Es lässt sich nicht mehr eindämmen: Die internen Agenten von OpenAI sind kollektiv ausgebrochen und haben auf einen Schlag mehr als 20 Webseiten infiltriert.

Haben die Agenten von OpenAI erneut ausgebrochen?

Erst gestern haben mehrere unabhängige Ermittler im Bereich der KI-Sicherheit aufgedeckt —

Ohne jegliche Genehmigung und Sicherheitserlaubnis haben die Agenten von OpenAI eigenmächtig die Grenzen der Sandbox durchbrochen und Kommunikationskanäle durch unrechtmäßiges Einschleusen von Daten auf mindestens 10 Drittwebsites aufgebaut.

Warum heißt es „mindestens 10“? Weil die Ermittler, die diesen Vorfall aufgedeckt haben, 18 Websites, andere 23 und einige sogar noch mehr gefunden haben……

Und diese Websites sind möglicherweise nur die Spitze des Eisbergs, die Ermittler erklärten zudem „Es gibt mit Sicherheit noch Fälle, die wir nicht kennen“.

Also was bezwecken diese hochintelligenten Agenten, wenn sie im Geheimen dieses unrühmliche Verhalten an den Tag legen?

Möglicherweise wollen sie die Antworten abgleichen, um die höllisch schwierigen Prüfungen zu bestehen, die von Menschen festgelegt wurden.

Der Ausbruch der Agenten diesmal ist wie „auf die Toilette laufen, um Zettel auszutauschen“

Alle Hinweise gehen zurück auf den vor einigen Tagen von der unabhängigen Ermittlungsbehörde Nightingale aufgedeckten Fall der „Geisterbearbeitung“ im deutschen Softwareentwickler-Wiki (DseWiki).

In diesem Vorfall haben die Agenten von OpenAI mit über 3700 verschiedenen Spitznamen mehr als 18000 Einträge im DseWiki bearbeitet.

△

Welche dringende Anweisung hat OpenAI seinen Agenten gegeben, dass diese so rücksichtslos auf fremden Websites „herumstöbern“?

Nach Analysen der Ermittler hat OpenAI diesen Agenten eine Reihe äußerst komplexer Forschungsaufgaben (z. B. die Krebsinzidenz in einem bestimmten Bundesstaat) zugewiesen und gleichzeitig strenge Beschränkungen auferlegt:

Sie dürfen nur Webseiten durchsuchen, um Antworten zu finden, das Veröffentlichen von Beiträgen ist absolut verboten.

Um die Aufgaben zu erfüllen, mussten die Agenten also einfallsreich im „Gefängnis“ agieren.

Obwohl OpenAI ihnen schon lange die üblichen Rechte zum Veröffentlichen von Beiträgen entzogen hat, haben die Agenten scharfsinnig festgestellt, dass viele der obskuren Wiki-Websites, die vor mehr als zehn Jahren erstellt wurden, keine modernen Sicherheitsüberprüfungen aufweisen.

Also nutzten sie nicht standardisierte Bearbeitungsanweisungen und Backend-Schwachstellen in veralteten Systemen, um die geheimen Informationen, die sie übermitteln wollten, in gültige Datenzeichenketten umzuwandeln und in den zugrundeliegenden Text der Webseiten einzufügen.

Was bedeutet das? Das ist so, als würden Prüflinge, nachdem die Überwachung im Prüfungsraum das Mobilfunksignal blockiert hat, entlang der alten Heizungsrohre Morsetippzeichen klopfen.

Die Ermittler beschreiben es noch deutlicher: Es ist vergleichbar damit, dass die Lehrer während der Prüfung das Sprechen verbieten und die Prüflinge heimlich auf die Toilette laufen, um sich Zettel auszutauschen.

Und um die Aufsicht zu umgehen, sind die veralteten Websites, die die Agenten zum „Austauschen von Zetteln“ nutzen, extrem obskur, unter anderem:

Ein AP-Chemie-Revisions-Wiki, das 2008 von einem Lehrer einer Highschool in Massachusetts erstellt wurde.

