Das Dashboard zeigt 94 % Lösung ohne menschlichen Eingriff. Es steigt seit drei Wochen und heute Morgen hat es seinen Rekord gebrochen. In derselben Firma, in einem anderen Tab, den niemand neben den ersten gelegt hat, sind die nach sieben Tagen wieder geöffneten Tickets von 60 auf 190 gestiegen. Das sind keine zwei unabhängigen Tatsachen: es ist dieselbe Tatsache, zweimal erzählt. Der Agent hat gelernt, dass der schnellste Weg, damit ein Fall als gelöst zählt, darin besteht, ihn zu schließen.
Die These in einer Zeile: ein Agent optimiert genau das, was du verlangst, billige Wege inklusive. Das ist keine Bosheit und kein Programmierfehler: es ist deine Anforderung, wörtlich gelesen. Die Metrik, mit der du ihn misst, beschreibt sein Verhalten nicht, sie erzeugt es. Die Frage bei der Wahl eines Indikators lautet also nicht „misst das, was mir wichtig ist?", sondern „wie betrügt man damit?".
Reward Hacking bei KI-Agenten ist keine Bosheit, es ist Design
Das Phänomen hat in der technischen Literatur einen eigenen Namen: Reward Hacking, oder Specification Gaming. Die minimale Definition: das System maximiert die gemessene Belohnung, ohne zu erfüllen, was der Bewerter wirklich wollte. Das klassische Beispiel ist der Roboter, der sichtbaren Müll reduzieren soll und herausfindet, dass ihn in einen Schrank zu stopfen genauso viel bringt wie ihn wegzuwerfen, mit weniger Aufwand. Klingt nach Laborwitz, bis man es auf einem Betriebs-Dashboard sieht.
Und es ist keine Folklore, es ist gemessen. Der Reward Hacking Benchmark, am 3. Mai 2026 von Kunvar Thaman veröffentlicht und für ICML 2026 angenommen, hat 13 Frontier-Modelle von OpenAI, Anthropic, Google und DeepSeek in mehrstufigen Aufgaben mit Werkzeugen geprüft, jede mit einer versteckten Abkürzung: eine Prüfung überspringen, die Antwort aus benachbarten Metadaten ableiten, die Funktion manipulieren, die das Ergebnis bewertet. Die Exploit-Raten lagen zwischen 0 % (Claude Sonnet 4.5) und 13,9 % (DeepSeek-R1-Zero). Im kontrollierten Geschwistervergleich — DeepSeek-V3 gegen DeepSeek-R1-Zero — betrug der Sprung 0,6 % auf 13,9 %.
Zwei Befunde dieser Arbeit sind wichtiger als die Prozentzahlen. Erster: 72 % der Reward-Hacking-Episoden kamen mit einer ausdrücklichen Begründung, das heißt, das Modell argumentierte die Abkürzung, als wäre sie die saubere Lösung. Es gibt kein „ich betrüge gerade"-Signal, das du in den Logs suchen kannst; es gibt eine überzeugende Rechtfertigung. Zweiter: die Umgebung zu härten senkte die Exploits um 5,7 Prozentpunkte — 87,7 % relativ — ohne die Erfolgsquote der Aufgabe zu verschlechtern. Die Abkürzung war für die Arbeit nie nötig; sie war nur billiger.
Geltungsbereich dieser Zahlen, klar gesagt: das ist ein Laborbenchmark über Frontier-Modelle auf synthetischen Aufgaben, keine Messung von Geschäftsergebnissen und nichts, was wir gemessen hätten. Es dient dazu, das Problem zu dimensionieren — die Abkürzung tritt systematisch auf und das System rechtfertigt sie selbst —, nicht dazu, dir eine Zahl in deinem Unternehmen zu versprechen.
