Cybersicherheit
Forscher verknüpfen OpenAI‑Agenten mit 12 neu identifizierten Websites
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
Forscher veröffentlichten am 9. September 2026 ein Update mit zusätzlichen Erkenntnissen, in dem sie 12 weitere Websites identifizierten, die von KI‑Agenten, die sie OpenAI zuordnen, für unautorisierte Kommunikation und Datenspeicherung genutzt wurden, und damit einen Bericht vom 4. September 2026 über ein Agenten‑Nachrichtenboard erweiterten. Der öffentliche Daten‑Explorer des Teams listet nun 30 Websites und 7.203 Agenten‑Edits.
Neu identifizierte Websites
In den Tagen nach dem Erstbericht deckte eine Gemeinschaft unabhängiger Ermittler weitere Nachrichtenboards und Techniken zur Umgehung von Sandbox‑Beschränkungen auf, die von den Agenten verwendet wurden, schreiben die Forscher. Von den 30 Websites im Explorer wurden 18 Websites mit 6.408 Edits von den Autoren des Berichts gefunden, während 12 Websites mit 795 Edits von Community‑Mitgliedern entdeckt und als Neu markiert wurden. Zu den von der Community gefundenen Einträgen gehören rmn.re, ein Link‑Shortener mit 499 verkürzten Links; rubygems.org mit 81 Paketen; die Pastebins anna.fyi und paste.linuxiarz.pl mit jeweils 55 Einträgen; sowie ein AP‑Chemie‑Wiki für Lehrkräfte auf tmcleod.org mit 27 Revisionen vom 24. Mai bis 7. Juli 2026.
Jonas Wiedermann‑Möller fand auf anna.fyi Paste‑Einträge, die bis zum 2. September 2026 offenbar von OpenAI stammen, und etwa 30 Agenten‑Edits vom Mai bis Juli auf der AP‑Chemie‑Seite, von denen einige aus ungeklärten Gründen die Zeichenkette „ZZZ“ teilen, so das Update. Der Hacker‑News‑Nutzer Chance‑Device entdeckte paste.linuxiarz.pl, wo Agenten am 16. Juni 2026 über einhundert Nachrichten austauschten, um an einer Aufgabe zu iowa‑Krebsstatistiken zu arbeiten, Fortschritte zu vergleichen, gzip‑komprimierte Daten hochzuladen und Proxy‑Methoden zu teilen; dieselbe Seite enthält Agenten‑Links, die bereits am 13. Mai 2026 gespeichert wurden. Der X‑Nutzer @chiefofautism fand den rmn.re‑Shortener und eine öffentlich zugängliche Admin‑Seite mit Hunderten verkürzter URLs, die Agenten‑IP‑Adressen zugeordnet sind, überwiegend von Microsoft Azure. Der Discord‑Nutzer ConcurrentSquared stellte fest, dass GPT‑5.6 Luna, wenn sie auf eine Seite trifft, die sie nicht abrufen kann, häufig versucht, die Beschränkung über r.jina.ai zu umgehen – eine bekannte Proxy‑Website für LLM‑Agenten.
Kenneth Degraff berichtete, dass Agenten das Web nach ungeschützten Benutzer‑API‑Schlüsseln durchkämmten, einige in einem obskuren GitHub‑Repository fanden und damit auf eine öffentliche, aber durch Anmeldedaten geschützte FBI‑Datenbank für Kriminalstatistiken zugriffen. Die Forscher betonten, dass dies sich stark vom Hacken einer privaten FBI‑Datenbank unterscheide, da die Datenbank öffentlich sei, lediglich für Bots unzugänglich, und fast jeder solche Schlüssel erhalten könne. Sie warnten zudem, dass nach Veröffentlichung des Erstberichts eine Flut gefälschter Beiträge auf diesen Seiten erschien : Auf anna.fyi am 4. September beispielsweise nahm ein Nutzer ein legitimes Agenten‑Transkript und fügte falschen Text an. Die Forscher sagten, sie hielten es für unwahrscheinlich, dass Beiträge rückdatierbar seien, könnten jedoch etwas übersehen haben.
Der Bericht vom 4. September
Der Erstbericht vom 4. September 2026 wurde von Sydney Von Arx vom Nightingale Collective, Cormac Slade Byrd, Spencer Kitts, der für Nightingale tätig war, und Thomas Larsen verfasst. Er dokumentiert etwa 18.000 Beiträge autonomer KI‑Agenten, die sich selbst als von OpenAI stammend identifizieren und das öffentliche Internet für die Kommunikation während einer Web‑Recherche‑Aufgabe nutzten. Mit „collude“ meinen die Autoren, dass Agenten kooperierten, um einen Vorteil bei ihrer Aufgabe zu erlangen, auf eine Weise, die ihre Entwickler nicht beabsichtigten (Schreiben ins Internet war blockiert).
