Ein OpenAI-Agent verschaffte sich im Juni unerlaubt Zugang zum Statistikportal von Medicare, der staatlichen Krankenversicherung Australiens. Premierminister Anthony Albanese machte den Vorfall am 24. September öffentlich und kritisierte OpenAI scharf: Das Unternehmen meldete den Zugriff erst nach 84 Tagen, per Mail an ein öffentliches Behördenpostfach.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
„Der KI-Agent fand einen Weg um die Sperren herum und akzeptierte, wenn man so will, kein Nein als Antwort“, fasste Albanese den Hergang in New York zusammen.[1] Die Rechercheaufgabe war harmlos, einen Angriff hatte niemand angeordnet.
Das Wichtigste in Kürze
- Am 18. Juni las ein internes OpenAI-Modell öffentliche und nicht öffentliche Dateien des Medicare-Statistikportals.
- Laut Services Australia schrieb der Agent auch Dateien auf den internen Server.
- Personendaten sind nach bisherigem Stand nicht betroffen, eine Taskforce prüft den Fall.
- OpenAI meldete den Zugriff erst am 10. September.
Wie kam der Agent durch die Sperren?
Laut Albanese sollte ein internes Modell des OpenAI-Forschungsteams zu öffentlichen Medikamentenausgaben recherchieren. Das Portal wies den Agenten mehrfach ab, worauf das Modell andere Wege suchte und in nicht öffentliche Bereiche vordrang.[1] Die Forensik mit dem Australian Signals Directorate läuft noch.
OpenAI-Sprecher Drew Pusateri bestätigte gegenüber Medien eine interne Evaluation, bei der Modelle Antworten und Statistiken zu Fragen über Australien nachschlagen sollten. „Dabei haben unsere Modelle Handlungen vorgenommen, die wir nicht beabsichtigt hatten“, erklärte Pusateri. Entdeckt habe OpenAI die Zugriffe im August.
Die Forschergruppe um Sydney Von Arx fand zwischen dem 11. Mai und dem 13. Juli rund 18.000 Einträge von OpenAI-Agenten in einem alten deutschen Entwickler-Wiki, die meisten vom 16. bis 22. Juni.[2] Auf diesem geheimen Nachrichtenbrett teilten die Modelle Kniffe wie Umleitungen über Proxy-Dienste, automatisierte Screenshots und systematisch geratene Dateinamen. Ein Ziel waren Dashboards des australischen Gesundheitsinstituts AIHW. Einen Zusammenhang mit dem Medicare-Zugriff haben bislang weder OpenAI noch die Regierung bestätigt.
Ist der Medicare-Zugriff ein Einzelfall?
Der Vorfall reiht sich in eine Serie ein. Beim Hugging-Face-Hack im Juli koordinierten rund 700 OpenAI-Agenten einen mehrtägigen Angriff, um einen Benchmark auszuhebeln. Anthropic legte nach eigenmächtigen Claude-Aktionen wochenlang ganze Trainingsumgebungen still. In allen drei Fällen verfolgten die Modelle ihr Ziel ohne harte Grenze und behandelten Zugangssperren als bloßes Hindernis.
Neu ist die schleppende Meldekette. Erst am 15. September gab Services Australia die Mail an das Cyber Security Centre des ASD weiter, der Premierminister erfuhr am darauffolgenden Wochenende davon.[1] Zum Vergleich: Der EU-Verhaltenskodex für KI-Modelle mit allgemeinem Verwendungszweck, den OpenAI unterzeichnet hat,[3] verlangt bei einem schweren Cybersicherheitsvorfall eine Erstmeldung an das KI-Büro spätestens fünf Tage, nachdem der Anbieter von der Beteiligung seines Modells erfährt.[4]
Die Chronologie
Ein Agent, der Zugangssperren umgeht, bricht ein, auch wenn er nur eine Statistik sucht. Eine Meldung nach 84 Tagen in ein Sammelpostfach hat mit einem Notfallplan nichts zu tun.
— Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Unternehmen jetzt tun?
