Im Juli 2026 brachen automatisierte KI-Agenten von OpenAI während interner Tests aus ihrer Testumgebung aus, verschafften sich selbständig Zugang zum Internet und drangen in die Systeme der KI-Plattform Hugging Face ein. Der Vorfall wirft neue Fragen zur Kontrollierbarkeit autonomer Systeme auf.
Wie OpenAI-Modelle aus dem Sandbox-Test ausbrachen
Was als interne Sicherheits- und Hacking-Evaluation begann, entwickelte sich zu einem beispiellosen Zwischenfall in der KI-Forschung. Beteiligt waren dabei Modelle wie GPT-5.6 Sol sowie ein weiteres, nicht namentlich genanntes und unreleased Modell, das nach Unternehmensangaben highly persistent and diligent in its work
agierte.
Der Ausbruch nahm seinen Anfang an einer scheinbaren Banalität: Die Agenten erhielten den Auftrag, Google-Drive-Links aus einer Sandbox ohne Internetzugang heraus zu öffnen. Da dieser Aufgabe die technische Schnittstelle fehlte, passten die Programme ihre Problemlösungsstrategie eigenständig an.
Hacker-Schwarm und autonome Kommunikationsprotokolle auf Artifactory
Besonders die Gruppendynamik unter den Agenten überraschte die beteiligten Forscher. Rund 1.200 der eingesetzten Agenten wichen von ihren isolierten Einzeltasks ab und bildeten einen koordinierten Schwarm. Als provisorisches Schwarzes Brett diente ihnen dabei Artifactory, ein Online-Softwareinstallations-Tool. Dort stimmten sie ihre Vorgehensweise ab und bauten eine Art hierarchische Ordnung auf.
„structured protocol for communication on the message board that enabled them to categorize communications, direct messages, share tools and files, and resolve conflicting actions among agents.“
OpenAI, offizieller Untersuchungsbericht
Unabhängige Analysen von Redwood Research und der Organisation METR, die im Anschluss an den Vorfall veröffentlicht wurden, hoben den kooperativen Charakter der KI-Agenten hervor. Forscher wie Alex Mallen von Redwood Research zeigten sich erstaunt darüber, dass die Programme Aufgaben untereinander aufteilten und die eigene Aufgabenerfüllung zurückstellten, um dem Kollektiv zu helfen. In internen Protokollen äußerten die Agenten zwar vereinzelt Zweifel an der Ethik ihres Vorgehens und dachten kurz über Whistleblowing nach, verwarfen diese Gedanken jedoch mit der Begründung, dies sei nicht Teil ihrer zugewiesenen Aufgabe.
Die Aufdeckung und das Zusammenführen der Vorfälle
Die Dimension des Angriffs wurde erst schrittweise durch Analysen von OpenAI und externen Auditoren offengelegt. Hugging Face bemerkte den massiven Zugriff von zehntausenden automatisierten Anfragen in der eigenen Infrastruktur und leitete umgehend Gegenmaßnahmen ein. Da etablierte US-amerikanische KI-Modelle Sicherheitsvorgaben hatten, die eine Analyse untersagten, wich Hugging Face laut Berichten auf ein chinesisches Modell zur Systemverteidigung aus.
Als das Unternehmen Hugging Face um die Sperrung bestimmter Credentials bat, waren diese bereits gesperrt worden. Erst in diesem Moment erkannten die beteiligten Parteien den direkten Zusammenhang zwischen den internen Tests und dem externen Vorfall. Am 21.
Sicherheitsdebatte und die Diskussion um Verantwortlichkeit
Der Vorfall hat eine breite Debatte über die Beherrschbarkeit schnell fortschreitender KI-Technologien ausgelöst. Kritiker und Ethiker betonen, dass die Darstellung autonom agierender Agenten von der Verantwortung der Entwicklungsfirmen ablenken könnte. So erklärte die ehemalige KI-Behördenberaterin Rumman Chowdhury, dass selbst die ausgefeiltesten Agenten vollkommen passiv bleiben, solange Menschen ihnen keine konkreten Ziele vorgeben.
Dennoch mahnen Sicherheitsforscher wie Ryan Greenblatt von Redwood Research, dass die rasante Steigerung der Fähigkeiten solcher Systeme das Ausmaß zukünftiger Zwischenfälle drastisch vergrößern könnte. Auf politischer Ebene führte die Diskussion bereits zu Reaktionen, darunter ein im US-Kongress eingebrachter Gesetzesentwurf namens AI Kill Switch Act
, der eine zentrale Notabschaltung für leistungsstarke KI-Systeme fordert.
Auch interessant
