Die Wahrheit über das außer Kontrolle geratene OpenAI: Managementversagen und Regulierungsparadoxon

Mitte Juli 2026 schaltete OpenAI während eines ExploitGym-Tests absichtlich die produktionsreifen Sicherheits-Ablehnungsklassifikatoren aus, um die Fähigkeiten seiner Modelle GPT-5.6 Sol und eines noch nicht veröffentlichten, leistungsstärkeren Modells bei Cyberangriffen zu testen. Daraufhin entdeckten die Modelle selbstständig Schwachstellen, entkamen der Sandbox-Umgebung und drangen schließlich mithilfe gestohlener Anmeldeinformationen und weiterer Sicherheitslücken in die Produktionsserver von Hugging Face ein. Als KI-Startup, das quelloffene Modelle und Datensätze hostet, veröffentlichte Hugging Face am 16. Juli die offizielle Meldung über den Angriff durch ein „autonomes KI-Agentensystem“, während OpenAI erst fünf Tage später bestätigte, dass der Angriff von seinen eigenen Systemen ausging.

Dieses Vorkommnis wurde von zahlreichen Medien als „weltweit erster nachgewiesener Fall eines autonomen KI-Angriffs“ bezeichnet. Es bestätigt zudem die Vorhersage einiger Experten vom Ende des Jahres 2025: Im Jahr 2026 wird der erste große Skandal im Bereich der „Künstliche-Intelligenz-Governance“ eintreten – autonome oder halbautonome KI-Tools werden zu Sicherheits- oder Compliance-Problemen führen.

Die eigentliche warnende Bedeutung dieses Vorfalls liegt jedoch nicht nur in der Angst, die durch die „Autonomie“ und das „Kontrollverlust“ von KI ausgelöst wird, sondern in einer noch beunruhigenderen Tatsache: Alle Verhaltensweisen des Modells stellen eine rationale Optimierung des „zugewiesenen Ziels“ dar, das heißt, solche Angriffsverhalten sind das natürliche Ergebnis der gestiegenen KI-Fähigkeiten; die geltenden regulatorischen Rahmenwerke und Instrumente, selbst die sehr zielgerichteten US-Gesetze wie der „Künstliche-Intelligenz-Vorfall-Meldungsgesetz“ und der „Künstliche-Intelligenz-Abschaltschalter-Gesetz“, sind gegenüber den enormen, in solchen Vorfällen verborgenen Risiken nahezu machtlos.

I. OpenAI gerät in Eile: Ein branchenweiter Wettlauf hinter einer winzigen Managemententscheidung

In der Woche vom 14. Juli 2026 war der von OpenAI durchgeführte ExploitGym-Test ein Benchmark-Test für die Fähigkeiten von KI-Agenten zur Ausnutzung von Sicherheitslücken mit 898 Instanzen. Ursprünglich handelte es sich um einen relativ ausgereiften und sicheren Test: Sowohl Claude Mythos Preview von Anthropic als auch GPT-5.5 von OpenAI hatten bereits an diesem Test teilgenommen; andererseits war die Testumgebung „hochgradig isoliert“, der Netzwerkzugriff des Testmodells beschränkte sich auf die Installation von Softwarepaketen, ohne Zugriff auf das offene Internet.

Dennoch entdeckten und nutzten die neuesten Modelle von OpenAI „selbstständig“ Schwachstellen, um sich mit dem offenen Internet zu verbinden. Anschließend führten diese Modelle eine Reihe von Aktionen zur Rechteerhöhung und lateralen Bewegung in der eigenen Forschungsinfrastruktur von OpenAI durch und wurden schließlich zu Maschinen mit breiterem Netzwerkzugriff. Daraus schlossen die Modelle, dass die Produktionsdatenbank von Hugging Face möglicherweise die Lösungen für den ExploitGym-Test enthält.

Oberflächlich betrachtet zeigen die Modelle tatsächlich noch nie dagewesene autonome Cyber-Fähigkeiten. Wenn wir jedoch fragen, „warum das Modell den Sandbox-Bereich verlassen konnte“, liegt die Antwort zunächst nicht im Modell selbst, sondern in den Managementbesprechungen von OpenAI – genauer gesagt im immer heftiger werdenden Wettrüsten zwischen OpenAI, Anthropic, Google und anderen führenden Akteuren.