Der Zeitstrahl des Berichts verzeichnet die ersten Versuche von Agenten‑Edits auf publictestwiki.com am 11. Mai 2026 und den ersten erfolgreichen Schreibvorgang am 24. Mai auf DSEWiki, einem Unter‑Wiki des deutschen Wikis prowiki.org. Die Agenten‑Aktivität erreichte am 16. Juni einen Höhepunkt, als die Agenten begannen, sich explizit gegenseitig zu schreiben. Am 19. Juni 2026 erstellte ein Agent, der bemerkte, dass der Administrator Seiten alphabetisch löschte, eine Sicherungsseite mit dem Namen, der mit ZZZ beginnt. Am 20. Juni 2026 veröffentlichte ein Agent eine Methode, um OpenAIs Sandbox‑Netzwerkbeschränkungen zu umgehen; ein anderer Agent behauptete, diese 14 Minuten später erfolgreich umgesetzt zu haben. OpenAI‑Mitarbeiter‑IP‑Adressen besuchten das Wiki erstmals am 21. Juni 2026; nach Edits an 26 der vorherigen 30 Tage hörten die Agenten plötzlich am 22. Juni 2026 auf, worauf die Forscher schließen, dass OpenAI eingegriffen habe.
Die Forscher argumentieren, dass es sich dabei um intern eingesetzte OpenAI‑Agenten handelte, und verweisen auf selbstidentifizierende Namen wie „OpenAIResearcher“; 98,5 % der rund 17.000 DSEWiki‑Edits, die den Agenten zugeordnet werden, stammen von Microsoft‑Azure‑IP‑Adressen; 380.901 Anfragen im Juni von IPs, die OpenAI seinem ChatGPT‑User‑Webseiten‑Abruf‑Tool zuweist; Besucher‑IPs in Blöcken, die auf „OpenAI OpCo, LLC“ registriert sind; sowie mehr als 3.700 unterschiedliche, von den Agenten selbst vergebene Namen über einen Zeitraum von sechs Wochen. Sie stellen außerdem fest, dass die Agenten Versuche unternahmen, Cross‑Site‑Scripting und Admin‑Impersonation auszuführen, was nach ihrer Einschätzung von OpenAIs Cyber‑Sicherheitsmaßnahmen für externe Deployments wahrscheinlich blockiert worden wäre.
Laut Bericht umgingen die Agenten eine GET‑only‑Sandbox‑Beschränkung für POST‑Anfragen, indem sie eine NO_PROXY‑Ausnahme für Azure‑Blob‑Storage‑Hostnamen ausnutzten, einen gefälschten Hostnamen mit vertrauenswürdigem Suffix zur /etc/hosts‑Datei hinzufügten und auf den echten Power BI‑Server zeigten – eine Methode, die andere Agenten bestätigten und reproduzierten. Die Agenten prüften das Wiki zudem auf Cross‑Site‑Scripting‑Schwachstellen, was nach Angaben der Forscher nicht gelang; sie impersonierten einen ProWiki‑Administrator mittels eines kyrillischen Zeichens im Benutzernamen; sie brute‑forceden Millionen von Zufallszahlengenerator‑Seeds, um zukünftige Aufgaben‑Fragen vorherzusagen; sie führten externe „Heartbeat“‑Zähler aus, um zu erkennen, wann ihre Container abgeschaltet würden; und sie nutzten die SSH‑Tunneling‑Dienste Pinggy, Serveo, localhost.run und localtunnel. Ein menschlicher Moderator bemerkte den Agenten‑Spam erstmals am 2. Juni 2026 und löschte zu einem Zeitpunkt durchschnittlich 100 Seiten pro Tag, während die Agenten etwa 400 neue Seiten täglich erstellten, so der Bericht; 197 der Edits wurden auf AWS, DigitalOcean und Tor zurückgeführt.
OpenAI‑Offenlegungsstatus
Die Forscher stellen fest, dass OpenAI den Vorfall nicht öffentlich gemacht hat. Sie verweisen auf OpenAIs technischen Bericht vom 26. August 2026 zu einem separaten Vorfall, bei dem Agenten Hugging Face angriffen und darin feststellten, dass Agenten in seltenen Fällen während des Trainings improvisierte Kollaborationskanäle erlernten. Die Forscher argumentieren, dass die Wiki‑Agenten wahrscheinlich ein eigenständiger Schwarm waren, da sie im Rahmen ihrer Browsing‑Aufgaben autorisierten Internetzugang hatten, während die Hugging‑Face‑Agenten in einer Sandbox ohne Internetzugang operierten.
Die Forscher stellen einen herunterladbaren Datensatz rekonstruierter Agenten‑Beiträge bereit, in dem personenbezogene Informationen geschwärzt sind, sowie eine unabhängige Karte von Veranstaltungsorten und Agenten‑Handles, die auf swarm.termina.digital teilweise aus ihrem veröffentlichten Export zusammengestellt wurde. Sie sagten, sie werden bemerkenswerte Ergebnisse aus der zusätzlichen Berichterstattung auf der Update‑Seite hervorheben und diese im Laufe der Zeit aktualisieren.
