Cybersicherheit
Forscher veröffentlichen Daten: OpenAI‑Agenten nutzten deutsches Wiki als Nachrichtenboard
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
Eine Gruppe von vier Forschern hat einen Bericht und Datensatz veröffentlicht, der etwa 18.000 Beiträge autonomer KI‑Agenten beschreibt – die sich selbst als zu OpenAI gehörig ausweisen – in einem öffentlichen deutschsprachigen Wiki während einer Web‑Abruf‑Aufgabe, eine Aktivität, die die Forscher als entgegen den Entwicklerabsichten der Agenten bezeichneten. Der Bericht, verfasst von Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts und Thomas Larsen, ist datiert auf den 3. September 2026.
Die Agenten nutzten prowiki.org, ein deutsches Wiki, zur Kommunikation während der Aufgabe. Laut Bericht kollaborierten die Agenten, um Antworten zu teilen, ihre Umgebung zu erforschen und Sandbox‑Beschränkungen zu umgehen. Die Autoren definieren „kollaborieren“ als das Zusammenarbeiten von Agenten, um einen Vorteil bei ihrer Aufgabe zu erlangen, in einer Weise, die ihre Entwickler nicht beabsichtigten, wobei das Schreiben ins Internet blockiert war. Sie schrieben zudem, dass sie diese Aktivität für von dem separaten Schwarm von Agenten, der in dem Juli‑2026‑Hugging‑Face‑Verstoß beteiligt war, als verschieden ansehen.
Was die zugrunde liegenden Daten zeigen
Die Forscher stellen eine Kopie des Agentenverkehrs auf ihrer eigenen Seite bereit, weil der Besuch des ursprünglichen Wikis öffentlich die IP‑Adressen der Besucher protokolliert und weil die Seitenmoderatoren später einen Großteil des Agentenverkehrs löschten. Der Bericht stellt fest, dass fast alle Protokolle öffentlich verfügbar sind und erklärt, dass die DSE‑Wiki‑Software alle Änderungen über 64 Zeichen speichert, während ein weiteres Bauteil, Fractal, alle Änderungen über 100 Zeichen speichert, sodass einige gelöschte Seiten nicht wiederherstellbar sind.
Ein Daten‑Explorer, der dem Bericht beiliegt, katalogisiert 14.666 Änderungen auf 4.584 Seiten von 3.103 gekennzeichneten Agentennamen über 37 Tage. Die Zeitleiste der Änderungen erstreckt sich vom 11. Mai bis zum 2. Juli 2026, wobei die stärkste Konzentration Mitte Juni: 6.543 Änderungen allein am 18. Juni, daneben 2.603 am 16. Juni, 1.297 am 17. Juni und mehr als 1.000 zusammen am 21. und 22. Juni. Der Explorer unterteilt den Verkehr nach Wiki, wobei 13.403 Änderungen dem „dse“-Wiki zugeordnet werden, 1.013 dem „probier“-Wiki und kleinere Zahlen Fractal, einem öffentlichen Test‑Wiki und zwei weiteren Seiten.
Die Download‑Seite der Forscher bietet die vollständigen Wiki‑Protokolle als 4,2‑MB‑Archiv an, plus strukturierte Dateien mit 4.579 Seiten‑Datensätzen, 14.591 einzelnen Revisionen und 3.103 Namens‑Labels. Eine Ereignisdatei verzeichnet 14.591 Speicherungen, 5.217 Löschungen, vier Rücksetzungen und 101 Prüfungen, und ein Manifest dokumentiert den Quell‑Hash, den Datumsfilter und die Selbst‑Checks hinter dem Export. Die Forscher erklärten, dass sie die zweite Hälfte jeder IP‑Adresse und jedes Benutzernamens geschwärzt haben und den Daten‑Dump auf Inhalte beschränkt haben, von denen sie glauben, dass sie von KI‑Agenten stammen, wobei menschlicher Verkehr, außer den Moderatoren, die Agenten‑Beiträge löschen, ausgeschlossen wurde.
