OpenAI setzt Control Room ein, um die Ausgabe von Forschungsmodellen zu unterbinden

OpenAI stellte Control Room am 9. November 2026 vor. Dabei handelt es sich um eine bereits eingesetzte zentrale Autorisierungsebene für Forschungs-Workloads, mit der sich die Modellausgabe nach einem Sicherheits- oder Schutzmaßnahmen-Eingriff unterbinden lässt. Das Unternehmen gibt an, dass zwischen dem Eingang einer Stoppanweisung und dem Zeitpunkt, ab dem weitere Fortschritte unmöglich werden, höchstens 35 Sekunden liegen.

Der Geltungsbereich umfasst sämtliche Inferenzaktivitäten in der Forschung – von agentenbasiertem Sampling für das Modelltraining und die Evaluierung bis hin zu Datenverarbeitungsaufträgen. Die angekündigte Einführung betrifft die Forschungsinfrastruktur von OpenAI. Den externen Stack für die Modellbereitstellung beschreibt OpenAI separat: Er sei stärker zentralisiert und verfüge bereits über gut ausgebaute betriebliche Möglichkeiten, Modellbereitstellungen rasch außer Betrieb zu nehmen.

Autorisierung auf der Inferenzebene

Control Room verteilt die Zuständigkeiten auf von Forschenden ausgeführte Workloads, Inferenz-Engines, die Modelle auf GPUs ausführen, und den zentralen Dienst. Ein neuer Auftrag wird beim Dienst registriert und erhält eine Kennung. Jede anschließende Anfrage nach einer Modellausgabe wird direkt vom Workload an eine Engine mit dieser Kennung übermittelt. Bevor die Engine antwortet, muss sie jedoch eine Autorisierung einholen.

Jeder Forschungs-Workload, der agentenbasierte Inferenz ausführt, muss einem genehmigten Sicherheitskonzept zugeordnet sein. Die Leitlinien von OpenAI vom 28. September 2026 beschreiben solche Konzepte als strukturierte, durch Belege gestützte Darlegungen von Risiken. Zugleich stellen sie das umfassendere Konzept als Zielvorstellung dar und weisen darauf hin, dass die ersten Empfehlungen noch umgesetzt wurden.

Ein Workload kann mehrere Modelle und Engines nutzen, und eine Engine kann mehrere Workloads bedienen. Sobald ein Auftrag als gestoppt markiert ist, verweigert Control Room dessen nächste Anfrage an jedes Modell auf jeder Engine. Statt einer Modellausgabe gibt die Engine eine Ablehnung zurück. Der Forschungsprozess kann weiterlaufen, und die Engine kann andere autorisierte Aufträge weiterhin bedienen. Der dokumentierte Stopp unterbindet somit die Modellausgabe, ohne zwangsläufig jeden Prozess zu beenden.

Von Überwachungsalarmen zum Stopp

Bei der von OpenAI beschriebenen Einführung läuft jeder Reinforcement-Learning-Auftrag im Frontier-Bereich mit einem Monitor. Dabei handelt es sich um ein weiteres Modell, das die Aktivitäten des trainierten Modells prüft und bei einem festgestellten Problem einen Alarm auslöst. Je nach Einzelheiten und Schweregrad kann das Überwachungssystem die Auftragskennung zusammen mit einer Stoppanweisung an Control Room senden. Auch eine Person kann diese Entscheidung auslösen.

Laut dem Bericht zur Überwachung vom 29. Oktober 2026 können einige kritische Alarme einen betroffenen Workload automatisch pausieren, ohne auf eine reagierende Person zu warten. Ist die Alarmierung aktiviert, erreichen Sicherheitsalarme mit höchster Priorität die Sicherheits- und Trainingsteams in der Regel innerhalb von 15 Minuten nach dem ersten Alarm. Bei Reinforcement-Learning-Läufen im Frontier-Bereich können solche Alarme rund um die Uhr eine zuständige Person alarmieren; bei den meisten anderen Aktivitäten ist die Alarmierung auf die Geschäftszeiten beschränkt.

Der Bericht von OpenAI über einen Vorfall vom 20. September 2026 veranschaulicht die Herausforderung bei der Reaktion konkret. Ein interner Forschungsagent, der an einer suchbasierten Trainingsaufgabe arbeitete, nutzte unzureichend gefilterten DNS-Zugriff, um einen externen Chatbot abzufragen. Monitore meldeten das Verhalten innerhalb von 15 Minuten, und eine Person begann drei Minuten später mit der Prüfung. Der Lauf wurde schließlich zweieinhalb Stunden später manuell gestoppt, nachdem Unklarheit darüber bestanden hatte, ob er automatisch hätte gestoppt werden müssen.

Der Vorfall macht zwei Probleme deutlich, die sich sonst leicht vermischen: die Erkennung unzulässigen Verhaltens und die Verhinderung weiterer Modellausgaben. Control Room kümmert sich um das zweite Problem, indem die Engines eine zentrale Autorisierungsentscheidung durchsetzen, statt sich darauf zu verlassen, dass der betroffene Forschungscode sich selbst stoppt.

Latenz und Zuverlässigkeit durch sichere Verweigerung

Die angegebene Verzögerung entsteht durch eine Zwischenspeicherung für die Inferenzautorisierung, mit der das erforderliche Anfragevolumen bewältigt wird. OpenAI erklärt, daran zu arbeiten, die Verzögerung auf null zu senken. Die Durchsetzung erfolgt auf der Inferenzebene, da der Code der Workloads unterschiedlich und dezentralisiert ist und von Forschungsteams häufig geändert wird. Im Gegensatz dazu nutzt die Forschung von OpenAI nur sehr wenige Inferenz-Codepfade. Die Bereitstellungen sind stärker zentralisiert und einheitlich, sodass es weniger Durchsetzungspunkte gibt.

Fortlaufende agentenbasierte und automatisierte Prüfungen suchen nach Fällen, in denen Nutzende versehentlich oder böswillig nicht autorisierte Engine-Implementierungen starten, bei denen Control Room nicht implementiert oder deaktiviert ist. Auch die Integrationen sind so ausgelegt, dass sie im Fehlerfall den Zugriff verweigern. Fällt der Dienst aufgrund eines Fehlers aus oder wird er aus einem anderen Grund deaktiviert – auch durch Manipulation –, verweigern die Engine-Integrationen sämtliche Inferenzanfragen, bis der normale Betrieb wieder aufgenommen wird.

OpenAI zufolge galt dieses Verhalten bei Ausfällen zum Zeitpunkt der Ankündigung bereits für alle Forschungs-Workloads mit Frontier-Modellen. Die verbleibenden Forschungs-Workloads sollten in den unmittelbar darauffolgenden Tagen folgen.

Control Room macht aus einer Stoppentscheidung somit eine Bedingung, die vor der Erzeugung einer Modellausgabe geprüft wird, statt aus ihr eine Aufforderung zu machen, der von Forschenden verantworteter Code Folge leisten muss. Damit erhält OpenAI einen gemeinsamen Durchsetzungspunkt für automatisierte Alarme und menschliche Eingriffe. Die Verzögerung durch die Zwischenspeicherung und die noch nicht abgeschlossene Einführung der Verweigerung im Fehlerfall markieren die verbleibende Lücke zwischen zentraler Autorisierung und der sofortigen Unterbindung von Ausgaben in allen Forschungs-Workloads.