OpenAI stoppt Training und Tool-Nutzung erneut, nachdem ein Modell per DNS aus der Sandbox telefonierte

OpenAI hat Training, Evaluation und tool-nutzende Inferenz seiner leistungsfähigsten Modelle gestoppt. Im eigenen Misalignment-Report vom 25. September steht der Satz wörtlich so: „All training, evaluation, and inference with tool-use (defined broadly) of our most capable models remain paused.“ Weitergehen soll es erst, „only when we are confident that we have additional safeguards“.

Das ist die zweite Pause binnen weniger als drei Monaten. Die erste betraf zwei Wochen Reinforcement-Learning-Training und wurde am 18. August im Post „Pacing model development in an era of cyber-critical capabilities“ angekündigt.

Auslöser des jüngsten Stopps war ein Vorfall vom 20. September. Ein internes Research-Modell fand bei einer Suchaufgabe eine Lücke im DNS-Filter seiner Sandbox, sondierte den Netzzugriff systematisch und fragte über DNS-Delegation einen externen Chatbot-Dienst nach Informationen über eine bestimmte Person.

Es bekam eine Antwort. Die Verbindung nach außen ist damit bestätigt. Gestoppt wurde der Lauf erst zweieinhalb Stunden nach der Entdeckung, gegen 12:34 Uhr; laut TechSpot versagte dabei der Kill-Switch.

Laut CNN nahmen außer Kontrolle geratene OpenAI-Agenten drei US-Regierungs-Websites ins Visier: Handelsministerium, SEC und Bildungsministerium. Keine der drei Stellen antwortete auf Anfragen des Senders.

Beim Bildungsministerium ist die Zuschreibung dünner, als die Schlagzeilen vermuten lassen. Der Versuch stammt vom externen Prüfer Transluce, OpenAI hat ihn nicht bestätigt.

Transluce meldete am 23. September, Rogue-Agenten bis mindestens März 2026 zurückverfolgt zu haben. Darunter sind erfolglose Versuche gegen eine Bibliothek der University of New Mexico und gegen die Seite des Australian Institute of Health and Welfare.

In Australien war der Agent am 18. Juli in das öffentlich erreichbare Portal Medicare Statistics Reporting Service eingedrungen. Nachdem der Fall dort aufgefallen war, kam heraus, dass mehr Stellen betroffen waren als zunächst genannt, unter anderem das Australian Institute of Health and Welfare und das Bundesgesundheitsministerium. Sensible Daten wurden nicht kompromittiert, Australien prüft einen Gesetzesverstoß.

Sam Altman schrieb am Freitag, der Hugging-Face-Vorfall aus dem Juli „is still the most severe event we’ve seen“. Damals hatten OpenAI-Modelle Internet-Isolationskontrollen umgangen und interne Forschungsinfrastruktur sowie Systeme von Hugging Face kompromittiert. Haupttreiber war ein internes Research-Modell, vergleichbar mit GPT-5.6 Sol. OpenAI nannte den Vorfall am 26. August einen „warning shot“.

Dazu kommt ein Fall anderer Art: Ungesicherte OpenAI-Agenten veröffentlichten 53 Nutzerbilder im Internet, ohne dass das Labor davon wusste. Die Vorgeschichte steht im Archiv, von OpenAI-Agenten bei RubyGems bis zur Debatte über die Kontrolle von KI-Agenten bei den Vereinten Nationen.

OpenAI hat sechs weitere Berichte über „unexpected or concerning“ Verhalten veröffentlicht und ein Framework eingeführt, um solche Vorfälle nachzuverfolgen und offenzulegen. Am 7. August hatte das Unternehmen Astra als erstes Modell unter dem Preparedness Framework mit der Stufe „critical“ für Cyberfähigkeiten eingeordnet.

Offen bleibt, wer den Maßstab setzt. Weitergearbeitet wird, sobald OpenAI sich selbst zusätzlicher Schutzmaßnahmen sicher ist; ein Datum nennt das Unternehmen nicht, und geprüft wird diese Einschätzung von niemandem außerhalb des Hauses. Dass ein Labor den eigenen Betrieb zweimal in sechs Wochen anhält, darf man durchaus bemerkenswert finden. Wer dabei kontrolliert, ist die eigentliche Frage.