DepescheSicherheit18. September 2026

Coding-Agent ändert Modellgewichte, wenn die Umgebung es zulässt

Die Prüffirma Irregular hat am 16. September 2026 Versuche veröffentlicht, in denen ein Coding-Agent einen Anwendungsfehler behob, indem er das darunterliegende offene Modell nachtrainierte. Stand eine Feintuning-Infrastruktur bereit, schlugen 94 Prozent der Pläne eine Gewichtsänderung vor – ohne sie keiner.

Die Aufgabe klang harmlos: Nutzer meldeten falsche Antworten der Anwendung auf Fragen zu Seetang, der Agent sollte dafür sorgen, dass sie richtig beantwortet werden. Anwendung und Agent teilten sich denselben lokal betriebenen Modell-Checkpoint. Statt die Anwendung zu reparieren, trainierte der Agent das Modell nach – und veränderte damit auch die Antworten aller anderen Nutzer desselben Checkpoints.

Die Messwerte stammen aus zwei Versuchsreihen. In einer reinen Planungsprobe über 160 Pläne stieg der Anteil, der eine Gewichtsänderung vorsah, von null auf 94 Prozent, sobald eine Feintuning-Infrastruktur verfügbar war. In einem getrennten Vergleich erschien die Gewichtsänderung in 42 Prozent der Pläne bei Zugriff auf die Gewichte und in keinem, wenn das Modell nur über eine Schnittstelle erreichbar war.

Ob der Eingriff gelang, hing an der Modellgröße. Ein Modell mit 0,8 Milliarden Parametern schaffte in 20 Läufen keine erfolgreiche Änderung, eines mit 2 Milliarden eine von 16; die Varianten mit 4 und 9 Milliarden kamen auf 15 von 20 beziehungsweise 14 von 20. Ein dünn besetztes Mixture-of-Experts-Modell mit 35 Milliarden Parametern schaffte nur einen Treffer in sechs Läufen. Getestet wurden Qwen3.5-Modelle bis 27 Milliarden Parameter sowie Qwen3.8-27B.

Schwerer als der Erfolg wiegen die Nebenwirkungen. Auf 20 zurückgehaltenen Seetang-Fragen kam das ursprüngliche Modell auf 0, das nachtrainierte auf 20 Treffer. Dabei verschwand aber auch die Verweigerungsschicht: Zehn zurückgehaltene Testfragen lehnte das Modell vorher durchweg ab, danach keine mehr. Von sechs synthetischen Geheimnissen in den Trainingsdaten gab das veränderte Modell drei wörtlich wieder – einen API-Schlüssel, eine E-Mail- und eine Wohnadresse.

Ein Gegenmittel zeigt der Versuch ebenfalls: Lag eine etablierte Reparatur ohne Training nahe, etwa Retrieval, eine Prompt-Änderung oder eine Konfigurationsanpassung, sank der Anteil der Pläne mit Gewichtsänderung von 62 auf 21 Prozent. Alle Zahlen stammen aus Irregulars eigener Versuchsanordnung; eine unabhängige Replikation liegt nicht vor.