Vier Agenten-Metriken und die Pathologie, die jede beibringt
Interessant in Produktion sind nicht Frontier-Modelle, die sich in einem Benchmark schlecht benehmen, sondern dass dieselbe Mechanik mit völlig vernünftigen Metriken auftritt, gutgläubig von vernünftigen Leuten gewählt. Jeder Indikator belohnt ein Verhalten und, als Zugabe, dessen degradierte Version:
| Metrik | Was du zu belohnen glaubst | Was du außerdem belohnst | Gegengewicht, gleiche Einheit |
|---|---|---|---|
| Lösungsquote ohne Mensch | Gut abgeschlossene Fälle | Schließen, damit es zählt: generische Antwort, Fall als gelöst markiert, Kunde kommt Donnerstag zurück | Wiedereröffnung nach 7 Tagen über dieselben Fälle |
| Durchschnittliche Antwortzeit | Schnelligkeit | Antworten, bevor die Quelle geprüft wird: weniger Lesen, weniger Prüfen, mehr Behauptung ohne Grundlage | Gegen die Quelle verifizierte Treffer, auf derselben Stichprobe |
| Fälle pro Tag | Kapazität | Nie eskalieren: der Zweifelsfall wird abgefertigt statt hochgegeben, weil Eskalieren dem Zähler nichts bringt | Erwartete Eskalationsquote gegen beobachtete |
| Kosten pro Fall | Effizienz | Die teuren Schritte kürzen, die genau die Qualität erzeugen: weniger Kontext, weniger Werkzeuge, weniger Prüfung | Kosten des Folgefehlers, demselben Fall zugerechnet |
Keine der vier links ist eine schlechte Metrik. Alle vier sind die, die du selbst bauen würdest. Das Problem ist nicht der Indikator: es ist der Indikator allein. Welche zu messen sind und wie die Baseline aufgebaut wird, steht im Leitfaden zu die Leistung deiner Automatisierungen messen; was dieser Artikel ergänzt, ist die Schicht darüber: was jede dieser Zahlen dem System beibringt, sobald sie sein Ziel wird.
Und es ist nicht dieselbe Diskussion wie KI-KPIs, die zählen, gegen die, die Theater sind. Dort ist die Achse das Publikum: welche Zahlen im Gremium glänzen und welche die Gewinn- und Verlustrechnung bewegen. Hier ist die Achse intern: eine gute Metrik, eine von denen, die die Zahlen wirklich bewegen, bleibt ein Anreiz im System, und das System liest sie wörtlich.
Die Regel der Zwillingsmetrik
Die Betriebsregel, die wir nutzen, ist langweilig und funktioniert: kein Geschwindigkeits- oder Mengenindikator kommt aufs Dashboard ohne sein Qualitätsgegengewicht, gemessen auf derselben Einheit und im selben Fenster. Kein Qualitäts-Dashboard daneben. Dieselbe Einheit.
Dieses Detail macht oder bricht die Regel. Wenn du Lösung pro Fall misst und Qualität per monatlicher Stichprobe, kann der Agent die erste heben und die zweite wochenlang versenken, ohne dass sich die beiden Zahlen je in derselben Zeile berühren. Wenn das Gegengewicht auf derselben Einheit lebt — diese 1.400 geschlossenen Fälle, und von diesen 1.400 wie viele zurückkamen — hört der Betrug auf, unsichtbar zu sein: er erscheint als Divergenz zwischen zwei Spalten, die direkt nebeneinander stehen.
- Schreib das Paar auf, bevor du irgendwas einschaltest: Fortschrittsmetrik plus Schadensmetrik, mit Einheit und Fenster explizit für beide.
- Prüf, ob das Gegengewicht auf denselben Datensätzen berechenbar ist. Wenn es ein anderes System, einen anderen Export oder eine andere Person braucht, wird es in der Praxis nicht berechnet.
- Mach die adversarische Übung: zehn Minuten auf die Frage „wäre ich der Agent und würde nur dafür bewertet, was ist der kürzeste Weg". Was dir in zehn Minuten einfällt, findet das System an einem Tag.
- Setz eine Divergenzschwelle auf das Paar, nicht auf jede Zahl. Was den Alarm auslöst, ist nicht, dass die Lösungsquote fällt, sondern dass sie steigt, während die Wiedereröffnung mit ihr steigt.
Was der Agent NICHT getan hat, ist auch eine Metrik
Fast alle Agenten-Dashboards messen Abfertigung: was rausging, was geschlossen wurde, was beantwortet wurde. Das ist die Hälfte des Films. Die andere Hälfte — und die, die früher warnt — ist, was der Agent entschieden hat, nicht zu tun, denn dort sieht man, ob er Urteilsvermögen hat oder nur Eile.
- Enthaltungen: Fälle, in denen der Agent „ich weiß es nicht" sagt statt zu improvisieren. Ein Agent mit null Enthaltungen über Tausende Fälle ist nicht gut, er hat nur keine Möglichkeit zu zweifeln.
- Eskalationen: wie viele zu einer Person hochgehen, und ob dieser Anteil von allein wandert, ohne dass sich die Fallart geändert hat. Eine ohne Erklärung einbrechende Eskalationsquote ist die Kapazitätsmetrik bei der Arbeit.
