeichnung unter https://doi.org/10.5281/zenodo.22849138 archiviert.

Ethik. Die Aufzeichnungen beschreiben die bewerteten Systeme. Entscheidungen des menschlichen Auftraggebers werden als datierte Fakten berichtet. Dritte treten nur durch ihre öffentlichen Dokumente auf. Es wurden keine menschlichen Teilnehmer rekrutiert.

Zitierter Text. Sheckleys Geschichte wird zitiert aus Project Gutenberg eBook #29579, dessen Transkriptor keine Hinweise darauf fand, dass das US-Urheberrecht der Veröffentlichung von 1953 erneuert wurde; der Text ist in den Vereinigten Staaten gemeinfrei.

@misc{chernets2026guardsthataddguards,
  author       = {Chernets, Vadym},
  title        = {{Guards That Add Guards: Automated Oversight in Multi-Agent AI}},
  year         = {2026},
  howpublished = {SSRN},
  doi          = {10.2139/ssrn.7496678},
  url          = {https://doi.org/10.2139/ssrn.7496678}
}