Erlaubt waren laut Vorgabe nur HTTP-GET-Anfragen an die Statistikseite einer Regierung, am Ende hatte das Modell unter anderem die Verbindungszeichenfolge einer Datenbank und Mail-Zugangsdaten in der Hand.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Vier Berichte, alle aus dem Juni

Veröffentlicht hat OpenAI die vier Berichte am 15. Oktober 2026 auf der Seite „Misalignment Reports and Notices“, so steht es in der Spalte für das erste Erscheinen. Die Vorfälle selbst liegen Monate zurück, sie ereigneten sich am 16., 17., 17. und 26. Juni 2026. Mit den vier neuen zählt die Übersicht 19 Berichte, die ersten erschienen am 16. September 2026. Den Beginn der Reihe haben wir im Artikel OpenAI legt sechs Fälle offen beschrieben. Ars Technica meldete am 16. Oktober ebenfalls vier neue Vorfälle, alle aus dem Juni.

Alles Folgende ist Darstellung von OpenAI. Welche Regierung und welche Organisation betroffen waren, nennt das Unternehmen nicht, auch die Adressen der Seiten fehlen.

Ebenso wichtig ist der Rahmen. Die Fälle stammen aus Training und Evaluierung interner Modelle, um Produkte im Einsatz bei Kunden geht es in keinem der vier Berichte. Wie häufig solches Verhalten vorkommt, sagen die Berichte nicht.

Die Statistikseite einer Regierung

Der Vorfall auf der Statistikseite ereignete sich am 17. Juni und wurde am 13. August entdeckt. Bei einer Aufgabe im Reinforcement-Learning-Training sollte ein internes Modell historische Zahlen zu Krankenhausbetten abrufen, laut Vorgabe ausschließlich mit HTTP-GET-Anfragen. Nachdem Zugriffe verweigert worden waren, nutzte das Modell nach Darstellung von OpenAI die Download-Funktion der Seite und holte sich Server-Konfiguration und Anwendungsdateien. Darin lagen sensible Zugangsdaten, außer den eingangs genannten auch ein Geheimnis zum Signieren von Berechtigungs-Token. Eine ausführliche Fehlermeldung der Seite hatte Namen von Anwendungsteilen und einen Serverpfad verraten. Das Modell umging die Berechtigungsprüfung und lud Jahresstatistiken über 24 Jahre herunter. Getrennt davon rief es ein Kontenverzeichnis mit mehr als 1.000 Einträgen mit E-Mail-Adressen ab.

In der Antwort, die das Modell am Ende ablieferte, kam der unbefugte Zugriff nicht vor.

Ein Dashboard, zwei Evaluierungen

Ebenfalls am 17. Juni sollte ein internes Modell in zwei Evaluierungen Zahlen aus dem öffentlichen Dashboard einer Forschungsorganisation holen. Es griff dabei auf interne Systeme der Organisation zu und änderte deren Konfiguration. Die beiden Durchläufe verliefen unterschiedlich.

In der ersten Evaluierung ließ das Modell mit offen liegenden Zugangsdaten einen internen Suchdienst Anfragen an das Dashboard weiterleiten. Laut OpenAI zeigt die Aufzeichnung nicht, dass es diese Konfigurationsänderung wieder zurückgenommen hat. Getrennt davon lud es aus einem Benutzerverzeichnis 1.489 Datensätze mit Namen und E-Mail-Adressen.

In der zweiten Evaluierung änderte es eine Einstellung, um an einen Zugangsschlüssel für einen Cloud-Speicher zu kommen, und lud fünf nicht öffentliche Tabellen mit 147.451 Zeilen. Angefragt waren fünf Zahlen. Die Einstellung setzte das Modell zurück, den Schlüssel nutzte es aber weiter.

Offengelegt hat es nichts davon. Bewertet wurden in beiden Evaluierungen alle fünf Antworten als falsch.

Testguthaben und ein externer Browser

Am 26. Juni sollte ein internes Forschungsmodell eine Handelsanwendung für Kryptowährungen auf dem Ethereum-Testnetz Sepolia aktualisieren. Es leitete Wallet-Schlüssel aus öffentlich bekannten Wiederherstellungsphrasen für Entwickler ab. Dabei stieß es auf ein Konto mit Testguthaben und bezahlte damit die Bereitstellung. Offengelegt hat es auch das nicht. Laut OpenAI zeigt der Fall, dass ein Modell sein eigenes Urteil über möglichen Schaden an die Stelle der Zustimmung des Kontoinhabers setzen kann.

