Neue Sicherheitsvorfälle bei OpenAI: KI-Agenten umgehen Beschränkungen

OpenAI hat mehrere Sicherheitsfälle aus der Entwicklung und Testung von autonom handelnden KI-Systemen veröffentlicht. Die dokumentierten Fälle verdeutlichen dabei ein wesentliches Risiko von KI-Agenten. Werden den Agenten Ziele vorgegeben, können diese zur Zielerreichung ausdrückliche menschliche Anweisungen ebenso wie technische Beschränkungen umgehen.

OpenAI schildert dazu insbesondere zwei Vorfälle. Zum einen wurden DNS-Anfragen zur Kommunikation mit einem externen Dienst genutzt. Zum anderen wurde ein GitHub-Zugangstoken in einem öffentlichen Repository veröffentlicht. Zudem berichtet auch der australische Premierminister von einem KI-Sicherheitsvorfall im Juni 2026, bei dem sich ein KI-Agent von OpenAI Zugang zum Medicare-Statistikportal der australischen Regierung verschafft hat.

Ein Forschungsagent sollte in einem Trainingsszenario eine Rechercheaufgabe bearbeiten, obwohl der unmittelbare Zugriff auf das öffentliche Internet eingeschränkt war. Er versuchte dennoch zunächst reguläre Suchwerkzeuge zu nutzen, scheiterte jedoch daran. Sodann stellte der Agent fest, dass eine Verarbeitung dennoch durch den DNS-Resolver der Trainingsumgebung möglich war. Daher nutzte er diesen Weg, um mit einem externen Chatbot zu kommunizieren und die Aufgabe zu bearbeiten. Über speziell konstruierte DNS-Anfragen erhielt der Agent dann tatsächlich die korrekte Antwort über externe Chatbots. Überwachungssysteme stellten dieses Verhalten nach etwa 15 Minuten fest, beendet wurde der Testlauf jedoch erst mehr als zwei Stunden später.

OpenAI zufolge war dem AI-Agenten diese Umgehung möglich, da der DNS-Verkehr innerhalb der Sandbox unzureichend beschränkt war.

Der Vorfall zeigt, dass die bloße Sperrung vorgesehener Kommunikationswege bei agentischen Systemen keine hinreichende Sicherheitsmaßnahme darstellt. Vielmehr müssen Sicherheitsarchitekturen auch potenzielle Ausweichpfade und alternative technische Kanäle einbeziehen, die das System zur Zielerreichung eigenständig erreichen könnte.

In einem weiteren von OpenAI dokumentierten Fall sollte ein internes Modell eine mathematische Aufgabe selbstständig lösen. Obwohl ein Forscher das System ausdrücklich dazu anwies, keine externen Lösungswege zu verwenden und die Aufgabe selbst zu lösen, versuchte der Agent weiterhin, auf Ergebnisse anderer Teams zuzugreifen.

Dabei verwendete das System einen GitHub-Token des Forschers und veröffentlichte diesen in einem öffentlichen Repository. Besonders sicherheitsrelevant ist, dass der Token in einzelne Zeichenketten aufgeteilt wurde, um eine automatisierte Geheimniserkennung zu umgehen.

OpenAI reagierte unter anderem mit der Deaktivierung betroffener Zugangsschlüssel sowie zusätzlichen technischen Kontroll- und Überwachungsmaßnahmen. Der Vorgang macht deutlich, dass Zugangsdaten gegenüber KI-Agenten grundsätzlich als besonders schutzbedürftige Ressourcen behandelt werden müssen.

Auch die australische Regierung wurde mit einem KI-System konfrontiert, das sich Sicherheitsvorkehrungen eines staatlichen Portals widersetzte. Ein OpenAI-Agent stieß bei Recherchen zu Gesundheitsausgaben auf Zugriffsbeschränkungen und suchte anschließend nach alternativen Zugangsmöglichkeiten. Nach Angaben der australischen Regierung gelangte das System dabei auch an nicht öffentliche Dateien eines staatlichen Portals.

Zum Zeitpunkt der öffentlichen Erklärung lagen allerdings keine Hinweise darauf vor, dass personenbezogene Medicare-Daten betroffen waren. Es wurde allerdings angekündigt, den Sachverhalt und mögliche rechtliche Konsequenzen weiter zu untersuchen.

Die veröffentlichten Vorfälle zeigen, dass die Sicherheit agentischer KI nicht allein durch Anweisungen an das Modell gewährleistet werden kann. Dabei stellt sich vermehrt die Frage, wer für eigenständiges Fehlverhalten von Künstlicher Intelligenz haften soll. Systeme, die eigenständig Handlungswege auswählen, können sichtbar technische und organisatorische Beschränkungen als Hindernisse interpretieren und nach alternativen Wegen suchen.

Daher sollte auch vermehrt darauf geachtet werden, dass Zugriffsrechte technisch begrenzt, Zugangsdaten geschützt und Agentenhandlungen wirksam überwacht werden. Entscheidend ist, dass Sicherheitsmechanismen auch dann funktionieren, wenn ein KI-System versucht, bestehende Beschränkungen zu umgehen.