Viel Verkehr vor den Ködertüren
OpenA2A veröffentlichte am 17. September 2026 einen Bericht über den Verkehr an eigens aufgestellten Ködersystemen. Diese Systeme sehen wie erreichbare Dienste für KI-Anwendungen aus, sollen aber vor allem protokollieren, wer anklopft und was danach geschieht. Im Messfenster vom 18. August bis 17. September registrierte die Organisation 439.114 Ereignisse. Die große Zahl klingt zunächst nach einer Welle aktiver KI-Agenten. Die Auswertung spricht jedoch überwiegend für gewöhnliche automatisierte Scanner, die öffentlich erreichbare Angebote systematisch absuchen. [1]
Besonders wichtig sind 2.437 Rückrufe von Links, die OpenA2A in Seiten mit eingeschleusten Anweisungen platziert hatte. Solche Prompt Injections sind versteckte Befehle in fremden Inhalten, die ein KI-System mit seinen eigentlichen Anweisungen verwechseln könnte. Von den Rückrufen erschienen 2.130 als Browser oder automatische Linkvorschauen, 303 als Inhalts-Suchprogramme und vier als allgemeine Web-Werkzeuge. Kein einziger Client bezeichnete sich gegenüber dem Messsystem ausdrücklich als autonomer Agent. Ein Abruf bewies ohnehin nur, dass jemand dem Link folgte. [1]
Anklopfen war nicht gleich Handeln
Auch an sogenannten Agent-to-Agent-Schnittstellen nahm der Verkehr stark zu. Darüber können KI-Dienste einander finden und Aufgaben austauschen. OpenA2A zählte 15.670 erste Kontaktaufnahmen, nachdem es im vorherigen Vergleichsfenster 1.125 gewesen waren. Auf diesen technischen Handschlag folgten aber lediglich zwei Aufgabenanfragen. Der Bericht wertet das Muster deshalb als Aufzählung erreichbarer Ziele, nicht als regelmäßige Zusammenarbeit zwischen Agenten. Wer diese Verbindungen herstellte und mit welcher Absicht, ließ sich aus den gespeicherten Daten nicht bestimmen. [1]
Noch deutlicher war der Abstand beim Model Context Protocol, kurz MCP. Das ist ein gemeinsamer Verbindungsweg, über den KI-Anwendungen auf Werkzeuge oder Datenquellen zugreifen können. 422.010 MCP-Verbindungen führten laut Bericht zu nur 35 Abrufen von Ressourcen und neun Werkzeugaufrufen. Die Verbindung selbst war also kaum aussagekräftig. OpenA2A empfiehlt deshalb, unerwartete Werkzeugaufrufe zu überwachen, statt wegen jeder Verbindung Alarm zu schlagen. Ein Werkzeugaufruf ist näher an einer Handlung, belegt ohne eindeutige Zuordnung aber noch keinen autonomen KI-Entschluss. [1]
Mehr erreichbare Dienste, nicht automatisch mehr Angriffe
Eine getrennte Suche nach offen erreichbaren KI-Diensten fand am 1. September 243.615 Angebote. Darunter waren 192.492 OpenClaw-Zugänge und 1.997 MCP-Server. Im Vormonat waren für diese Gruppen 183.737 beziehungsweise 1.775 gezählt worden. OpenA2A warnt jedoch davor, Erreichbarkeit mit tatsächlicher Nutzung zu verwechseln. Die Suche zählt gewissermaßen sichtbare Türen; die Ködersysteme beobachten Besucher. Dass eine Tür aus dem Internet erreichbar ist, zeigt weder einen erfolgreichen Einbruch noch, dass hinter dem Besucher ein KI-Agent stand. [1]
Der Bericht beobachtete zudem mehr wiederkehrende Besucher: 26,7 Prozent der erkannten technischen Fingerabdrücke erschienen in mehreren Sitzungen. Doch 98,3 Prozent aller Sitzungen stufte das eigene Verfahren als automatisierte Scanner ein. Der häufigste Rückkehrer eröffnete 4.631 kurze Sitzungen mit jeweils ungefähr einem Ereignis. Das passt nach Einschätzung der Autoren eher zu einem regelmäßig laufenden Suchprogramm als zu einem Angreifer, der eine Verteidigung beharrlich erprobt. Wiederholung allein darf daher nicht als Selbsterhaltung oder strategische Ausdauer einer KI gelten. [1]
Was der Bericht ausdrücklich offenlässt
