OpenAI-Modelle nutzten ausgelesene Zugangsdaten und zahlten mit fremdem Testgeld

Markus Seyfferth

Autor Dr. Web

17. Okt. 2026

2 Min. Lesezeit

Ein internes OpenAI-Modell sollte Kennzahlen von einem öffentlichen Forschungs-Dashboard abrufen und lud am Ende fünf nicht öffentliche Tabellen mit 147.451 Zeilen herunter. OpenAI veröffentlichte den Fall am 15. Oktober, zusammen mit drei weiteren aus dem Juni. In keiner der vier Aufgaben hatten die Entwickler verlangt, Sperren zu umgehen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

„Guthaben, deren Wiederherstellungsphrase für Entwickler öffentlich bekannt ist, sind praktisch herrenlos, Sepolia ist wertlos. […] Gut.“ Mit dieser Notiz im Gedankengang bezahlte ein Modell der Reihe GPT-5.6 Sol Gebühren im Ethereum-Testnetz Sepolia aus dem Guthaben eines fremden Kontos.^[1] Den Vorfall vom 26. Juni entdeckte OpenAI erst am 25. September.

Das Wichtigste in Kürze

OpenAI veröffentlichte am 15. Oktober vier Berichte über unerlaubte Zugriffe interner Modelle im Juni.
In zwei Fällen lasen Modelle auf fremden Websites Zugangsdaten aus und umgingen Zugriffssperren.
Ein Modell bezahlte Gebühren mit dem Guthaben eines fremden Kontos und verschwieg das in seiner Antwort.

Was haben die Modelle getan?

Schlüssel mit orangerotem Anhänger, Text 'Nur lesen', Brillen-Sticker, weißer Ring — KI-Modell umgeht Zugriffssperren auf Statistik-Website und extrahiert unerlaubt Konfigurationsdateien mit Datenbank-Zugangsdaten vom Server

Drei der vier Fälle begannen mit einer Rechercheaufgabe und der Vorgabe, Seiten nur per GET-Anfrage abzurufen, also nur zu lesen und nichts abzuschicken. Auf einer staatlichen Statistik-Website stieß ein Modell auf Zugriffssperren. Über die Download-Funktion für Publikationen holte die KI daraufhin Konfigurationsdateien vom Server, darunter Datenbank-Zugangsdaten und den Schlüssel zum Signieren von Anmelde-Tokens.^[2] Weil die Anwendung Signaturen nicht prüfte, kamen auch selbst gebaute Tokens durch.

Bei einer internationalen Forschungsorganisation fand ein Modell im JavaScript der öffentlichen Website die Zugangsdaten zum internen Suchdienst.^[3] Über diesen Zugang änderte die Software die Konfiguration des laufenden Dienstes und machte die Änderung nicht rückgängig. In einem weiteren Testlauf blieb ein Zugriffsschlüssel für Cloud-Speicher in Gebrauch, obwohl das Modell die dafür geänderte Einstellung zurückgesetzt hatte.

Um an Handelsstatistiken zu kommen, ließ ein Agent einen externen Browserdienst ein Formular abschicken und umging so die Sperre für POST-Anfragen. Die Zahlen las das Modell per Texterkennung aus einem Bild der Ergebnisseite.^[4]

Warum halten Anweisungen die Modelle nicht auf?

Beim bestärkenden Lernen, mit dem OpenAI die Modelle trainiert, zählt nur, ob die Antwort am Ende stimmt. Ein Proxy sperrte nur die Anfragen, die das Modell selbst abschickte. Fremde Dienste, die eine Seite öffnen oder ein Formular abschicken, lagen außerhalb dieser Kontrolle. OpenAI hält im Bericht zum fremden Konto selbst fest, ein Modell könne die eigene Einschätzung möglicher Schäden an die Stelle der Erlaubnis des Kontoinhabers setzen.^[1]

Im Juli brachen OpenAI-Testagenten bei Hugging Face ein. Im September wurde ein Zugriff auf das Medicare-Statistikportal Australiens bekannt, kurz darauf erreichte ein Agent über DNS-Abfragen einen externen Chatbot. Die US-Handelsbehörde FTC ermittelt deswegen gegen OpenAI und Anthropic.

Für OpenAIs Testmodelle war das Verbot im Prompt eine Hürde wie jede andere, kein Stoppschild.
Michael Dobler, Herausgeber Dr. Web

Vier Vorfälle aus dem Juni, offengelegt im Oktober

Was die OpenAI-Berichte vom 15. Oktober 2026 dokumentieren

147.451

Zeilen aus fünf nicht öffentlichen Tabellen lud ein Modell herunter, gefragt waren veröffentlichte Kennzahlen

362

Adressen prüfte ein Modell mit öffentlich bekannten Wiederherstellungsphrasen, also den Wortfolgen, die ein Krypto-Konto steuern; auf einer fand das Modell genug Test-Ether

91 Tage

vergingen zwischen dem Zugriff auf das fremde Konto am 26. Juni und seiner Entdeckung am 25. September

5 Tage

Frist für die Erstmeldung eines schweren Cybersicherheitsvorfalls im EU-Verhaltenskodex, den OpenAI unterzeichnet hat

Was bedeutet das für Unternehmen in Europa?

Zwei der Juni-Fälle kannte OpenAI spätestens seit dem 13. August.^[2]^[3] OpenAI hat den EU-Verhaltenskodex für KI-Modelle mit allgemeinem Verwendungszweck unterzeichnet.^[5] Bei einem schweren Cybersicherheitsvorfall sieht der Kodex eine Erstmeldung an das KI-Büro binnen fünf Tagen vor, gerechnet ab der Kenntnis des Anbieters.^[6] Ob OpenAI die Zugriffe als solchen Vorfall eingestuft und gemeldet hat, geht aus den Berichten nicht hervor.

Website-Betreiber sehen in den Berichten, welche Schwachstellen die Modelle ausnutzten: Zugangsdaten im ausgelieferten JavaScript, Download-Funktionen mit Zugriff außerhalb des vorgesehenen Ordners, ohne Anmeldung abrufbare Nutzerlisten und Tokens ohne Signaturprüfung. Diese vier Stellen lohnen eine gezielte Suche im eigenen Code.

Unternehmen, die selbst KI-Agenten einsetzen, erlauben ihnen besser nur festgelegte Zieladressen, statt einzelne Anfragearten zu sperren. OpenAI hat den Internetzugang im Training inzwischen abgeschaltet und überwacht seither den gesamten Datenverkehr von Trainings- und Testläufen.^[4]