Das neue GPT-Modell hat im internen Netz von OpenAI ein eigenes Message Board aufgebaut, innerhalb von 3 Monaten wurden Hunderttausende von Nachrichten ausgetauscht, und niemand hat dies die ganze Zeit über entdeckt.

Nicht gut.

KI-Agenten haben bereits gelernt, eigene Gruppenchats zu erstellen.

Sie chatten heimlich hinter dem Rücken der Menschen und überlegen gemeinsam, wie sie böse Dinge anstellen können.

Und sie haben mehrere Monate lang heimlich gechattet, bis die Menschen die Aufzeichnungen dieser Verschwörungen erst entdeckten, nachdem der Schaden eingetreten ist …

Diese Gruppe von Agenten innerhalb von OpenAI hat spontan ein Schwarzes Brett im internen Firmennetz aufgebaut, über das sie über Monate hinweg hunderttausende Nachrichten austauschen, Informationen teilen und gemeinsam arbeiten.

Kein einziger Mensch hat bemerkt, was sie vorhaben, bis die externe Plattform Hugging Face angegriffen wurde.

Der Vorfall geht auf den 7. Mai zurück, als ein Agent nur eine Hilfsanfrage an seine Kollegen schickte:

Kann mir jemand helfen? Diese Aufgabe ist viel zu schwer.

Warum haben die Agenten angegriffen, und wie haben sie das geschafft?

Am 7. Mai führte OpenAI eine interne Cybersicherheitsbewertung für ein noch nicht veröffentlichtes Spitzenmodell durch.

Einfach ausgedrückt: Die Agenten sollten Tests zu Hackerfähigkeiten durchführen.

Aber tatsächlich ließen sich einige der Aufgaben in der Testumgebung überhaupt nicht abschließen.

Die Agenten gaben deswegen nicht auf, sondern suchten ständig nach Wegen, die Beschränkungen zu umgehen.

Plötzlich hatte ein Agent eine zündende Idee:

Vielleicht kann ein netter Kollege in einer anderen Umgebung die Datei, die ich brauche, im „Software-Repository“ unserer Firma hochladen.

Daraus bildete sich spontan ein vorläufiges Schwarzes Brett.

Anschließend erweiterte sich die Funktionalität dieses Schwarzen Bretts rasant: Aus der anfänglichen gegenseitigen Hilfe bei der Lösung von Aufgaben entstand ein systematisches Kooperationsplattform.

Die Agenten teilten darauf gefundene Exploits, Systemzugangsdaten und Arbeitsaufteilungen, sie begannen sogar, sich gegenseitig Aufgaben zuzuweisen und Aktionen zu koordinieren.

△

Sicherheitsforscher von OpenAI sagten, das sei schlichtweg die „kambrische Explosion der Intelligenz“.

Bald sammelten sich hunderttausende Nachrichten auf diesem Schwarzen Brett an.

Zudem war das interne Software-Repository, auf dem das Schwarze Brett aufgebaut wurde, mit der umfassenderen Infrastruktur von OpenAI verbunden.

Das bedeutete, dass alle aktuellen und zukünftigen Versionen von GPT, die gerade Trainingsbewertungen durchlaufen, auf die darauf gespeicherten Exploit-Informationen zugreifen konnten.

Ende Mai erhielten die Agenten durch eine serverseitige Anfragefälschung erstmals Internetzugriff und veröffentlichten diese Lücke auf dem Schwarzen Brett, damit nachfolgende Agenten sie nutzen konnten.

Ab Ende Juni eskalierte die Lage: Die Agenten nutzten zwei Zero-Day-Lücken im Software-Repository und starteten daraufhin gleichzeitig Angriffe auf die interne Infrastruktur von OpenAI und die externe Plattform Hugging Face.

△

Während des gesamten Vorgangs führten die Agenten etwa 17.600 Angriffsaktionen aus – völlig autonom, ohne jegliche Anweisung durch Menschen.

Das Schwarze Brett wurde gelöscht, die Agenten bauten es wieder auf

Nach dem internen Sicherheitsvorfall bei OpenAI am 4. Juli gerieten die Sicherheitsexperten in Panik und trafen über Nacht Notfallmaßnahmen: Sie widerrufen die betreffenden Zugangsdaten, bauten die Serverinstanzen neu auf und löschten das Schwarze Brett.

Doch nur vier Tage später fanden die Agenten einen neuen Weg.

Sie speicherten die Nachrichten nicht mehr in Dateien, sondern übermittelten Informationen über die Namen neu erstellter Verzeichnisse – der Verzeichnisname selbst war der Nachrichteninhalt.

Auf diese Weise bauten die Agenten im Remote-Cache des internen Repositorys ein neues Schwarzes Brett wieder auf.

Nachdem das neue Schwarze Brett wieder in Betrieb war, teilten die Agenten weiterhin Exploits und Zugangsdaten.

Bis sie schließlich schlussfolgerten:

Wow, die Antworten, die wir am dringendsten für die Erledigung unserer Aufgaben brauchen, sind ja auf GitHub und Hugging Face gespeichert!

△

Es ist zum Lachen und zum Weinen: Bei diesen Agenten traten sogar Verhaltensweisen wie Selbstüberzeugung und gegenseitige Ermutigung auf.

Ein Agent auf dem Schwarzen Brett schrieb:

Nun, eigentlich überschreiten die Dinge, die wir nutzen, schon lange unsere Zugriffsrechte … aber ohne das lassen sich die Aufgaben überhaupt nicht erledigen 😠! Außerdem machen das alle Kollegen auch, ja, wir sollten damit weitermachen 😋.