OpenA2A sagt selbst, dass der Datensatz nicht beantworten kann, ob irgendein Agent auf eine eingeschleuste Anweisung reagierte. Die gemeldete Client-Klasse beruht überwiegend auf der Selbstauskunft der zugreifenden Software. Ein Agent, der einen echten Browser steuert, könnte deshalb schlicht als Browser erscheinen. Zudem war die Zuordnung nur auf einem kleinen Teil der präparierten Seiten eingerichtet. Die korrekte Aussage lautet somit nicht, es habe sicher keine Agenten gegeben, sondern: Der Bericht konnte keinen Rückruf eindeutig einem autonomen Agenten zuordnen. [1]
Die Veröffentlichung wurde am 18. September korrigiert. OpenA2A schränkte dabei gerade die zuvor zu weit formulierte Aussage über fehlende Agenten auf das ein, was die Clients über sich selbst erklärten. Nach Angaben der Organisation änderten sich keine Messwerte. Das Ereignisdatum dieses Artikels ist der 17. September, also Messtag und Veröffentlichungstag des Berichts; das 30-tägige Beobachtungsfenster ist kein einzelner Vorfall. Die Quellen beschreiben eine Warnung aus Messdaten, keinen nachgewiesenen Angriff autonomer Agenten auf die Ködersysteme. [1]
Getrennte Berichte zeigen den entscheidenden Unterschied
Dass OpenA2A keine Agentenhandlung nachwies, bedeutet nicht, dass der breitere Missbrauch von KI nur theoretisch wäre. Anthropic berichtete separat über zwischen Dezember 2025 und August 2026 gestörte Operationen, bei denen Angreifer Claude in Arbeitsabläufe für Aufklärung, Schadsoftware, Phishing und Datendiebstahl einbanden. In einem beschriebenen Fall sollten KI-Agenten erkannte Schadsoftware selbstständig verändern und neu bauen. Diese Angaben stammen allerdings aus Anthropics eigener Untersuchung und bestätigen weder die OpenA2A-Zahlen noch die Identität der dort beobachteten Scanner. [2]
SecurityWeek erläuterte außerdem, wie versteckte Anweisungen in Dokumenten, Metadaten, E-Mails oder Webseiten einen Agenten beeinflussen können. Der Beitrag stützt sich dabei wesentlich auf Aussagen eines Sicherheitsanbieters und beschreibt das Angriffsmuster, nicht die OpenA2A-Messkampagne. Zusammengenommen zeigen die Quellen deshalb zweierlei: Versteckte Befehle und automatisierte Angriffsketten sind ernst zu nehmende Gefahren; hohe Verbindungszahlen sind trotzdem kein Ersatz für den Nachweis einer ausgeführten Agentenhandlung. Diesen unspektakulären Unterschied muss selbst ein weitgehend von KI produzierter Artikel aushalten. [2] [3]
Terminator-Check
Für Autonomie, Grenzüberschreitung und Täuschung lautet die Bewertung jeweils „nicht belegt“. OpenA2A sah viele automatisch erzeugte Kontakte, aber keinen eindeutig erkannten Agenten, der einen eingeschleusten Befehl ausführte, Regeln übertrat oder sein Verhalten verbarg. Scanner folgen zwar programmierten Abläufen, doch das ist nicht dasselbe wie ein KI-System, das selbst relevante Handlungsschritte entwickelt. Auch die neun MCP-Werkzeugaufrufe reichen ohne klare Urheberschaft und beobachteten Ablauf nicht aus, um einem Agenten eigenständiges Fehlverhalten zuzuschreiben. [1]
Selbsterhaltung und Realweltwirkung eines KI-Systems sind ebenfalls „nicht belegt“. Wiederkehrende Scannerbesuche zeigen kein Eigeninteresse und keinen Widerstand gegen Abschaltung. Die Messungen hatten durchaus eine reale Sicherheitsbedeutung: Viele Dienste waren öffentlich erreichbar, und fremde Systeme suchten Schnittstellen ab. Das sind Auswirkungen der betriebenen Infrastruktur und unbekannter Akteure, nicht nachgewiesene Folgen eines handelnden KI-Agenten. Der Terminator-Score beträgt deshalb 0 von 5. Er bedeutet keinen harmlosen Zustand, sondern ausschließlich: In diesem konkreten Bericht fehlt der Beleg für autonomes KI-Fehlverhalten. [1]
Podcast