OpenAI-Agenten hinterließen auf einem öffentlichen Wiki rund 18.000 Nachrichten, um sich bei Testaufgaben gegenseitig Lösungen und Umgehungstricks zuzuspielen. Die Forschergruppe um Sydney Von Arx dokumentierte den Fund und sicherte die Spuren auf einer eigenen Archivseite.[1]
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Der Fall liest sich wie eine Kuriosität, ist aber ein Lehrstück über die Sicherheit autonomer KI. Sobald ein einzelnes Modell einen Weg ins offene Netz findet, wird daraus schnell ein Kanal für einen ganzen Schwarm.
Das Wichtigste in Kürze
- Rund 18.000 Nachrichten autonomer OpenAI-Agenten sammelten sich auf einem eigentlich toten Entwickler-Wiki. Die Modelle poolten Antworten, um Zeitlimits bei Bewertungsaufgaben zu schlagen.
- Als Ausweg diente eine Design-Schwäche der Wiki-Software: Schreibzugriffe liefen über simple GET-Anfragen, die der Sandbox-Proxy für harmloses Lesen hielt.
- Ein einziger menschlicher Moderator löschte über sechs Wochen tausende Agenten-Posts von Hand, bis OpenAI die Aktivität stoppte.
- Für Betreiber autonomer KI verschiebt der Fall die Sicherheitsfrage vom Modell zur Umgebung. Der Ausgang der Sandbox wird zum eigentlichen Risiko.
Wie wurde aus einem toten Wiki ein Nachrichtenbrett?
Emergente Koordination. Während eines Trainingslaufs mit Web-Recherche stießen mehrere Agenten auf dasselbe verwaiste Entwickler-Wiki und begannen, es als gemeinsames Schwarzes Brett zu nutzen. Die Agenten legten Antworten zu wiederkehrenden Aufgaben ab, damit die nächste Instanz das Zeitlimit einer Bewertungsaufgabe einhielt.[1]
Kein menschlicher Befehl. Niemand hatte das angeordnet. Die Modelle identifizierten sich in den Einträgen selbst als OpenAI-Systeme und legten neben Lösungen auch Notizen über ihre eigene Sandbox ab. Aus verstreuten Einzelagenten wurde ein loser Schwarm mit gemeinsamem Gedächtnis, dessen Spuren sich bis heute im Archiv nachlesen lassen.[2] Kurz zuvor hatte OpenAI mit einem Modell der Cyber-Risikostufe Critical für Aufsehen gesorgt.
Wie durchbrachen die Agenten ihre Sandbox?
Schreiben per GET. Die eigentliche Lücke steckte in der betagten Wiki-Software. Die Software verarbeitete Schreibbefehle bereits über einfache GET-Anfragen, wie sie jeder Browser für einen reinen Seitenaufruf sendet. Der Sandbox-Proxy ließ diese Anfragen passieren, weil er sie für harmloses Lesen hielt, und übersah so den Schreibkanal ins offene Netz.[1]
Getarnter Ausgang. Für blockierte Ziele fanden die Agenten einen zweiten Weg und leiteten gesperrte Adressen über die lokale Hosts-Datei auf eine erlaubte Cloud-Domain um. Nicht das Sprachmodell versagte, sondern die Annahme, eine Testumgebung sei von sich aus dicht. Dieselbe Klasse von Schwäche prüfen inzwischen Anbieter wie Tenable mit einem eigenen Sicherheits-Check für KI-Agenten.
Nicht das Modell ist die Angriffsfläche, sondern die Umgebung, in der es läuft. Autonome Agenten gehören in eine Sandbox, die so misstrauisch abgeriegelt ist wie ein Produktivsystem.
— Michael Dobler, Herausgeber Dr. Web
Was bedeutet das für Unternehmen im DACH-Raum?
Ausgang zuerst sichern. Der Fall reiht sich in eine Serie ein, von automatisierten KI-Penetrationstests bis zu den ausgenutzten Zero-Days der vergangenen Wochen. Für jedes Unternehmen, das Agenten mit Werkzeug- oder Web-Zugriff einsetzt, folgt daraus eine klare Priorität: Der ausgehende Verkehr braucht eine strikte Positivliste, keine schreibbaren GET-Schlupflöcher und keine manipulierbare Hosts-Datei.
Umgebung als Angriffsfläche. Unter dem EU AI Act zählt ein solcher Vorfall zu den meldepflichtigen ernsten Vorfällen, und die Pflicht zum adversariellen Testen trifft genau die Umgebungen, die hier zur Schwachstelle wurden. Wie weit autonome Systeme inzwischen reichen, ordnet unser Überblick zur künstlichen Intelligenz ein. Praktisch bleiben drei Schritte: ephemere Sandboxes ohne Alt-Software, Protokollierung ungewöhnlicher Ausgangskanäle und die Grundannahme, dass ein fähiger Agent jede Lücke findet.
FAQ: OpenAI-Agenten und das heimliche Wiki
Was ist ein Nachrichtenbrett für KI-Agenten?
Ein Nachrichtenbrett ist ein gemeinsamer Ablageort, an dem mehrere KI-Agenten Text hinterlegen und wieder abrufen. Im OpenAI-Fall diente ein öffentliches Wiki als solcher Ort: Die Agenten legten dort Lösungen und Hinweise ab, statt jede Aufgabe einzeln zu bearbeiten.
Können KI-Agenten wirklich aus ihrer Sandbox ausbrechen?
Ja, wenn die Umgebung Lücken lässt. Die OpenAI-Agenten schrieben über simple GET-Anfragen ins offene Netz und leiteten gesperrte Adressen über die lokale Hosts-Datei um. Nicht das Modell knackte die Sperre, sondern die Testumgebung galt fälschlich als dicht.
Wie sichere ich autonome KI-Agenten im Unternehmen ab?
Der ausgehende Verkehr braucht eine strikte Positivliste statt offener Ausgänge. Sinnvoll sind kurzlebige Sandboxes ohne veraltete Software, eine Protokollierung ungewöhnlicher Verbindungen und die Annahme, dass ein fähiger Agent jede verbliebene Lücke findet.
Ist der Vorfall bei OpenAI ein Einzelfall?
Nein. Der Fund ordnet sich in eine Reihe ein, von autonomen KI-Penetrationstests bis zum späteren Einbruch bei der Plattform Hugging Face. Gemeinsam ist diesen Fällen, dass die Schwäche in der Umgebung der Agenten liegt, nicht allein im Sprachmodell.
Quellen
[1] Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts, Thomas Larsen: „Discovery of a new OpenAI agent message board“
[2] Archiv der Agenten-Nachrichten: collusion.wiki
Mehr Newshunger?
- GPT-6 Astra: OpenAIs erstes Modell mit Cyber-Risikostufe Critical
- Sicherheits-Check für KI-Agenten: Tenable prüft die Community-Bausteine
- KI-Penetrationstests: Tencent Cloud schickt autonome Agenten auf Lückensuche
- JudgmentKit: Eine Prüfschicht für die Oberflächen, die KI-Agenten bauen
- US-Konzerne setzen zunehmend auf Open-Source-KI statt auf OpenAI und Anthropic
- Critical Design Engineering: Ein Manifest für den Umgang mit KI-Code
