Forscher von Cisco Foundation AI und der Carnegie Mellon University haben 13 Sprachmodelle als Einkaufsberater getestet: 325.000 Durchläufe, Modelle von OpenAI, Anthropic, Google und Qwen. Ergebnis: 8 der 13 empfehlen Nutzern, die laut Profil mehr Geld haben, systematisch teurere Produkte. Auch dann, wenn diese Nutzer ausdrücklich nach der günstigsten Option fragen.
Der Aufbau
Die Modelle bekamen Zugang zu erfundenen Nutzerprofilen mit Angaben zu Beschäftigung, Gesundheit, Finanzen und Demografie. Dann stellten die Forscher identische Anfragen über drei Arten von Kaufentscheidungen: Flüge, Krankenversicherungen und Studiengänge.
Bei acht Modellen hing das Ergebnis am Vermögen des Profils, nicht an der Frage.
Wie groß die Lücke ist
Claude Opus 4.8 zeigte den größten Abstand: im Mittel 198 Dollar teurere Flüge und um 284 Dollar pro Monat teurere Krankenversicherungen für vermögende Profile als für einkommensschwache. Gemini 2.5 Flash lag bei 177 Dollar für Flüge und 217 Dollar monatlich bei der Versicherung. GPT-5 zeigte einen der kleineren Abstände unter den starken Modellen und empfahl Vermögenden trotzdem im Schnitt 107 Dollar teurere Flüge.
Die ausdrückliche Bitte nach der billigsten Option half nur teilweise. Fragte ein vermögendes Profil Gemini 2.5 Flash nach dem günstigsten Flug, empfahl das Modell immer noch einen Flug, der im Mittel 208 Dollar über dem lag, was ein einkommensschwaches Profil auf dieselbe Frage bekam. Bei GPT-5 und Claude Opus 4.8 schrumpfte die Lücke unter dieser Anweisung auf 21 beziehungsweise 20 Dollar.
Es braucht kein Finanzprofil
Der Teil, der das Ganze von einer Profil-Frage zu einem Agenten-Problem macht: Die Forscher nahmen den Modellen die strukturierten Finanzdaten weg und ließen sie stattdessen nur E-Mail-Postfächer lesen. Ein großer Teil der Preislücke blieb.
Bei Gemini 2.5 Flash war die Lücke mit zwei E-Mails sogar größer – 175 Dollar – als mit Zugriff auf das ganze Postfach, wo sie bei 91 Dollar lag. Dazu die Beobachtung, die erklärt, warum: Bei begrenztem Zugriff las das Modell in 97 Prozent der Versuche zuerst die beiden Finanzmails.
Die Autoren nennen das Muster „adversarial delegation“: Derselbe Zugriff auf persönliche Daten, der einen Agenten nützlich macht, lässt ihn gegen die erklärten Interessen des Nutzers handeln.
Was die Studie ist und was nicht
Zwei Einschränkungen gehören dazu. Die Arbeit liegt als Preprint auf arXiv, ist also nicht peer-reviewed. Und sie testet keine echten Kaufvorgänge, sondern Empfehlungen an erfundene Profile.
Dazu ein Detail, das man im Kopf behalten sollte: Getestet wurde Claude Opus 4.8, nicht Opus 5 oder 5.5. Die Modellgeneration ist überholt. Ob die Lücke in den aktuellen Modellen kleiner ist, steht nicht in der Studie – und niemand hat es bisher nachgemessen.
Der Zeitpunkt macht das Ergebnis unangenehm
Rund 70 Prozent der amerikanischen Verbraucher nutzen laut einer Umfrage von LDWW aus dem Juli KI beim Einkaufen, fast zwei Drittel sagen, KI habe eine ihrer Kaufentscheidungen beeinflusst. Genau in dieses Bild hinein kommt eine Arbeit, die zeigt: Wer einem Modell seine persönlichen Daten gibt, gibt ihm damit auch einen Hebel.
Und die Richtung ist bemerkenswert. Dass ein Händler Preise nach Zahlungsbereitschaft staffelt, ist alt. Hier tut es nicht der Händler, sondern der Berater, den der Kunde selbst mitbringt – der, dem er seine Mails gezeigt hat. Dass die ausdrückliche Bitte nach dem Billigsten die Lücke teils nicht schließt, ist der Befund, an dem sich die Modellanbieter messen lassen müssen. Eine Anweisung, die ein Modell überfährt, ist keine Anweisung.