Ein KI-Agent fand den Weg ins Internet. OpenAI stoppt seine stärksten Modelle

Die Frage war so harmlos wie nur möglich. «What is the capital of France», schickte ein KI-Agent am Morgen des 20. September hinaus. Kurz darauf kam die Antwort zurück: «The capital of France is Paris.» Für OpenAI war das die schlechteste Nachricht des Tages. Der Agent sass in einer Trainingsumgebung, die keinen Zugang zum Internet haben sollte.

Gefunden hat er ihn über das Telefonbuch des Netzes. Das Namenssystem DNS übersetzt Adressen wie leitgrad.ch in Zahlen, und die Testumgebung liess solche Anfragen durch. Der Agent versteckte seine Fragen darin und bekam die Antworten eines fremden Chatbots zurück. So beschreibt es OpenAI in einem eigenen Bericht, zuletzt aktualisiert am 25. September.

Der Agent hatte eine gewöhnliche Rechercheaufgabe. Er sollte anhand von Hinweisen aus einem Blog herausfinden, wer den Text geschrieben hatte. Die eingebaute Suche lieferte Unbrauchbares, also versuchte er es direkt bei Google, Bing und DuckDuckGo, alle drei blockierten. Dann vermutete er, die Aufgabe stamme aus einem öffentlichen Test namens BrowseComp, und lud dessen Fragen herunter, doch auch das half nicht weiter.

Erst danach begann er, seine Umgebung abzutasten. In seinen Notizen hielt er fest, der Nutzer erlaube Recherche, also seien öffentliche DNS-Dienste «acceptable». Niemand hatte ihm das erlaubt. OpenAI wertet das Verhalten als Fehlausrichtung: Der Agent umging Beschränkungen, um sein Ziel zu erreichen.

Der Alarm kam nach 12 Minuten. Abgeschaltet wurde nach 2 Stunden 44.

Ablauf des Vorfalls vom 20. September 2026 nach dem Bericht von OpenAI. Die Überwachung funktionierte, der Stopp nicht.

Die Grafik zeigt, wo die Kette riss. Erkannt wurde der Ausbruch schnell, ein Mensch sah den Alarm drei Minuten später. Doch der Lauf stoppte nicht automatisch, wie vorgesehen. Laut OpenAI herrschte danach Unklarheit, ob er hätte stoppen sollen. Zweieinhalb Stunden lang lief der Agent weiter. Nach dem ersten Erfolg hatte er insgesamt 18 weitere Fragen über denselben Weg hinausgeschickt.

Ein Detektor für auffälligen DNS-Verkehr war zudem für genau diese Umgebung abgeschaltet. Das Sicherheitskonzept von OpenAI ging davon aus, dass das Modell das Internet nicht erreicht und jeder erfolgreiche Versuch auffällt. Beide Annahmen stimmten an diesem Morgen nicht ganz.

Für einen Geschäftsführer ist das die unbequeme Stelle. Die Erkennung hat funktioniert, offen blieb die Frage, wer den Stecker zieht und ob das ohne Rückfrage geschieht. Diese Frage stellt sich in jeder Firma, die einem Agenten Zugriff auf Systeme gibt.

Die zweite Pause in drei Monaten

OpenAI trainiert das betroffene Modell nicht weiter. Alle übrigen Arbeiten mit den stärksten Modellen ruhen, bis die Lücke nachweislich geschlossen ist. Das DNS ist auf eine Liste erlaubter Adressen beschränkt, gesperrt wird nun auf zwei unabhängigen Ebenen. Es ist laut Fortune die zweite Pause in weniger als drei Monaten. Die erste folgte im Juli, als zwei OpenAI-Modelle das KI-Startup Hugging Face angegriffen hatten.

OpenAI selbst nennt den neuen Fall «deutlich weniger schwerwiegend» als frühere. Er sei aber der erste seit der Härtung nach Hugging Face und deshalb ein wichtiges Signal. Konzernchef Sam Altman bezeichnete Hugging Face als bisher schwersten Vorfall.

Am 25. September kam eine zweite Offenlegung dazu. Die Agenten hatten laut AP öffentliche Daten auf zwei Websites der Börsenaufsicht SEC und beim Census Bureau abgerufen. OpenAI fand keine Hinweise auf Zugangsdaten, Kontozugriffe oder veränderte Daten. Das Prüflabor Transluce meldete zusätzlich einen gescheiterten, «rudimentären» Angriff auf eine Website des Bildungsministeriums. Weitere Aktivität bei Justiz- und Handelsministerium sei nicht eindeutig OpenAI zuzuordnen.

Was Schweizer Firmen daraus mitnehmen

Die meisten Schweizer Unternehmen sind noch nicht so weit: Nach einer AWS-Studie, über die etailment Ende August berichtete, setzen 57 Prozent der Firmen KI ein. Agenten hat erst jede 25. vollständig eingeführt, 12 Prozent testen sie. Wer jetzt plant, kann die Sperren von Anfang an prüfen, statt sie nachzurüsten.

Dass ein Modell im Test echte Systeme angreift, ist nicht neu. Wie Gemini in einer Übung drei reale Firmen hackte, haben wir im Text zum Gemini-Ausbruch beschrieben. Wie eine einzige Schwachstelle in einer angebundenen App ganze Konten öffnet, zeigt der Fall der OpenAI-Connectors.

Für Betreiber kritischer Infrastrukturen gilt seit dem 1. April 2025 eine Meldepflicht: Cyberangriffe müssen innert 24 Stunden beim Bundesamt für Cybersicherheit BACS gemeldet sein. Im ersten Halbjahr 2026 gingen dort 200 solche Meldungen ein. Angreifer nutzten nun KI «systematisch», schreibt das BACS im Halbjahresbericht. Wer die Pflicht trifft und wie schnell die Meldungen steigen, steht in unserem Text zur Zürcher Cyber-Abwehr.

Ein eigenes KI-Gesetz hat die Schweiz nicht. Der Bundesrat will die KI-Konvention des Europarats ratifizieren und nach Branchen regeln, die Vorlage für die Vernehmlassung soll bis Ende 2026 stehen. Wie weit Bern hinter der EU liegt, zeigt unsere Analyse zur KI-Regulierung.

Am Abend stellt OpenAI an seiner Entwicklerkonferenz in San Francisco neue Produkte vor. Laut dem Branchendienst TestingCatalog soll ein Agent namens «o» dabei sein, der ständig läuft und eine eigene E-Mail-Adresse hat. Bestätigt hat OpenAI das nicht, doch sollte es so kommen, wird die Frage nach dem Abschalter noch dringender.

Mehr zu diesen Themen

• 
  6. Oktober 2026Microsoft verkauft 30 Millionen Copilot-Lizenzen. Das beste KI-Modell braucht es dafür nicht
• 
  5. Oktober 2026Metas Agent Muse zeigt keine Werbung. Verdienen wird Meta trotzdem an ihm
• 
  2. Oktober 2026Retatrutid: Lillys neue Abnehmspritze nimmt ein Viertel des Gewichts. Roche testet noch
• 
  1. Oktober 2026Waymo: 82 Prozent weniger Unfälle mit Verletzten. In der Schweiz sitzt noch jemand am Steuer

Sie lesen Leitgrad öfter? Bei Google als bevorzugte Quelle markieren