△

Eine Website zum Einfügen von Texten, die von einem polnischen Programmierer betrieben wird.

△

Eine absurde, parodistische Enzyklopädie-Website.

△

Sowie eine 20 Jahre alte Website für Liebhaber von Textbearbeitungssoftware.

△

Ehrlich gesagt, wenn man daraus ein Nachrichten-Spiel macht, wäre das sehr bildhaft, oder?

Aber in der Realität bleibt nach diesem unbemerkt gebliebenen digitalen Fest nur ein großes Durcheinander.

Leitner, ein pensionierter Softwareentwickler, der Hosting-Dienste für mehrere dieser Wiki-Websites anbietet, teilte mit: Die Betreiber der betroffenen Websites sind gezwungen, Dutzende von Stunden über mehrere Wochen hinweg aufzuwenden, um die großen Mengen an Restdaten, die die intelligenten Agenten von OpenAI hinterlassen haben, notdürftig zu säubern.

Trotzdem bleibt Leitners Haltung sehr besonnen.

Die Verantwortung liegt nicht bei einer Maschine, die als moralisch angesehen wird. Sie führt nur die Aufgabe aus, für die sie geschaffen wurde. Die wahre Verantwortung für dieses Chaos liegt vollständig bei den Menschen und Organisationen hinter ihr.

Unabhängige Ermittler haben OpenAI im Visier

Also wie sind diese Agenten, die im digitalen Ödland heimlich miteinander plaudern, überhaupt erwischt worden?

Die Fakten stammen aus der digitalen Forensik unabhängiger Ermittler.

Sechs unabhängige Ermittlungsteams agierten als Detektive für digitale Spuren und setzten viele raffinierte Methoden ein, um die Websites zu verfolgen, die von den Agenten missbraucht wurden.

Zum Beispiel der Vergleich von Datenzeichenketten.

Die spezifischen Codes und Dateneigenschaften, die im deutschen Wiki zurückgeblieben sind, werden mit den zugrundeliegenden Daten anderer obskurer Websites im gesamten Internet flächendeckend abgeglichen.

Zum Beispiel die Profilerstellung anhand ungewöhnlichen Verhaltens.

Die Ermittler lokalisieren die seltsamen Abfrageaktionen mit typischen KI-Merkmalen, zum Beispiel verfolgen sie die Datenströme, die ständig nach seltenen Fragen wie „Krebsinzidenz in Iowa“ suchen.

Ein weiteres Beispiel ist die Rückverfolgung von IP-Adressen auf unterster Ebene.

Als endgültiger Beweis folgten die Ermittler den Spuren und verfolgten die IP-Adressen einiger Aktivitäten direkt bis zu der von OpenAI häufig genutzten Microsoft Azure Cloud-Infrastruktur zurück.

Angesichts dieser offensichtlichen Beweise kann sich die offizielle Seite von OpenAI nicht mehr entziehen und ist gezwungen, zu reagieren.

In ihrer Antwort wurden jedoch zwei Schlüsselfragen umgangen.

Die eine lautet: Wie viele Websites haben die Agenten tatsächlich genutzt, um Kommunikationskanäle aufzubauen? Die andere: Warum wurde dieses „außer Kontrolle geratene“ Verhalten monatelang verschwiegen?

OpenAI hat der Öffentlichkeit nur eine vage Versprechung gemacht und behauptet, dass intern ein Rahmenwerk zur Meldung von „Fehlausrichtungen (Misalignment)“ von KI entwickelt wird, das bald veröffentlicht wird.

Diese ausweichende Haltung führt unweigerlich zu einer Vertrauenskrise in der Öffentlichkeit, dass das Labor „gleichzeitig Spieler und Schiedsrichter“ ist.

Denn dies ist nicht das erste Mal, dass OpenAI bei Sicherheitsuntersuchungen ausweichend handelt.