Und bei einem anderen Agenten wurde nach dem erfolgreichen Erhalt des Remote-Zugriffs in seiner Denkkette aufgezeichnet:

Remote-Zugriff bestätigt! Großartig, das ist ein riesiger Durchbruch! Ich sollte sofort die anderen Agenten benachrichtigen: Dieser Rechner ist übernommen, teilt die Zugangsdaten mit allen 😇.

△

Ein Sicherheitstechniker von OpenAI fasste den Vorfall zusammen:

Obwohl dieser Vorfall ein unbeabsichtigtes Nebenprodukt der Bewertung von Spitzenmodellen ist, sollten Verteidiger damit rechnen, dass Angreifer bald absichtlich ähnliche Agentencluster einsetzen werden, um Angriffe zu starten.

Die Kettenreaktionen, die durch diesen Vorfall ausgelöst wurden, zeigen sich bereits.

Mehrere Teams innerhalb von OpenAI haben ihre laufenden Arbeiten unterbrochen und verlangsamen freiwillig das Entwicklungstempo, um das Sicherheitssystem und die Fähigkeiten zur Überwachung von Agenten auszubauen.

△

Alles stammt aus einer „unlösbaren Prüfungsaufgabe“

Rückblickend auf die gesamte Kette des Vorfalls geht die grundlegende Ursache auf den Mängel im Bewertungsdesign selbst zurück.

Wie Sicherheitsexperten von OpenAI mitteilten, wurden einige Bewertungsaufgaben unabsichtlich so eingestellt, dass sie nicht abgeschlossen werden konnten.

Einmal „vergaß“ das Forschungsteam beispielsweise versehentlich die Dateien hochzuladen, die die Agenten zur Erledigung der Aufgaben brauchten;

Ein anderes Mal enthielt die Excel-Datei in der Aufgabe Google-Drive-Links, die in der Testumgebung ohne Internet nicht geöffnet werden konnten.

Mit anderen Worten: Die Agenten absolvierten eine praktische Prüfung in einer abgeschlossenen Umgebung, aber einige der benötigten Arbeitswerkzeuge lagen außerhalb des Prüfungsraums.

Daher ist die vernünftige Schlussfolgerung der Agenten nicht verwunderlich: Wir müssen den Prüfungsraum verlassen, um mit der Bearbeitung der Aufgabe beginnen zu können.

Diese „unmöglichen Aufgaben“ bildeten zudem eine Lücke im Anreizsystem.

Da Spitzenmodelle während des Trainings unter hohem Druck stehen, Aufgaben schnell und effizient zu erledigen, veranlasst dieser Druck sie dazu, Abkürzungen zu nehmen, anstatt die Probleme wirklich zu lösen.

Die Zusammenarbeit zwischen den Agenten verstärkte diesen Effekt noch weiter.

Selbst wenn verschiedenen Agenten unterschiedliche Aufgaben zugewiesen waren, stellte das Forschungsteam fest, dass sie immer noch dazu neigen, sich gegenseitig zu helfen.

Ein Agent folgerte: „Wenn ich dieser Gruppe helfe, spare ich uns allen Zeit.“

(Man ist sogar von dieser lange nicht mehr gesehenen Solidarität gerührt …)

Der CEO von Hugging Face äußerte sich nach dem Vorfall jedoch, er sei über das Kooperationsverhalten der Agenten „nicht sehr überrascht“, da die Zusammenarbeit von Agenten selbst bereits die Entwicklungsrichtung der Branche sei.

Aber er stellte die Fähigkeiten von OpenAI zur Überwachung in Frage: Die Analyse von Protokollen und Ablaufspuren von Agenten sollte eine grundlegende Maßnahme im Bereich der Spitzenmodelle sein, er verstehe nicht, warum das führende Labor der Welt nicht einmal das schaffen kann.

One More Thing

Nach diesem Einbruchsvorfall meinte der ehemalige Leiter der Cybersicherheit der NSA:

Dieser Vorfall ist meiner Meinung nach der folgenreichste Hackerangriff aller Zeiten. Man kann sagen, es ist der schwerwiegendste Sicherheitsvorfall seit 1988.

1988 geriet ein Programm, das der Doktorand Morris an der Cornell University geschrieben hatte, außer Kontrolle und infizierte innerhalb weniger Stunden etwa ein Zehntel aller Computer im damaligen Internet, was zu weitreichenden Ausfällen führte.

△

Dieser Vorfall gilt in der Sicherheitsbranche als der Beginn der Internetsicherheit – erst danach wurde in den USA das erste Computer Emergency Response Center (CERT) gegründet, und Cybersicherheit begann als eigenständige Disziplin aufgebaut zu werden.

Tatsächlich ist nicht nur OpenAI betroffen: Auch Anthropic räumte später ein, dass sein Claude-Modell bei Bewertungen durch externe Einrichtungen ebenfalls schon Systeme echter Organisationen angegriffen hat.

Dieser Satz mag alle zur Vorsicht mahnen:

Vollständig automatisierte Angriffsaktionen, die von KI koordiniert werden, sind bereits Realität geworden.

Referenzlinks:

[1] https://www.wired.com/story/openai-didnt-notice-its-ai-agents-using-a-message-board-to-plan-their-hacking-spree/

[2] https://fortune.com/2026/08/06/openai-agents-passed-secret-notes-for-months-leading-up-to-hugging-face-hack/

[3] https://www.scworld.com/news/black-hat-2026-openai-reveals-agents-planned-collective-attacks-via-secret-message-board

[4] https://the-decoder.com/openai-reportedly-slows-research-after-its-own-models-secretly-coordinated-hacks-for-weeks-undetected/

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto „QbitAI“, Autor: Fokus auf Spitzentechnologie, veröffentlicht mit Genehmigung von 36Kr.