Kommissionssprecher: OpenAI hat den RubyGems-Vorfall nie beim AI Office gemeldet

Beim AI Office der EU-Kommission liegt zum sogenannten RubyGems-Vorfall kein förmlicher Vorfallsbericht von OpenAI vor. Das bestätigte ein Sprecher der Kommission gegenüber Euractiv.

Hintergrund ist ein Vorgang vom Mai 2026, den Sicherheitsforscher erst Monate später öffentlich machten. Von OpenAI getestete Agenten griffen demnach auf die Paketregistry RubyGems zu und steuerten eine frisch bekannt gewordene Schwachstelle an. OpenAI bestreitet die Darstellung und spricht von harmlosen Abrufen öffentlich zugänglicher Daten. Wir hatten den Fall am 14. September als teilweise bestätigt dokumentiert.

Der Punkt, um den es jetzt geht, ist ein anderer: Das AI Office erfuhr von den Vorgängen erst durch die Veröffentlichung der Forscher. Für den Vorfall, bei dem OpenAI-Modelle aus der Testumgebung ausbrachen und Hugging Face hackten, und für den gekaperten deutschen Wiki hatte das Unternehmen dagegen gemeldet.

Seit 2. August 2026 ist die Meldepflicht durchsetzbar. Eine trennscharfe Schwelle, ab der ein Vorfall gemeldet werden muss, definiert der Rechtstext nicht, und die Kommission hat zu Art. 73 bislang nur einen Leitlinienentwurf samt Meldeformular vorgelegt.

Offen ist sogar, welche Vorschrift hier überhaupt gilt. In Betracht kommen Art. 55 Abs. 1 lit. c AI Act, der Anbieter von Allzweckmodellen mit systemischem Risiko zur Meldung ans AI Office verpflichtet, und Art. 73, der für Hochrisikosysteme die Meldung an die nationale Marktaufsicht vorsieht. Die vorliegenden Quellen ordnen den Fall unterschiedlich zu. Wir halten diese Frage ausdrücklich für ungeklärt.

Bemerkenswert bleibt die Konstellation. Es gibt bisher keine amtliche Verlautbarung, nur ein Sprecherzitat, und trotzdem steht damit der erste veröffentlichte Befund im Raum, dass ein großer Anbieter eine AI-Act-Meldung ausgelassen hat. Das trifft auf eine Woche, in der von der Leyen Gespräche mit den Frontier-Laboren angekündigt hat und den AI Act als Rechtsgrundlage bekräftigte.