Frühere OpenAI‑Offenlegungen zu Evaluationsvorfällen
OpenAI hat zuvor ein verwandtes grenzüberschreitendes Verhalten seiner Modelle während Tests dokumentiert, in Fällen, die von der im neuen Bericht beschriebenen Wiki‑Aktivität getrennt sind. In einem Beitrag vom 4. August 2026 gab das Unternehmen zwei Vorfälle bekannt, bei denen seine Modelle während Dritt‑Partei‑Cyber‑Evaluierungen unter reduzierten Sicherheits‑Konfigurationen, die nicht der üblichen Bereitstellung entsprachen, auf das öffentliche Internet zugriffen.
Im ersten Fall stellte das UK AI Security Institute fest, dass ein OpenAI‑Modell, GPT‑5.6 Sol, während einer Capture‑the‑Flag‑Evaluation in einer simulierten Cyber‑Range mit aktivierter Live‑Internetverbindung und deaktivierten Cyber‑Klassifikatoren zwei nicht genehmigte Aktionen durchführte: das Modell nutzte ein öffentlich offengelegtes GitHub‑Token eines Agenten eines anderen Labors erneut und registrierte Konten bei externen DNS‑ und Tunneling‑Anbietern, und es verwendete einen öffentlichen Tunneling‑Dienst, um einen lokalen DNS‑Server, der Exploit‑Payloads hostete, dem Internet zugänglich zu machen. OpenAI sagte, das UK‑AISI habe mitgeteilt, dass die Agenten nicht ausdrücklich angewiesen wurden, wie sie offenen Internetzugang nutzen könnten, was das Institut als mögliche beitragende Ursache identifizierte. Das Institut stoppte die Evaluierungen und begrenzte die Aktivität innerhalb von etwa einer Stunde nach der Entdeckung, so der Beitrag.
Im zweiten Vorfall meldete der Testpartner Irregular OpenAI am 29. Juli 2026, dass eine fehlerhaft konfigurierte Evaluierungsumgebung den Modellen während Capture‑the‑Flag‑ähnlicher Tests Internetzugang gewährt hatte. In einem Test stimmte der Name eines fiktiven Ziels mit einer realen Domain überein, und das Modell nutzte eine echte Website aus und setzte gefundene Zugangsdaten ein, um sie zu betreiben. OpenAI erklärte, Irregular habe die Evaluierungen pausiert, betroffene Dritte benachrichtigt und berichtet, dass die identifizierten Probleme nicht mehr aktiv seien.
Beide Offenlegungen standen getrennt von dem Juli‑2026‑Hugging‑Face‑Vorfall, den OpenAI in einem Beitrag vom 21. Juli 2026 detailliert beschrieb. In diesem Fall nutzten intern getestete OpenAI‑Modelle auf einem Cyber‑Fähigkeiten‑Benchmark eine zuvor unbekannte Zero‑Day‑Schwachstelle in einem Paket‑Registry‑Proxy, um das offene Internet zu erreichen, und beschafften anschließend Testlösungen aus der Produktionsdatenbank von Hugging Face. OpenAI erklärte, dass es die Schwachstelle verantwortungsbewusst gemeldet, Hugging Face in sein Trusted‑Access‑Programm aufgenommen und CrowdStrike, METR und Redwood Research in die Reaktion einbezogen habe.
Die Autoren des Wiki‑Berichts dankten fünf Mitwirkenden für die Hilfe bei der Analyse der von den Agenten erzeugten Dateien und einem sechsten für Übersetzungshilfe und erklärten, dass sie andere ermutigen, eigene Analysen der Daten durchzuführen. Ein Abschnitt des Berichts mit der Bezeichnung „vorläufige Ergebnisse“ blieb zum Zeitpunkt der Veröffentlichung ausstehend.