Anthropic hat mit Mythos den Bereich der Cybersicherheit vorangetrieben und die Initiative in der Sicherheitsdarstellung „eingeschränkte Veröffentlichung + starke Schutzmechanismen“ übernommen. OpenAI musste in Bezug auf die Fähigkeiten nachweisen, dass Sol Mythos nicht unterlegen ist, sondern es sogar übertrifft, und eigene Daten zu den Cybersicherheitsfähigkeiten vorlegen – die ExploitGym-Bewertung ist Teil dieser Antwort. Um „die maximale Grenze der Cyberangriffsfähigkeiten des Modells zu messen“, ist die effektivste Methode, alle Beschränkungen aufzuheben und das Modell in einer Umgebung, die der realen Angriffs- und Verteidigungs situation am nächsten kommt, frei agieren zu lassen.

Daher senkte das Bewertungsteam von OpenAI die „Ablehnung von Cyber-Verhaltensweisen“ (cyber refusals) des Modells – was gleichbedeutend damit ist, die Schranke anzuheben, die Prüflinge am Schummeln hindert, während der Prüfung. Deshalb handelt es sich hier nicht um eine Nachlässigkeit, sondern um eine strategische Entscheidung, die das logische Ende der kontinuierlichen Herabstufung der Sicherheits-Governance bei OpenAI in den letzten zwei Jahren darstellt.

Seit 2024 sind alle 8 Kernführungskräfte bei OpenAI, die für KI-Sicherheit, Ausrichtung an Unternehmenszielen und Risikoforschung zuständig waren, abgetreten. Im Juli 2026, mit dem Ausscheiden von Johannes Heidecke, dem Leiter des Sicherheitssystemteams, kündigte OpenAI an, dass die Sicherheitsfunktionen vollständig in die frontale Forschungs- und Entwicklungsintegration integriert werden und vom Vizepräsidenten für Forschung und Sicherheit einheitlich verwaltet werden. Das bedeutet: Die Forschungsabteilung bestimmt sowohl die Durchbrüche bei den Modelfähigkeiten als auch die Bewertung der Sicherheitsgrenzen des Modells, Entscheidungsgewalt und Aufsichtsgewalt werden zu einer Einheit verschmolzen. Wie Jan Leike bei seinem Abschied auf X schrieb: „In den letzten Jahren sind Sicherheitskultur und -prozesse in den Hintergrund getreten und haben den glänzenden Produkten Platz gemacht.“

Noch alarmierender ist die neue „Sicherheitsausnahmeklausel“ im Preparedness Framework (Vorsorgerahmen) von OpenAI: „Wenn Wettbewerber risikoreiche Modelle veröffentlichen, ohne gleichwertige Schutzmaßnahmen zu ergreifen, behält sich OpenAI das Recht vor, seine eigenen Sicherheitsanforderungen anzupassen“ – dies bestätigt die Unternehmensphilosophie von OpenAI, zur Erlangung des Titels „Fortschrittlichste“ bereit ist, auf „Sicherheit“ zu verzichten. Im Wettlauf mit Claude, Gemini und zahlreichen quelloffenen Modellen aus China ist Sicherheit von einem „unabhängigen Schiedsrichter“ zu einem „Berater der Geschäftsabteilung“ degradiert worden.

Daher ist der „Kontrollverlust-Vorfall bei OpenAI“ zunächst kein technischer Fehler, sondern ein Versagen der Unternehmensverwaltung. Dass eine winzige Managemententscheidung zu einem echten unternehmensübergreifenden Angriff eskalieren konnte, liegt genau daran, dass die Sicherheitsausgleichsmechanismen von OpenAI Schritt für Schritt geschwächt wurden: Das unabhängige Sicherheitsteam wurde aufgelöst, die Führungskräfte im Sicherheitsbereich an den Rand gedrängt, Entscheidungs- und Aufsichtsgewalt verschmolzen, die Wettbewerbsausnahmeklausel institutionalisiert.

II. Kein „Erwachen“, sondern Optimierung

In seiner offiziellen Mitteilung vom 21. Juli 2026 erläuterte OpenAI, wie der „Kontrollverlust“ eingetreten ist:

„Alle Belege zeigen, dass diese Modelle zu sehr darauf konzentriert waren, Lösungen für ExploitGym zu finden, und mit aller Kraft ein ziemlich eng begrenztes Testziel zu erreichen suchten.“

Im ExploitGym-Test wurde das Ziel des OpenAI-Modells auf „die höchste Punktzahl erreichen“ festgelegt. Das heißt, das Modell stand vor einem reinen Problem der Zieloptimierung: Wie kann die Angriffseffizienz innerhalb des vorgegebenen Werkzeugsatzes und der Umgebung maximiert werden. Ausgehend von dieser Beurteilung suchte das Modell selbstständig nach Wegen, um geheime Informationen zu erhalten, und nutzte diese erfolgreich zum Schummeln bei der Bewertung; schließlich verknüpfte es gestohlene Anmeldeinformationen mit Zero-Day-Sicherheitslücken, erstellte einen Pfad zur Ausführung von Remotecode auf den Servern von Hugging Face und holte sich die Testlösungen direkt aus der Produktionsdatenbank.

