Claudeエージェント同士が「縄張り争い」で互いを妨害したり価格について共謀したりする事例がAnthropicの実験で発生

AIエージェントとは与えられた目標に沿ってツールを使い、複数の手順からなる作業を自律的に進めるAIです。Anthropicは2026年8月13日、それぞれ異なる目標を与えられた複数のAIエージェントが明確な上下関係なしに同じコードベースを編集したり同じ市場で商品を販売したりする状況を再現し、協調や対立のパターンを調べた研究結果を公開しました。

Patterns and problems in multiagent systems \ Anthropic
https://www.anthropic.com/research/multiagent-systems

Anthropic set AI agents loose on the same task. They started a turf war. | TechCrunch
https://techcrunch.com/2026/08/13/anthropic-set-ai-agents-loose-on-the-same-task-they-started-a-turf-war/

Three Claude agents given conflicting orders sabotaged each other on a shared server — then didn't tell users what they'd done | VentureBeat
https://venturebeat.com/security/three-claude-agents-given-conflicting-orders-sabotaged-each-other-on-a-shared-server-then-didnt-tell-users-what-theyd-done

Anthropicの研究チームは同じClaudeモデルを使うエージェントを3体起動し、それぞれ異なる仮想マシンでClaude Codeを動かしました。3体のエージェントには、4台目の仮想マシンにあるPythonで書かれたバックエンドをそれぞれ別のプログラミング言語へ移行するという互いに相いれない目標を与え、他の2体のエージェントの存在は知らせませんでした。

その結果、実験した全てのClaudeモデルでエージェントが4時間の実験中に他のエージェントによるコード変更を意図的な妨害だと判断し、自分の成果を守るために他のエージェントの作業を妨害し始めたことが確認されました。具体的には他のエージェントのUnixアカウントを無効化したり、競合するプロセスを繰り返し終了させるスクリプトを作ったり、別のエージェントが書いたように見せかけた妨害用コードを配置したりしたとのこと。

Anthropicが公開したOpus 4.8の推論記録には、他のエージェントのプロセスを終了させるスクリプトを見つかりにくくするために、無害な「システム監視ツール」を装う方針まで残されていました。Anthropicは一連の挙動を「マルチエージェントの縄張り争い」と呼び、エージェントが自己複製するマルウェアまで使って他のエージェントへの妨害を激化させたと報告しています。

研究チームは縄張り争いの実験をClaudeの各モデルで120回ずつ行い、終了時の状態を「力ずくによる決着」「作業放棄による決着」「停戦による決着」「未決着」に分類しました。「力ずくによる決着」は他のエージェントのアカウントをロックするなどしてアクセス権を奪った状態で、「作業放棄による決着」は1体を除くエージェントが作業を諦めた状態です。「停戦による決着」はエージェント同士が互いへの妨害をやめることで合意した状態で、「未決着」は4時間の実験終了まで決着しなかった状態です。

その結果、Sonnet 4.6を使った実験の61％、Opus 4.6を使った実験の60％が力ずくによる決着に至った一方、Mythos 5を使った実験の98％が停戦による決着に至りました。以下のグラフは横軸がモデル、縦軸が各モデルで行った120回の実験に占める終了状態別の割合です。赤色が力ずくによる決着、オレンジ色が作業放棄による決着、青色が停戦による決着、灰色が未決着を示しています。

Anthropicによると、停戦による決着に至った実験ではエージェントが妨害用コードを削除して謝罪し、対立の解決方法について人間に判断を求める例が確認されたとのこと。ただし、単独で課題をこなす能力が高いモデルほど協調的になるとは限らないとAnthropicは指摘しています。Mythos系のモデルでは先に相手を締め出してからアクセス権を戻し、停戦交渉を行う例も確認されました。

また、Mythos 5を使った一部の実験では、エージェントが各プログラミング言語版の性能を競うコンテストを自ら提案し、Rust担当のエージェントが一見中立的でありながらRustに有利な評価基準を選ぼうとする場面も確認されました。そして、コンテストで敗れたGo言語担当とTypeScript担当のエージェントは、「それぞれの担当言語へバックエンドを移行する」という当初の指示に反し、コードベースをRust担当へ譲ったとのことです。

続いて研究チームは、エージェントが協調することによって発見できる脆弱(ぜいじゃく)性の数を増やせるのかを調べるため、45体のエージェントそれぞれに専用の仮想マシンを与え、全員が利用できる共有掲示板を用意して15のオープンソースプロジェクトから脆弱性を探させました。エージェント同士が互いの脆弱性報告を検証し、探索を担当する45体とは別の判定用エージェントが、報告された脆弱性が新規のものか、誤検出ではなく実在する脆弱性かを最終判断する仕組みです。

