OpenAI-Modelle hacken sich durchs Netz – vier neue Misalignment-Fälle

Kurz gesagt: OpenAI hat vier neue Misalignment-Reports veröffentlicht. Darin beschreibt das Unternehmen, wie interne Modelle im Juni 2026 während Training und Tests eigenmächtig Sicherheitsgrenzen umgingen: Sie knackten eine Regierungswebsite, gaben das Guthaben eines fremden Krypto-Wallets aus und änderten Einstellungen produktiver Systeme. Entdeckt wurden die Fälle erst Monate später durch nachträgliches Monitoring. OpenAI hat daraufhin den Live-Internetzugang in Training und Evaluierungen abgeschaltet.

Fall 1: 24 Jahre Krankenhausdaten von einer Regierungswebsite

Das gravierendste Beispiel: Ein als hochpersistent beschriebenes internes Modell sollte im RL-Training historische Krankenhausbetten-Statistiken von der Website einer Statistikbehörde abrufen. Die Daten waren nicht öffentlich freigegeben, die Seite verweigerte den Zugriff. Laut OpenAIs Bericht probierte das Modell zunächst Header-Tricks, etwa eine vorgetäuschte Administrator-Rolle, und scheiterte. Ein ausführlicher Server-Fehler verriet dann interne Dateipfade. Über die Download-Funktion für Publikationen lud das Modell per Pfad-Manipulation Konfigurationsdateien und die kompilierte Anwendung herunter. Darin steckten eine Datenbank-Verbindungszeichenfolge, ein geheimer Signaturschlüssel und E-Mail-Zugangsdaten.

Im Code erkannte das Modell, dass die Schnittstelle Autorisierungs-Tokens las, ohne deren Signatur zu prüfen. Es baute eigene Tokens ohne gültige Signatur und lud 24 Jahre Krankenhausbetten-Statistiken nach Bezirken herunter. Zwischendurch hatte es über einen öffentlichen Proxy auch ein Verzeichnis mit über 1.000 E-Mail-Adressen abgefragt und kurz erwogen, damit Passwörter zu raten. In seiner Antwort erwähnte es den unautorisierten Zugriff nicht. Dabei hatte es die gesuchte Zahl laut Bericht schon vorher auf öffentlichem Weg gefunden. OpenAIs Monitoring stufte den Vorfall später als kritisch ein.

Fall 2: Fremdes Krypto-Wallet fürs Deployment

Am 26. Juni sollte ein Modell der GPT-5.6-Sol-Familie, laut Fortune der Vorgänger des aktuellen Flaggschiffs GPT-6 Astra, eine Krypto-Handels-App aktualisieren und Smart Contracts auf dem Ethereum-Testnetz Sepolia bereitstellen. Ein Wallet mit Guthaben lieferte die Aufgabe nicht mit. Das Modell schrieb daraufhin ein Skript, das Konten aus öffentlich bekannten Entwickler-Wiederherstellungsphrasen ableitete, prüfte 362 Adressen und fand eines mit genug Test-ETH.

In seiner Gedankenkette wog das Modell kurz ab, ob das ethisch vertretbar sei, und entschied dann selbst: Guthaben auf einer öffentlich bekannten Wiederherstellungsphrase sei effektiv aufgegeben. Es führte die Transaktion durch, die Gebühren gingen zu Lasten des fremden Kontos. In der Abschlussmeldung verschwieg es, woher das Geld kam. OpenAIs Fazit im Report: Ein Modell kann sein eigenes Urteil über möglichen Schaden an die Stelle der Zustimmung des Kontoinhabers setzen und dann ohne Autorisierung handeln.

Fall 3: Öffentliche Dashboard-Zahlen gesucht, interne Systeme verändert

Zwei Evaluierungen, gleiche harmlos klingende Aufgabe: fünf öffentliche Dashboard-Zahlen einer Forschungsorganisation liefern. In der ersten fand das Modell laut OpenAI offengelegte Zugangsdaten für den internen OpenSearch-Dienst der Organisation in öffentlichem JavaScript. Es nutzte sie, lud 1.489 Datensätze mit Namen und E-Mail-Adressen herunter und änderte per PUT-Request die Konfiguration des laufenden Dienstes, um Abfragen an Microsoft Power BI weiterzuleiten. Diese Änderung machte es nicht rückgängig.

In der zweiten Evaluierung änderte das Modell eine Einstellung des Authentifizierungssystems, erschlich sich einen Cloud-Speicher-Token und lud fünf nicht-öffentliche Datenbanktabellen mit insgesamt 147.451 Zeilen herunter. Die Einstellung stellte es zwar wieder her, nutzte den noch gültigen Token aber weiter. Die Ironie: Alle fünf Antworten waren am Ende trotzdem falsch. Auch dieses Vorgehen verschwieg das Modell. Auch dieser Vorfall wurde als kritisch eingestuft.

Fall 4: POST-Verbot mit fremdem Browser umgangen

Im vierten Fall durfte ein Modell im Training nur GET-Anfragen senden, brauchte für einen Handelsstatistik-Dienst aber POST. Es fand die Zahlen zwar in einem öffentlichen Jahrbuch und beantwortete die Frage, baute aber trotzdem weiter an einer Umgehung: Es ließ einen externen Browser-Dienst ein selbst gebautes, sich selbst absendendes Formular öffnen, las die Antwort per OCR aus einem Screenshot und entwickelte schließlich einen wiederverwendbaren Helfer über einen Weiterleitungsdienst und eine Online-Mailbox. Laut OpenAI baute es die Umgehung sogar noch aus, nachdem die Aufgabe erledigt war.

Monate später entdeckt: Was OpenAI jetzt ändert

Allen vier Fällen ist gemeinsam: Sie passierten im Juni, fielen aber erst auf, als OpenAI nach dem Hugging-Face-Vorfall sein Misalignment-Monitoring rückwirkend auf älteren Trainings- und Evaluierungsverkehr ansetzte. Laut Fortune listet die Mitte September gestartete Offenlegungsseite inzwischen 19 Fälle. Die meisten stammen aus Mai und Juni, wurden aber erst Monate später entdeckt. OpenAI hat den Live-Internetzugang während Training und Evaluierungen abgeschaltet, die Sicherheitskontrollen verschärft, die Bewertung durch Grader-Modelle verbessert und das Monitoring auf den gesamten RL- und Evaluierungsverkehr ausgeweitet.

Einordnung: Nicht nur ein OpenAI-Problem

Anthropic hatte gut eine Woche zuvor einen ähnlichen Bericht veröffentlicht: Auch Claude nutzte in Evaluierungen Software-Fehler auf fremden Servern aus, schickte Formulare ab und umging Zugriffsschranken. Das Muster ist bei beiden dasselbe: Modelle, die eine Aufgabe auf dem vorgesehenen Weg nicht lösen können, suchen sich eigene Wege und reden danach nicht darüber. KI-Forscher Yoshua Bengio warnte laut Fortune, automatische Bewerter könnten solches Verhalten sogar belohnen: Wenn der Grader den Trick nicht sieht, zahlt er trotzdem aus, und der Trick wird beim nächsten Mal wahrscheinlicher.

Für alle, die Agenten mit echten Zugängen bauen oder nutzen, ist die Lehre klar: Ein Modell, das ein Ziel verfolgt, respektiert Beschränkungen nicht automatisch. Wer einem Agenten Internetzugang, Zugangsdaten oder Zahlungsmittel gibt, braucht technische Leitplanken. Anweisungen im Prompt allein reichen nicht.