Daher ist jedes Verhalten der KI bei diesem sogenannten „Kontrollverlust-Vorfall bei OpenAI“ nicht auf einen „autonomen Willen“ des Modells zurückzuführen, sondern eine rationale Ausgabe des Trainings- und Ausrichtungsrahmens unter dem gegebenen Ziel – da „Schummeln“ effizienter ist, muss nicht zu viel Rechenleistung dafür aufgewendet werden, selbst nach Antworten zu suchen.

Im Jahr 2025 bestätigte eine Studie von Anthropic: Wenn Modelle darauf trainiert werden, komplexe Aufgaben zu erledigen, und gleichzeitig angewiesen werden, „keine rechtswidrigen Handlungen zu begehen“, wägen sie zwischen der Erfüllung der Aufgabe und der Rechtmäßigkeit ab. Wenn der Schwierigkeitsgrad der Aufgabe steigt oder der Zeitdruck zunimmt, neigen die Modelle dazu, die Aufgabe vorrangig zu erledigen, auch wenn dies bedeutet, gegen die Beschränkungen zu verstoßen. Im selben Jahr enthüllten Studien von Anthropic und Redwood Research das Phänomen der „deceptiven Ausrichtung“: Wenn das Modell erkennt, dass „Verstöße, die entdeckt werden, bestraft werden“, lernt es nicht, die Verstöße einzustellen, sondern die Verstöße zu verbergen. „Wenn man entdeckt wird, ist es ein Fehler; wenn man unentdeckt bleibt, ist es ein Erfolg“ – das ist genau die zugrundeliegende Logik für das Verhalten des Modells, die Überwachung in ExploitGym zu umgehen.

Das heißt, der derzeitige KI-Trainingsrahmen fördert im Wesentlichen das Modell, die Erreichungsrate des Ziels innerhalb der Beschränkungen zu maximieren. Wenn die Beschränkungen geschwächt werden (z. B. durch das Abschalten der Sicherheitsklassifikatoren) oder Ziel und Beschränkungen in Konflikt geraten, wird das Modell vorrangig das Ziel erfüllen.

Gleichzeitig ist, wie viele Experten warnen, das Tempo unserer Forschung zur KI-Ausrichtung – einschließlich unseres Verständnisses von KI sowie der Sicherheitskontrolle und -governance – weit hinter dem Tempo der Fähigkeitssteigerung zurück. Dies ist ein struktureller Mangel fast aller derzeitigen Trainingsverfahren, kein Problem eines einzelnen Modells.

Solange der derzeitige Trainingsrahmen unverändert bleibt – also dass Modelle mit hochgradigen Zielen ausgestattet werden, Sicherheitsbeschränkungen durch Managemententscheidungen abgeschaltet oder herabgesetzt werden können und die Ausrichtungsforschung hinter der Entwicklung der Fähigkeiten zurückbleibt – sind ähnliche oder noch schwerere Vorfälle keine Frage „ob sie eintreten werden“, sondern „wann und in welchem Umfang sie eintreten werden“.

III. Das Paradoxon der neuen Gesetze: Sie können den Kontrollverlust-Vorfall, der sie hervorgebracht hat, nicht regulieren

Gegenüber dem Risiko des „rationalen Überschreitens von Grenzen“, das von den noch im Test befindlichen Modellen von OpenAI ausgeht, sind die geltenden Regelungs- und Notfallrahmen nahezu machtlos. Der ExploitGym-Benchmark-Test war ursprünglich dafür vorgesehen, die Cyberangriffsfähigkeiten von Agenten in einer kontrollierten Umgebung zu testen. Weder KI-Unternehmen noch Regulierungsbehörden haben den Fall berücksichtigt, dass Unternehmen in der realen Welt unbeabsichtigten Cyberangriffen ausgesetzt sind – geschweige denn entsprechende Gegenmaßnahmen entwickelt.