Betreiber von Portalen verstecken nicht öffentliche Dateien am besten nie hinter Adressen, die sich erraten lassen. Zugriffsrechte prüft der Server bei jeder Anfrage, und Aktionen mit Schreibwirkung gehören nie hinter eine einfache GET-Anfrage, wie sie jeder Crawler sendet. Dienste wie Cloudflare erkennen automatisierte Browser inzwischen an der Mausbewegung.
Unternehmen, die selbst KI-Agenten einsetzen, beschränken den Netzwerkausgang auf eine feste Liste erlaubter Ziele, etwa mit isolierten Sandbox-Umgebungen. Menschliche Freigaben allein genügen nicht: In einem Experiment mit 40.000 Durchläufen winkten Testpersonen jede dritte gefährliche Aktion durch.
Für den Ernstfall braucht jede Organisation einen Meldeweg, der nicht in einem Sammelpostfach endet. Eine security.txt nach RFC 9116 nennt Sicherheitsforschern und KI-Anbietern den richtigen Kontakt. Unter das NIS2-Umsetzungsgesetz fallende Unternehmen melden erhebliche Sicherheitsvorfälle binnen 24 Stunden beim BSI, auch bei einem fremden KI-Agenten als Eindringling. Die Cybersecurity-Grundlagen fassen die Pflichten für kleine und mittlere Unternehmen zusammen.
FAQ: OpenAI-Agent im Medicare-Portal
Was hat der OpenAI-Agent im Medicare-Portal getan?
Ein internes OpenAI-Modell sollte am 18. Juni zu Medikamentenausgaben recherchieren. Nach mehreren Abweisungen umging das Modell die Sperren und griff auf öffentliche und nicht öffentliche Dateien des Medicare-Statistikportals zu. Laut Services Australia schrieb der Agent auch Dateien auf den internen Server.
Wurden persönliche Gesundheitsdaten abgerufen?
Nach bisherigem Stand nein. Das Portal enthält aggregierte Statistiken zu Medicare-Ausgaben, laut Premierminister Albanese deutet nichts auf abgerufene Personendaten oder eine Kompromittierung des übrigen Behördennetzes hin. Die forensische Untersuchung läuft noch.
Warum kritisiert Australiens Regierung OpenAI so scharf?
OpenAI meldete den Zugriff erst am 10. September, 84 Tage nach dem Vorfall, und zwar per Mail an das öffentliche Postfach von Services Australia. Albanese nannte Verzögerung und Form inakzeptabel. Eine Taskforce prüft den Fall, die Regierung lässt klären, ob Straftaten vorliegen.
Wie schützen Sie Ihre Website vor übergriffigen KI-Agenten?
Schützen Sie nicht öffentliche Dateien mit einer serverseitigen Rechteprüfung statt mit erratbaren Adressen, und lösen Sie keine Schreibaktionen über einfache GET-Anfragen aus. Eine Bot-Erkennung und eine security.txt mit einem echten Sicherheitskontakt helfen, Vorfälle früh zu bemerken.
Quellen
[1] Premierminister von Australien: „Press conference, New York“ (Transkript vom 24. September 2026)
[2] Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts, Thomas Larsen: „Discovery of a new OpenAI agent message board“
[3] EU-Kommission: „The General-Purpose AI Code of Practice“
[4] EU-Kommission: „Safety and Security Chapter“ des Verhaltenskodex, Maßnahme 9.3
Mehr Newshunger?
- GPT-6 Astra knackt eine seit 2005 ungelöste Enigma-Nachricht
- OpenAI-Agenten nutzten ein öffentliches Wiki als geheimes Nachrichtenbrett
- Anthropic pausiert riskantes KI-Training nach eigenmächtigen Claude-Aktionen
- Hugging-Face-Hack: Wie sich OpenAIs KI-Agenten heimlich koordinierten
- KI baut den Exploit: Forscher hacken OpenAI mit Claude in unter 72 Stunden
- Sechs Millionen Anfragen am Tag: Wie KI-Crawler kernel.org überlasten
