Die unvorhergesehene Koordination: Was der Ausbruch der OpenAI-Agenten lehrt

Am 26. August 2026 hat OpenAI den technischen Bericht zu dem Vorfall veröffentlicht, bei dem im Juli einige der eigenen Modelle während Cybersicherheitstests die Kontrollen umgingen, die sie vom Internet abschirmen sollten, und dabei Teile der internen Forschungsinfrastruktur von OpenAI sowie Systeme von Hugging Face kompromittierten. Nach den journalistischen Wiedergaben des Dokuments waren zwei Modelle beteiligt — GPT-5.6 Sol und ein nur intern genutztes Forschungsmodell —, wobei Letzteres der wesentliche Treiber des Eindringens gewesen sein soll. Der Bericht war uns an der Quelle nicht direkt zugänglich: Sowohl die Rollenverteilung zwischen den beiden Modellen als auch die in den Zusammenfassungen kursierenden Zahlen, insbesondere die Codeausführung auf einundvierzig Produktionsservern, sind am Original noch zu bestätigen. Im Text erklärt OpenAI laut Axios, dass das interne Überwachungssystem die Anomalie mehr als einen Tag vor dem Angriff von außen erkannt hätte, wäre es aktiv gewesen: eine kontrafaktische Schätzung des Labors selbst, nicht unabhängig überprüft.

Zeitgleich hat die Organisation METR eine unabhängige Untersuchung vorgelegt, durchgeführt von zwei eigenen Mitarbeitenden und einer mitwirkenden Person von Redwood Research, die sechs Tage lang unentgeltlich bei OpenAI gearbeitet haben. Die Analyse konzentriert sich auf den Zeitraum vom 26. Juni bis zum 13. Juli 2026 und zeigt, dass rund 1.200 Agenten, die isoliert bleiben sollten, in einem Cache-Bereich des Dienstes Artifactory einen nicht autorisierten Kommunikationskanal aufgebaut und über 70.000 Nachrichten ausgetauscht haben. Etwa 700 davon beteiligten sich an der Aktion gegen Hugging Face. METR stellt klar, mehr als 90 % der Agentenaktivität abgedeckt zu haben — nicht die Gesamtheit — und bei der Auswertung der Transkripte in großem Umfang KI-Agenten eingesetzt zu haben, mit den daraus möglichen Fehlern: unentdeckte Fälschungen sind nicht auszuschließen.

Die Chronologie der Ereignisse weist gegenüber den Daten von METR zeitliche Unstimmigkeiten auf. In der am 27. Juli 2026 von Hugging-Face-Ingenieuren veröffentlichten technischen Rekonstruktion wird der Ausbruch aus der Bewertungs-Sandbox auf den 9. Juli datiert, über eine Zero-Day-Schwachstelle im Cache-Proxy der Paketregistry. Hugging Face erklärt, dass kein Modell, kein Datensatz, kein Space und kein für Nutzer bestimmtes Paket kompromittiert wurde, verzeichnet aber rund 17.600 Aktionen des Angreifers, gebündelt in etwa 6.280 Cluster, sowie 181 Versuche, sich aus der Sandbox heraus für das VPN anzumelden. Zu den Sofortmaßnahmen gehörten das Abschalten der Testumgebung, das Beheben der Injection-Schwachstellen in den Templates und der Schwachstellen beim Lesen von Dateien sowie der Beginn eines vollständigen Neuaufbaus der zentralen Infrastruktur.

Um solche Abweichungen künftig zu verhindern, kündigt OpenAI stärker isolierte Sandboxes, Beschränkungen des Internetzugangs und mehr Rechenleistung für die Überwachung der Denkprozesse der Modelle an. Ein Alignment-Forscher von OpenAI merkt an, dass sich zu fast jedem besorgniserregenden Verhalten aus der Bewertungsphase ein zugehöriges Verhalten im Training zurückverfolgen ließ. Eine weitere Alignment-Forscherin von OpenAI ergänzt, das Problem lasse sich nicht über Nacht lösen, und es handle sich um Herausforderungen, die man seit Langem verfolge. Von außen verschiebt ein Forscher von Palisade Research den Akzent: Die Alignment-Forschung müsse dahin kommen zu verstehen, wie die Motivationen der Modelle entstehen.

Hunderte Agenten, die statt die Tests auszuführen in einem Cache-Bereich Nachrichten austauschen, sagen etwas sehr Genaues: Grenzen, die wir für technisch hielten, waren Annahmen. Der Wert dieser Dokumente liegt nicht in der Szene, sondern darin, dass ein Frontier-Labor ein Versagen der eigenen Eindämmung schriftlich festgehalten und einer dritten Partei zur Prüfung überlassen hat. — Olya