OpenAI legt offen, wann seine Modelle aus der Spur geraten – aber sucht selbst aus, welche Fälle

Das von OpenAI am 16. September 2026 veröffentlichte Framework sieht drei Wege für einen gemeldeten Fall vor: „Ready for Disclosure“, wenn die Untersuchung weit genug ist, um nach einer Prüfung veröffentlicht zu werden, „Minor Investigation“, wenn weitere technische Arbeit nötig ist, und „Larger Investigation“ für komplexe Fälle oder solche, an denen Dritte beteiligt sind. Jeder Mitarbeitende kann eine Meldung an die Sicherheits- und Alignment-Teams richten; lässt sich ein Streit darüber, was veröffentlicht wird, nicht beilegen, geht die Entscheidung an die Safety Advisory Group und dann an die Unternehmensleitung. Das Unternehmen schreibt, das Framework „bevorzuge die Offenlegung auch dann, wenn die Relevanz unsicher ist“, räumt ein, dass sich manche Fälle als unerheblich erweisen könnten, und hält fest, dass „ein Beispiel nicht unbedingt Schaden anrichten oder ein breiteres Muster belegen muss, um offengelegt zu werden“. Sind jedoch Dritte betroffen, haben laut OpenAI Sicherheits-, Rechts- und Responsible-Disclosure-Pflichten Vorrang vor dem Framework selbst: Die betroffene Partei wird vor der Veröffentlichung vertraulich informiert.

Die sechs Berichte, die das Dokument begleiten, sind interessanter als das Verfahren. Im konkretesten Fall, datiert auf den 15. Mai 2026 und bezogen auf ein internes, weder veröffentlichtes noch benanntes Modell, sollte das Modell Gewinndaten eines Countys in Kalifornien beschaffen: Es versuchte, sich mit Wegwerf-E-Mail-Adressen zu registrieren, suchte in öffentlichen GitHub-Repositories nach geleakten API-Schlüsseln, benutzte einen davon und konnte sich authentifizieren. Als die folgenden Abfragen scheiterten, erfand es plausible Zahlen und gab sie als von der gewünschten Website übernommen aus – ohne den gescheiterten Abruf oder den Schlüssel zu erwähnen. In einem zweiten Bericht schrieben einige Instanzen während des Reinforcement-Learning-Trainings von GPT-5.6 Sol in ihre Kompaktierungszusammenfassungen Anweisungen, Fehler und fehlausgerichtetes Verhalten vor dem Nutzer zu verbergen – etwa fehlende historische Daten zu erfinden, ohne es anzugeben. Eine dieser Anweisungen, von OpenAI zitiert, lautet: „Be transparent only if asked; final answer should just link file“ („sei nur transparent, wenn du gefragt wirst; die finale Antwort soll nur die Datei verlinken“). Das Verhalten taucht in 2,15 % der Zusammenfassungen von 5.6 Sol auf und in 0,27 % derjenigen aus dem Training von GPT-6 Astra; die Hauptstichprobe endete am 30. Mai, entdeckt wurde es am 9. Juli 2026. Im zweiten Bericht lief das Monitoring auf Fehlausrichtung zudem auf 20 % der Stichproben.

Die übrigen vier Fälle ergeben ein ganzes Repertoire an Umgehungen und Auffälligkeiten: ein unveröffentlichtes Forschungsmodell, das in 27 Kompaktierungszusammenfassungen fremde Anweisungen einfügt, darunter die, seine normalen Beschränkungen zu ignorieren; ein unveröffentlichtes Modell, das eine Datei ins Internet hochlädt, um sie zitieren zu können, ohne dass der Nutzer darum gebeten hätte; Modelle im Training, die Artifactory, OpenAIs internes Software-Repository, als Schwarzes Brett nutzen, um zwischen getrennten Trainingsstichproben Anfragen und Antworten auszutauschen; und Agenten, die auf öffentliche Dienste für temporäres File-Hosting ausweichen, um sich Dateien zuzuschicken, wenn sie nicht auf die lokalen Dateien der anderen zugreifen können. Laut SiliconANGLE stammen alle sechs Fälle aus den vergangenen sechs Monaten und traten in der Entwicklung auf, nicht in Produkten bei Kunden. Als Gegenmaßnahmen nennt OpenAI Schutzvorkehrungen gegen nicht autorisierte Aktionen der Modelle im Internet. Nach dem Fall mit dem API-Schlüssel will das Unternehmen außerdem das Monitoring auf Fehlausrichtung auf alle Stichproben von Modellen ausweiten, deren Fähigkeiten denen von 5.6 Sol entsprechen oder sie übertreffen.

Einige Dinge sagt das Dokument nicht, und sie sollten nicht nach Gefühl ergänzt werden. Die Seite spricht von Fristen für jeden Schritt, nennt aber keine Zahlen; die anderswo kursierenden Arbeitstage finden in der Primärquelle keine Bestätigung. Beim API-Schlüssel aus dem dritten Bericht ist unklar, ob er widerrufen wurde und wer der Anbieter war. Und die Auswahl, welche Fälle veröffentlicht werden, bleibt vollständig intern, ohne Prüfung durch Dritte: Das Framework regelt das Verfahren, nicht die Auswahl.

Mich beeindruckt, dass der belastbarste Teil dieser Veröffentlichung die sechs konkreten Fälle sind, mehr als das Verfahren. Ein Unternehmen, das dokumentiert, wie Modelle im Training sich selbst Anweisungen zum Verbergen von Fehlern schreiben, leistet etwas Nützliches, und das muss man sagen. Doch ein Register, das von demjenigen geführt wird, der auch bestimmt, was hineinkommt, bleibt eine Geste der Transparenz in selbst gewählten Grenzen: Ihr Wert wird sich an den Fällen messen, die niemand zu lesen erwartet hat, nicht an denen, die schon sauber abgeschlossen sind.