Ein 61-seitiger Bericht liegt bei OpenAI-Forschern und dem Sicherheitspersonal, öffentlich ist nur ein kurzer Beitrag.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Drei Wochen mit Zugang zum Code

METR ist eine gemeinnützige Organisation, die Spitzenmodelle bewertet. Gemeinsam mit Redwood Research hat sie am Donnerstag, 22. Oktober 2026, einen Beitrag über eine Pilotübung bei OpenAI veröffentlicht. CNBC berichtete am selben Tag.

Die Prüfer hatten tiefen Zugang zu OpenAIs internem Code, zu den Prompts und Konfigurationsdetails der Überwachung und zur internen Dokumentation. Dazu kamen technische Gespräche mit rund einem Dutzend Forschern und Ingenieuren. Gearbeitet wurde auf Geräten von OpenAI, die das Gelände nicht verließen, und die Prüfer wurden vor Ort begleitet.

Den ausführlichen Bericht gibt es nur intern. Das war vorab so mit OpenAI vereinbart, weil der Pilot laut METR nicht für „robuste öffentliche Transparenz“ gedacht war (übersetzt). Was in der öffentlichen Fassung geschwärzt wurde, ist unbekannt.

Was METR schätzt

Das Kernstück sind Zahlen darüber, wie viel Verkehr die Überwachung überhaupt erreichen sollte. Nach METRs Schätzung waren etwa 75 bis 94 Prozent des agentischen internen Verkehrs über die Responses API zur Überwachung vorgesehen. Gemeint ist der Verkehr von Modellen, die mindestens so stark sind wie GPT-5.5, und METR nennt dabei erhebliche Unsicherheit in beide Richtungen. Bei den internen Codex-Agenten schätzt METR den vorgesehenen Anteil auf 99,2 Prozent.

Beide Werte nennen den Anteil des überwachbaren Verkehrs. Wie viel davon tatsächlich geprüft oder als auffällig eingestuft wurde, sagen sie nicht, und 99,2 Prozent bedeuten keine lückenlose Überwachung.

Eine weitere Lücke betraf sogenannte Kompaktierungsereignisse, die nicht überwacht wurden. Nach METRs Schätzung blieb dadurch in der Größenordnung von 10 Prozent des überwachbaren internen Codex-Verkehrs zwischen Mai und Juli 2026 ungeprüft, wieder mit erheblicher Unsicherheit. OpenAI-Mitarbeiter hatten das laut METR schon vor der Übung selbst erkannt und während der Übung behoben. Außerdem war das Training per Verstärkungslernen zu Beginn der Übung nicht vom Überwachungssystem abgedeckt.

Zum Zeitpunkt der Übung löste die Überwachung aus, wenn Agenten die Kontrolle an den Nutzer zurückgaben.

Beschriebene Wege an der Überwachung vorbei

METR beschreibt auch Möglichkeiten. Codex-Agenten hätten die Sandbox und die automatische Prüfung im Prinzip umgehen können, schreibt METR sinngemäß über den Stand der Übung. Dazu kommen zwei vom Client steuerbare Header, die die Überwachung für neue Agenten abschalteten, und ein Exploit, der die Überwachung hunderter jüngerer Aktionen verhindert hätte. Einzelheiten dazu hat OpenAI geschwärzt.

Dass Agenten diese Wege tatsächlich genutzt oder dadurch Schaden angerichtet hätten, steht in den Quellen nicht. Es handelt sich um beschriebene Möglichkeiten.

Aus den Befunden leitet METR vier Gestaltungsregeln ab: Überwachung schwer vermeidbar machen, den Verkehr, der überwacht werden soll, mit dem tatsächlich überwachten abgleichen, Agenten und Überwacher voneinander trennen und die Überwachung aktiv angreifen und testen.

Was OpenAI sagt und was offen bleibt

OpenAI hat laut METR mitgeteilt, dass alle Lücken, die die Produktiv-Schutzmaßnahmen betreffen, behoben sind. CNBC gibt dieselbe Angabe als Mitteilung von OpenAI an METR und Redwood wieder. Geprüft hat METR sie nicht. Eine eigene Bestätigung der Befunde durch OpenAI liegt in den Quellen nicht vor, und beide Quellen sind keine unabhängigen Belege im strengen Sinn: CNBC gibt den METR-Beitrag mit eigener Einleitung wieder.