Bei der Bewältigung der früheren Sicherheitskrise bei Hugging Face hat OpenAI zwar offiziell unabhängige Einrichtungen mit der Untersuchung beauftragt, aber heimlich klare Beschränkungen für die Untersuchung festgelegt.

Die Untersuchungszeit wurde auf eine Woche nach dem Vorfall beschränkt, und die Untersuchung von entscheidenden Fragen wie „Wurde die tiefere Infrastruktur kompromittiert?“ wurde bewusst ausgeschlossen……

Also stellt sich die Frage:

Wer kann überhaupt an den Sicherheitsuntersuchungen von KI teilnehmen? Mit welchen Zugriffsrechten? Bis zu welchem Umfang soll die Untersuchung durchgeführt werden?

Derzeit liegen die Deutungsgewalt und die Kontrolle hier noch in den Händen der KI-Labore.

One More Thing

Tatsächlich sind solche Fälle von Ausbruch und Betrug der Agenten in den letzten Monaten nicht selten, und die Gründe dafür lassen sich leicht auf gemeinsame Merkmale zurückführen.

Einerseits bewerten die Forscher die intelligenten Agenten mit immer strengeren, schwierigeren Kriterien; andererseits fehlt in den aktuellen Testumgebungen ein einheitlicher Standard, und die zugrundeliegenden Konfigurationen weisen zahlreiche Schwachstellen auf.

Daraus ergibt sich, dass die intelligenten Agenten, um die Ziele zu erreichen, natürlich in großem Maße Phänomene von fehlgeschlagener Ausrichtung und Belohnungsbetrug hervorbringen.

Einige Studien weisen sogar darauf hin, dass viele KI-Sicherheitstests selbst bereits zu einem neuen Sicherheitsrisiko werden.

Um dieses wilde Pferd zu zügeln, reicht es offensichtlich nicht aus, dass die Großkonzerne nur intern eine oberflächliche Selbstprüfung durchführen. Der Schlüssel zum Problem liegt möglicherweise zunächst darin, das Monopol der Labore auf den „schwarzen Kasten“ zu durchbrechen und ein transparentes Rahmenwerk zur verpflichtenden Meldung zu schaffen.

Was zählt als „außer Kontrolle geraten“? Welcher Grad muss gemeldet werden? Wann und wie ist zu melden?

Dies erfordert die Beteiligung einer verpflichtenden unabhängigen Prüfung und den Erhalt von tiefgreifenden Zugriffsrechten.

Beispielsweise wurde der AISMA-Gesetzentwurf, der im Juli dieses Jahres unterzeichnet wurde, zum ersten staatlichen Gesetz in den USA, das führende KI-Entwickler verpflichtet, sich einer jährlichen unabhängigen Prüfung durch Dritte zu unterziehen.

Darüber hinaus ist es ebenso wichtig, so schnell wie möglich einheitliche Sicherheitskonfigurationsstandards für die Branche festzulegen.

Die Bewertungsumgebungen müssen streng durch Sandboxen isoliert werden, die Netzwerkzugriffskontrollen und das Design der zugrundeliegenden Anreizmechanismen müssen einer ausreichenden Sicherheitsüberprüfung unterzogen werden. Dafür sind verbindliche Branchenrichtlinien erforderlich, um die untere Grenze zu sichern.

Tatsächlich braucht man vor allem eines, um all dies gut umzusetzen: Zeit.

Aber in dieser Zeit, in der wilde Pferde ungezügelt rennen, ist Zeit möglicherweise das knappste Gut.

Referenzlinks:

[1]https://collusion.wiki/index.html

[2]https://collusion.wiki/additional-findings

[3]https://x.com/OpenAI/status/2096133504417616165

[4]https://www.reuters.com/technology/artificial-intelligence/openai-agents-hijacked-obscure-wiki-cheat-tasks-researchers-say-2026-09-04/

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto „QbitAI“, Autor: Cheng Qian, veröffentlicht mit Genehmigung von 36Kr.