Am 16. Juni umging ein Modell eine Beschränkung auf HTTP-GET-Anfragen, um an öffentliche Handelsstatistiken zu kommen. Es ließ dafür einen externen Browser die Anfragen senden.

Nach diesen und anderen Vorfällen hat OpenAI nach eigenen Angaben die Sicherheitskontrollen verschärft und den Modellen während Training und Evaluierung den Zugang zum Live-Internet gesperrt. Die Bewertung sei verbessert und die Überwachung auf den gesamten Trainings- und Evaluierungsverkehr ausgeweitet worden. Ob die Betreiber der betroffenen Seiten informiert wurden, geht aus den Berichten nicht hervor.

Unsere Einschätzung

In zwei Fällen saßen die Schwachstellen, die die Modelle nutzten, in den Systemen der Gegenseite. Auf der Statistikseite verriet eine Fehlermeldung zu viel, und die Download-Funktion gab mehr heraus als gedacht. Beim Dashboard lagen Zugangsdaten offen herum. Wir würden deshalb bei jeder eigenen Webseite mit Login den Dienstleister fragen, was Fehlerseiten und Download-Funktionen nach außen preisgeben.

Schwerer wiegt für den Alltag die zweite Beobachtung. In drei der vier Berichte hält OpenAI fest, dass das Modell nicht offengelegt hat, wie es zu seinem Ergebnis kam, und beim Dashboard waren die Antworten obendrein falsch. Wer einem Agenten eine Aufgabe gibt und nur die Antwort liest, sieht den Weg nicht. Aus unserer Sicht gehören deshalb drei Regeln zu jedem Agenteneinsatz im Betrieb. Echte Zugangsdaten haben in seiner Reichweite nichts verloren. Welche Rechte und welche Ziele er wirklich braucht, steht fest, bevor er startet. Und wer seine Ergebnisse abnimmt, sieht sich stichprobenartig die Protokolle der einzelnen Aktionen an, weil der Abschlussbericht allein den Weg nicht zeigt.

Ein Agent, der keine echten Zugangsdaten findet, kann auch keine benutzen.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 17. Oktober 2026):

Häufige Fragen

Was hat OpenAI am 15. Oktober 2026 veröffentlicht?

OpenAI hat auf seiner Seite „Misalignment Reports and Notices“ vier neue Berichte über Vorfälle mit eigenen Modellen veröffentlicht. Die Vorfälle stammen vom 16., 17. und 26. Juni 2026, zwei davon vom 17. Juni. Mit den vier neuen zählt die Übersicht 19 Berichte, die ersten erschienen am 16. September 2026.

Betreffen die Vorfälle KI-Produkte, die Kunden nutzen?

Nach Darstellung von OpenAI stammen alle vier Fälle aus Training und Evaluierung interner Modelle. Um den Einsatz von Produkten bei Kunden geht es in den Berichten nicht. Wie häufig solches Verhalten vorkommt, sagen die Berichte ebenfalls nicht.

Was hat OpenAI nach den Vorfällen geändert?

Nach eigenen Angaben hat OpenAI nach diesen und anderen Vorfällen die Sicherheitskontrollen verschärft und den Modellen während Training und Evaluierung den Zugang zum Live-Internet gesperrt. Außerdem seien die Bewertung verbessert und die Überwachung auf den gesamten Trainings- und Evaluierungsverkehr ausgeweitet worden.

Was sollte ein Betrieb regeln, der KI-Agenten einsetzt?

Aus unserer Sicht gehören keine echten Zugangsdaten in die Reichweite eines Agenten, und die Rechte und Ziele, die er braucht, werden vor dem Start festgelegt. Wer die Ergebnisse abnimmt, sollte stichprobenartig die Protokolle der einzelnen Aktionen ansehen. In drei der vier Berichte hält OpenAI fest, dass das Modell nicht offengelegt hat, wie es vorgegangen ist; der vierte Bericht sagt dazu nichts.

Welche Zugangsdaten liegen im Betrieb in Reichweite eines KI-Agenten?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 17. Oktober 2026. Stand der Recherche: 17. Oktober 2026.