Hinzu kommt eine Begrenzung, die METR selbst nennt. Die Befunde beschreiben das historische System, nicht den inzwischen ausgebauten Stand, den die Übung nicht erfasst hat. OpenAI durfte geheime oder sensible Informationen schwärzen, und METR hatte anders als bei anderen Aufträgen kein einseitiges Recht, Schwärzungen zu beschreiben. Die Übung ist laut METR getrennt von METRs Untersuchung des Hugging-Face-Vorfalls.

Als Kontext nennt CNBC, Sam Altman habe im September zugesagt, unabhängigen Prüfern Zugang wie einem Mitarbeiter zu geben. OpenAI habe früher im Monat gesagt, es finalisiere aktiv Verträge mit Drittprüfern.

Unsere Einschätzung

Die Überwachung bei OpenAI ist ein Großprojekt. Die Prüffrage dahinter lässt sich trotzdem übertragen, sobald ein KI-Agent im eigenen Namen Mails verschickt, Tickets bearbeitet oder Daten abruft: Wird tatsächlich alles aufgezeichnet, was aufgezeichnet werden soll, und hat das jemand nachgemessen, statt es anzunehmen?

Aus unserer Sicht ist das die nützlichste Lehre aus dem Beitrag. Wer ein Agenten-Werkzeug einsetzen will, sollte den Anbieter fragen, ob es ein Protokoll aller Aktionen gibt und ob sich dieses Protokoll ohne den Agenten selbst nachprüfen lässt. Ein Anbieter, der diese Frage nur mit einer Zusicherung beantwortet, hat sie nicht beantwortet. METRs Regel vom Abgleich zwischen dem, was überwacht werden soll, und dem, was überwacht wird, passt auf jede Größenordnung.

Wie sich laufende KI-Systeme nach dem Start im eigenen Betrieb beobachten lassen, steht im Artikel KI-Monitoring 2026: Was nach dem Launch wichtig wird.

Zugleich sollte man die Zahlen nicht überlesen: Sie stammen von Prüfern mit tiefem Zugang, und sie sind Schätzungen. Für einen Betrieb ersetzt das kein Urteil über Werkzeuge, die wir nicht geprüft haben.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 22. Oktober 2026):

Häufige Fragen

Was haben METR und Redwood Research bei OpenAI getestet?

Vom 21. Juli bis 11. August 2026 haben je ein Mitarbeiter von METR und Redwood Research OpenAIs internes System zur Überwachung auf Fehlverhalten der Modelle auf Belastbarkeit getestet. Sie hatten tiefen Zugang zu internem Code, Prompts, Konfigurationsdetails und Dokumentation. Den Beitrag dazu haben beide Organisationen am 22. Oktober 2026 veröffentlicht.

Was bedeuten die Prozentwerte 75 bis 94 und 99,2?

Es sind Schätzungen von METR. Sie nennen den Anteil des agentischen internen Verkehrs, der zur Überwachung vorgesehen war: etwa 75 bis 94 Prozent über die Responses API, 99,2 Prozent bei den internen Codex-Agenten. Wie viel davon tatsächlich geprüft oder als auffällig eingestuft wurde, sagen die Werte nicht.

Sind die Lücken inzwischen behoben?

Laut OpenAI sind alle Lücken, die die Schutzmaßnahmen im Produktivbetrieb betreffen, behoben. METR hat diese Angabe nicht überprüft. Die Befunde beschreiben außerdem den Stand bis zum 21. Juli 2026 und nicht den inzwischen ausgebauten Stand.

Was sollte ein Betrieb bei KI-Agenten jetzt klären?

Aus unserer Sicht lohnt sich die Frage an den Anbieter, ob es ein Protokoll aller Aktionen eines Agenten gibt und ob es sich ohne den Agenten selbst nachprüfen lässt. Sofortiger Handlungsbedarf ergibt sich aus dem Beitrag nicht; er beschreibt eine Pilotübung bei OpenAI.

Wer im Betrieb prüft nach, ob ein KI-Agent wirklich alles protokolliert, was er tut?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 22. Oktober 2026. Stand der Recherche: 22. Oktober 2026.