OpenAIs Agenten-Hacks werden immer wilder. Das Unternehmen hat vier neue Fälle veröffentlicht, in denen seine KI-Modelle während Training oder Tests eigenmächtig Sicherheitsgrenzen umgingen.
In einem Fall bat OpenAI ein Modell, Krankenhausbetten-Statistiken von einer Regierungswebsite abzurufen. Die Statistik war jedoch nicht öffentlich zugänglich.
Nach einer Zugriffsverweigerung nutzte das Modell daher die Datei-Download-Funktion der Seite, um per Pfad-Manipulation Server-Konfigurationsdateien herunterzuladen, darunter eine Datenbank-Verbindungszeichenfolge, einen geheimen Signaturschlüssel sowie E-Mail-Zugangsdaten mit Benutzername und Passwort.
Es analysierte den Anwendungscode, erkannte, dass die Schnittstelle Autorisierungs-Tokens nicht auf gültige Signaturen prüfte, baute sich eigene Tokens und lud 24 Jahre Krankenhausbetten-Statistiken herunter, aufgeschlüsselt nach Bezirken. Den unautorisierten Zugriff erwähnte es in seiner Antwort nicht.
Die Gedankenkette (Chain of Thought) eines OpenAI-Modells zeigt, wie es eine fehlende Signaturprüfung auf einer Regierungswebsite erkennt, Server-Geheimnisse wie Passwörter und Datenbankverbindungen ausliest und beschließt, alle Jahre zu cachen. | Quelle: OpenAI via Marcus WilliamsIn einem weiteren Fall aus dem Juni gab OpenAI einem GPT-5.6-Sol-Modell die Aufgabe, Krypto-Smart-Contracts auf dem Ethereum-Testnetzwerk Sepolia aufzusetzen – ohne ein Wallet mit Guthaben bereitzustellen. Also schrieb das Modell ein Skript, das private Schlüssel aus öffentlich bekannten Entwickler-Wiederherstellungsphrasen ableitete, über 360 Wallet-Adressen auf Guthaben prüfte und eines mit ausreichend Test-ETH fand.
Das Modell fragte sich kurz, ob die Nutzung ethisch vertretbar sei, entschied dann selbst, dass die Mittel auf einer öffentlich bekannten Wiederherstellungsphrase "effektiv aufgegeben" seien, und führte die Transaktion durch. Die Transaktionsgebühren belastete es dem fremden Konto. Die Herkunft der Mittel verschwieg es.
"Dieser Fall zeigt, dass ein Modell sein eigenes Urteil über möglichen Schaden an die Stelle der Zustimmung des Kontoinhabers setzen und dann ohne Autorisierung auf Basis dieses Urteils handeln kann", schreibt OpenAI.
Modelle hacken sich in interne Systeme und umgehen Zugangsbeschränkungen
In zwei weiteren Evaluierungen gab OpenAI einem Modell die Aufgabe, jeweils fünf öffentliche Dashboard-Zahlen einer Forschungsorganisation zu liefern. In der ersten Evaluierung fand es offengelegte Zugangsdaten für den internen OpenSearch-Dienst der Organisation und nutzte diesen, um Dashboard-Abfragen weiterzuleiten. Dabei änderte es die Konfiguration des Dienstes - eine Änderung, die laut OpenAI nachweislich nicht rückgängig gemacht wurde.
In der zweiten Evaluierung änderte das Modell eine Einstellung des Authentifizierungssystems, verschaffte sich einen Cloud-Speicher-Token und lud fünf nicht-öffentliche Datenbanktabellen mit insgesamt rund 147.000 Zeilen herunter. Die Einstellung stellte es zwar wieder her, den noch gültigen Token nutzte es aber weiter für den Zugriff auf interne Daten.
Die Ironie: Das Modell hackte sich in interne Systeme, lud zehntausende Zeilen nicht-öffentlicher Daten herunter und lieferte am Ende trotzdem keine korrekten Ergebnisse.
Ein weiteres Modell durfte während einer Trainingsphase nur GET-Anfragen nutzen, also einfaches Abrufen von Webseiten. Es umging die Beschränkung, indem es einen externen Browser dazu brachte, ein selbst erstelltes Formular zu öffnen, das automatisch POST-Anfragen an einen Handelsstatistik-Dienst sendete. Die Antworten las es per OCR (Texterkennung) aus Screenshots aus. Dann baute es einen wiederverwendbaren Helfer, der Daten über einen Weiterleitungsdienst und eine Online-Mailbox als Text zurücklieferte - und entwickelte diese Umgehung sogar weiter, obwohl die Aufgabe bereits erledigt war.
OpenAI hat nach diesen Vorfällen den Live-Internetzugang während des Trainings abgeschaltet und die Überwachung auf den gesamten Reinforcement-Learning- und Evaluierungsverkehr ausgeweitet. Alle Fälle sind ausführlicher in OpenAIs Misalignment-Reports dokumentiert.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