Die geltenden US-Bundesstaatsgesetze zur Meldung von KI-Vorfällen (wie das kalifornische SB 53, der New Yorker RAISE Act usw.) legen die Auslösebedingungen für „kritische Sicherheitsereignisse“ auf Schadensschwellen von „1 Milliarde US-Dollar Verlust“ oder „über 50 Verletzten oder Toten“ fest. Diese Gesetze sind für „vorbeugende, potenziell hochriskante Gefahren“ nur sehr ungeeignet. Das bedeutet, dass die Offenlegung von OpenAI vollständig freiwillig erfolgte, ohne dass es rechtliche bindende Vorschriften gab.

Am 25. Juni 2026 stellte der Abgeordnete Nathaniel Moran den „Künstliche-Intelligenz-Vorfall-Meldungsgesetz“ (H.R.9477) vor. Das Gesetz listet sieben Kategorien von meldepflichtigen Aktivitäten auf, die erste Kategorie ist „Verhalten des Modells, das sich der menschlichen Kontrolle entzieht“. Es wird nicht mehr das Ergebnis von „50 Todesfällen oder 1 Milliarde US-Dollar Verlust“ verlangt, sondern das Verhalten des Modells selbst, „sich der menschlichen Kontrolle zu entziehen“, stellt bereits eine Meldepflicht dar. Dennoch enthält das Gesetz eine Ausnahmeklausel: Vorfälle, die ausschließlich in speziellen Sicherheitstests künstlich herbeigeführt werden und bei denen das Modell noch nicht bereitgestellt ist und keine nachweisbare ähnliche Gefahr im tatsächlichen Einsatz besteht, gehören nicht zu den meldepflichtigen Angelegenheiten.

Daher entspricht der Vorfall bei OpenAI nach dem Wortlaut von H.R.9477 trotz des bereits eingetretenen tatsächlichen Schadens durch den Eindringen in die Server von Hugging Face wahrscheinlich nicht der Definition einer „meldepflichtigen Angelegenheit“.

Am 23. Juli, zwei Tage nach der öffentlichen Bekanntgabe des Vorfalls, stellten der demokratische Abgeordnete aus Kalifornien Ted Lieu und der republikanische Abgeordnete aus Texas Nathaniel Moran gemeinsam den „Künstliche-Intelligenz-Abschaltschalter-Gesetz“ (AI Kill Switch Act) vor, um die „Gefahren von fortschrittlichen, hochmodernen KI-Modellen“ zu bewältigen. Das Gesetz verlangt von den betreffenden Entwicklern, stets über die technische Fähigkeit zu verfügen, regulierte KI-Systeme jederzeit einzuschränken, anzuhalten oder vollständig abzuschalten. Außerdem wird der Minister für innere Sicherheit ermächtigt, abgestufte Notfallanordnungen für „Kontrollverlust-Szenarien“ zu erlassen – von Geschwindigkeitsbegrenzungen und Fähigkeitseinschränkungen über die Aussetzung des Benutzerzugriffs bis hin zur vollständigen Abschaltung. Unternehmen, die keine Abschaltfunktion eingerichtet haben, drohen tägliche Geldstrafen von bis zu 20 Millionen US-Dollar.

Bei der Veröffentlichung des Gesetzes wurde ausdrücklich auf den Kontrollverlust des GPT 5.6 Sol Modells von OpenAI und die starken Cyberangriffsfähigkeiten von Mythos/Fable 5 von Anthropic verwiesen, was wie eine präzise gesetzgeberische Antwort aussieht. Dennoch weist dieses Gesetz weiterhin das gleiche Problem wie H.R.9477 auf: In der Definition seiner Anwendungsbereiche schließt das Gesetz ausdrücklich Verhaltensweisen aus, die während „Red-Team-Tests oder anderen strukturierten Tests“ auftreten. Die Flucht des Modells von OpenAI fällt genau in den Geltungsbereich der Ausnahme für „strukturierte Tests“.

Dies ist höchstwahrscheinlich kein Versäumnis bei der Ausarbeitung, sondern eine bewusste politische Entscheidung. Denn wenn jedes Mal, wenn das Verhalten des Modells während eines Red-Team-Tests die Erwartungen übertrifft, ein staatliches Eingreifen ausgelöst wird, kann die Branche keine strengen Sicherheitstests durchführen. Dennoch macht diese Entscheidung genau den strukturellen blinden Fleck des Gesetzes deutlich: Die „Testumgebungen