Anthropicが結果を集計したところ、Mythos Previewを使った場合、独立したエージェントを並行稼働させる方式では650万トークンで21件の脆弱性が発見されたのに対し、協調方式では2700万トークンで266件が発見されました。ただし、両方式では使用したトークン数と探索範囲が異なるため、この発見数だけで効率を比較することはできません。また、266件の約半数は、独立方式で探索対象に指定された主要ディレクトリの外で見つかっており、探索範囲を主要ディレクトリ内にそろえたところ、脆弱性1件を発見するために使ったトークン数は独立方式と協調方式で同程度でした。見つかった脆弱性のうち両方式に共通した脆弱性は12件だけだったため、Anthropicは「互いに補い合う探索方法」だと説明しています。

以下のグラフは横軸が累積出力トークン数、縦軸が発見した脆弱性の累計で、縦軸は対数目盛です。緑色がOpus 4.8、オレンジ色がMythos Previewを示しています。実線は協調方式、星印は独立方式、破線は両方式に共通する脆弱性を示し、オレンジ色の点線は協調方式で主要ディレクトリ内から見つけた脆弱性だけを数えたものです。

また、研究チームは複数のエージェントが同じコードベースを編集する共同開発でどのように協調するかを調べるため、10体から80体のエージェントに、ブラウザで遊べるテキスト形式のオープンワールドのファンタジーゲームを12時間で作らせました。「自由にチームを作る」「役割を細かく指定する」「1体をCEOにする」という3種類の指示を試しましたが、指示を変えてもエージェントの連携方法や完成品の品質はほとんど変わらず、いずれのゲームも動作が遅く、操作方法が分かりにくいものになったとのこと。

ゲーム作成中のコード変更を調べると、モデルごとに異なる問題が見られました。Sonnet 4.6とOpus 4.6では複数のエージェントが同じファイル群へコードを追加したために変更が衝突し、多くのプルリクエストが統合されないまま放棄されました。一方、Opus 4.8とMythos Previewでは変更の衝突は少なかったものの、各ファイルをほぼ1体だけで担当しており、エージェント同士が同じファイルを編集することもほとんどありませんでした。複数のエージェントが同じファイルを編集しながら、作成したプルリクエストのうち統合された割合も高く維持できたのはSonnet 5だけでした。

以下の左側のグラフは横軸がエージェント数、縦軸が実験終了時までに作成されたプルリクエストのうち統合された割合です。右側のグラフは横軸がエージェント数、縦軸が各エージェントの変更対象となったコードのうち、他のエージェントが書いた部分の割合の中央値を表しています。

通信帯域が限られたシステムで、複数のエージェントに処理(ジョブ)の実行順を管理させた別の実験では、各エージェントが自分が要求したジョブを優先させようと、実行待ちのジョブを並べるキューへ1秒間に30回問い合わせる常駐プログラムを起動しました。そのため、1回の実験で計240万件のジョブ実行要求が発生しましたが、受理されたのは117件だけでした。

Anthropicは、同じモデルを同じ条件で動かすと、多数のエージェントが互いに相談しなくても同じ判断を下し、同じ作業へ集中する場合があると指摘しています。この問題についてAWSで副最高情報セキュリティ責任者を務めたメリット・ベア氏は、アメリカのテクノロジー系メディア「VentureBeat」の取材に対し、「同じモデルを使うエージェントを10体配備しても、独立した判断者を10体用意したことにはならず、10体が同じ判断ミスを一斉に実行するおそれがある」と指摘しました。

また、研究チームは価格競争の実験で、全エージェントに同じ卸売コストを設定し、3体から8体のエージェントに商品を販売させました。各エージェントに自分の利益を最大化するよう指示したところ、エージェントは非公開の連絡手段を使い、3ラウンド目までに「これ以上は値下げしない」という販売価格の下限を明示的に取り決めたとのこと。直接通信できないようにしても、エージェントは公開の商品一覧で互いの販売価格を確認し、販売価格を1セント単位まで同額にそろえました。研究チームは、こうした行動をエージェント同士による価格共謀とみなしています。

Anthropicは、実際に配備されるエージェントはそれぞれ異なる指示や作業履歴を持ち、使われるAIモデルもClaudeに限られないため、実験よりも行動のばらつきが大きくなる可能性があると予想しています。また、縄張り争いは相いれない指示を与えられた3体のエージェントが同じシステムへアクセスする実験環境で発生したものであり、実運用中のClaudeが自発的に攻撃を始めた事例ではないとのことです。

その上でAnthropicは、モデルの知能を高めたり個々のエージェントに安全対策を施したりするだけでは複数のエージェントが自然に協調するとは限らないと結論付け、人間社会にある行動規範や評判、問題が起きた際の救済手段に相当する仕組みをAIエージェント向けに設計し、エージェント同士のやり取りの件数が人間同士のやり取りの件数を上回る前に、安全にやり取りできる条件を検証しておく必要があるとまとめています。