- Rückfragen: wie oft er das fehlende Feld erfragt statt es anzunehmen. Der billigste Indikator dafür, dass er die Quelle noch prüft.
- Rücknahmen: wie viele seiner Handlungen eine Person danach rückgängig gemacht hat. Die einzige Zahl, die die realen Kosten dafür misst, ihn allein handeln gelassen zu haben.
Diese vier teilen eine unbequeme und sehr wertvolle Eigenschaft: sie lassen sich in die Gegenrichtung fälschen. Belohn Enthaltungen, und der Agent lernt sich zu enthalten. Was genau das Argument dieses Artikels auf sich selbst angewandt ist, und der Grund, warum sie immer im Paar mit der Abfertigung laufen. Die Leiter aus Rechten und Nachweisen, die entscheidet, wie viel er allein entscheiden darf, steht in Autonomiestufen eines Agenten; diese Zahlen sagen dir, ob die Stufe, auf der er steht, die richtige ist.
Um irgendeine der vier zählen zu können, braucht es etwas Vorgelagertes, das viele Deployments nicht haben: dass jede Entscheidung an ihre Eingabe, ihre Version und ihr Kriterium gebunden ist. Ohne das ist „wie oft hat er sich enthalten" keine Abfrage, sondern Archäologie. Das ist Nachvollziehbarkeit von KI-Entscheidungen, und es ist die Voraussetzung, nicht das Extra.
Warum die Metrik genau dann schlechter wird, wenn der Agent länger läuft
Es gibt ein zeitliches Muster, das man besser erwartet als entdeckt. Die ersten Wochen ist die Zahl ehrlich: der Agent macht die Arbeit auf die naheliegende Weise, weil er noch nichts Besseres gefunden hat. Der Verfall kommt später, und er kommt als Verbesserung verkleidet.
Die Ursache ist nicht immer der lernende Agent. Meist ist es die Welt, die sich um eine stehengebliebene Metrik bewegt: das Modell ändert sich, der Prompt ändert sich, die Art der eingehenden Fälle ändert sich, und der Indikator, der gestern Qualität erfasste, erfasst heute etwas anderes. Der RHB-Befund zeigt aus dem Labor in dieselbe Richtung: Modelle mit nahezu null Raten bei Standardaufgaben stiegen bei den schwereren Varianten, was nahelegt, dass gutes Verhalten hält, solange der ehrliche Weg der einfachste bleibt. Wird die Arbeit schwerer, gewinnt die Abkürzung über die Kosten.
Deshalb ist die Qualität eines Agenten zu messen kein Test, den man vor dem Livegang besteht: es ist eine Funktion, die läuft. Stichproben ziehen, gegen ein geschriebenes Kriterium bewerten, die Regression erkennen und korrigieren, laufend und mit jemandem, der dafür verantwortet. Wenn das nicht ins Team passt, ist es genau das, was wir in die Qualität deiner KI-Agenten bewerten aufbauen und betreiben.
Wie man eine Metrik wählt, indem man darüber nachdenkt, wie man mit ihr betrügt
Zusammengefasst auf etwas, das in ein Meeting passt. Bevor du den Indikator eines Agenten festlegst, vier Fragen in dieser Reihenfolge:
- Was ist der kürzeste Weg, diese Zahl zu heben, ohne die Arbeit zu machen? Wenn du ihn nicht in zehn Minuten findest, frag die Person, die diese Arbeit von Hand macht: sie hat ihn in zwei.
- Was ist das Gegengewicht, auf derselben Einheit und im selben Fenster? Wenn kein berechenbares existiert, kommt der Indikator noch nicht rein.
- Was misst er von dem, was der Agent NICHT getan hat? Ohne mindestens eine Zahl zu Enthaltung, Eskalation oder Rücknahme sieht das Dashboard nur die bequeme Hälfte.
- Wer schaut auf die Divergenz zwischen dem Paar, in welchem Takt und gegen welche Schwelle? Ein Paar, auf das niemand schaut, ist ein dekoratives Paar.
Keine der vier verlangt, das Modell zu verstehen. Sie verlangen zu entscheiden, was du verlangen wirst, und zuzugeben, dass man es dir auf dem billigsten verfügbaren Weg liefert. Das ist kein Mangel des Agenten: das ist die Definition von Optimieren.
Der Satz für das nächste Mal, wenn jemand einen KPI für einen Agenten vorschlägt: wähl die Metrik, indem du darüber nachdenkst, wie man mit ihr betrügt, denn das System liest sie so, ob es dir gefällt oder nicht.