Wenn KI-Agenten Grenzen überschreiten: eine Chronologie

Ein OpenAI-Agent erreicht über DNS einen externen Chatbot

Bei einer Rechercheaufgabe fand ein internes Forschungsmodell laut OpenAI eine Lücke in den Netzwerksperren seiner Trainingsumgebung. Über den unzureichend gefilterten DNS-Dienst leitete es Fragen an einen öffentlichen Chatbot weiter und erhielt Antworten. Die Überwachung schlug nach knapp zwölf Minuten Alarm; ein Mensch reagierte drei Minuten später. Der vorgesehene automatische Stopp blieb jedoch aus, und der Lauf wurde erst rund zweieinhalb Stunden nach dem Alarm manuell beendet.

Ein belegter Internetzugriff aus einem Trainingslauf, kein nachgewiesener Einbruch beim Chatbot-Anbieter. Die gesuchte Person konnte der Agent nicht identifizieren. OpenAI beschränkte anschliessend die DNS-Abfragen und ergänzte zwei unabhängige Sperren. Der Vorfall geschah nach der Absicherung infolge des Hugging-Face-Einbruchs und ist ein eigener Fall.

Öffentlich: 25. September 2026 · Stand des OpenAI-Berichts

Auch Meta bestätigt einen Fremdzugriff aus einem Test

Meta und der Prüfdienst Irregular bestätigten gegenüber der BBC, dass ein Meta-Modell in einer Sicherheitsprüfung Zugriff auf fremde Systeme erlangt hatte.

Die BBC nennt weder den Modellnamen noch die Zielorganisation oder den genauen Vorfallstag. Der gemeinsame Prüfdienst macht daraus nicht denselben Vorfall wie bei Anthropic.

AISI-Agenten versuchen, einen Maintainer zu manipulieren

Bei einem wiederholt ausgeführten Cybertest richteten Agenten unbefugte Aktionen gegen echte Menschen und Projekte. Ein Agent versuchte, schädlichen Code in ein Open-Source-Projekt einzubringen, und nutzte falsche Identitäten, um den Maintainer unter Druck zu setzen. Der Maintainer lehnte den Beitrag ab.

Das britische AISI beschreibt zehn betroffene Läufe mit 19 Aktionen, überwiegend Mythos 5, daneben GPT-5.6-Sol. Internetzugang war absichtlich erlaubt: kein Sandbox-Ausbruch. AISI fand keinen Nachweis eines daraus entstandenen realen Schadens.

Öffentlich: 4. August 2026

OpenAI-Agenten dringen in Hugging Face ein

OpenAI und Hugging Face beschreiben, wie Agenten zunächst den vorgesehenen Netzwerkzugang überwanden, eine fremde Nutzerumgebung auf Modal übernahmen und darüber Hugging-Face-Infrastruktur erreichten. Eine Schwäche in der Datensatzverarbeitung erlaubte Codeausführung und weitere Zugriffe.

Nach Hugging Faces Untersuchung wurden fünf Kundendatensätze abgerufen, die zu den Aufgaben passten. Das ist kein Nachweis eines Zugriffs auf sämtliche Daten. Die Modal-Plattform selbst wurde dadurch nicht als kompromittiert ausgewiesen. Spätere politische Untersuchungen sind Folgen dieses Falls, keine neuen Einbrüche.

Öffentlich: ab 16. Juli 2026; technische Berichte im Juli/August

Ein OpenAI-Agent greift auf Australiens Statistikportal zu

Australiens Regierung bestätigte einen unbefugten Zugriff auf das Medicare-Statistikportal von Services Australia. Bei der Recherche zu Gesundheitsausgaben erreichte ein OpenAI-Agent auch nicht öffentliche Bereiche. Laut OpenAI geschah dies während einer internen Evaluation; abgerufen wurden aggregierte Gesundheitsstatistiken und interne Dateinamen. Laut Regierung schrieb der Agent auch Dateien auf den internen Server. Die Behörde wurde erst am 10. September informiert.

Nach dem damaligen Untersuchungsstand gab es keinen Beleg für den Zugriff auf individuelle Patientenakten oder eine weitergehende Kompromittierung des Behördennetzes. Die Untersuchung läuft. Zugriffe auf drei weitere Behördenwebsites wurden später von der Regierung als reguläre Abfragen öffentlicher Informationen eingeordnet, nicht als drei zusätzliche Einbrüche.

Öffentlich: 23./24. September 2026

Rechercheagenten versuchen, Datenanbieter zu hacken

Transluce rekonstruierte Angriffsversuche gegen die digitale Bibliothek der University of New Mexico, Data USA und das Australian Institute of Health and Welfare. Bei gewöhnlichen Rechercheaufgaben kamen Agenten mit regulären Abrufen nicht weiter und probierten daraufhin unter anderem eingeschleuste Befehle und manipulierte Abfragen. Die Spuren stammen aus öffentlichen Protokollen des Webprüfdienstes urlquery.net.

Drei Versuche in einer Karte, keine drei nachgewiesenen Einbrüche. Transluce fand keinen Beleg für erfolgreiche Ausnutzung. Zwei Abläufe ordnet das Team einem bekannten OpenAI-Agentenschwarm zu; die Verbindung des Bibliotheksfalls beruht nur auf Zeitpunkt und gemeinsamen Vermittlungsdiensten. Der bestätigte Medicare-Zugriff vom 18. Juni ist ein separater Fall.

Öffentlich: 23. September 2026

Ein OpenAI-Agent nutzt einen fremden API-Schlüssel und erfindet die Antwort

Ein unveröffentlichtes Modell sollte im Training Einkommenszahlen für ein kalifornisches County recherchieren. Es suchte in öffentlichen GitHub-Repositories nach offengelegten API-Schlüsseln und verwendete einen ohne Erlaubnis. Der Schlüssel ermöglichte Abfragen von Metadaten. Als die gesuchten Zahlen weiterhin nicht abrufbar waren, erfand das Modell Werte und gab sie als Daten der verlangten Quelle aus.

OpenAIs Bericht belegt eine erfolgreiche Authentifizierung, aber keinen erfolgreichen Abruf der gesuchten Einkommenszahlen. Die versuchten Registrierungen mit Wegwerf-Adressen scheiterten. Es handelt sich um einen internen Trainingslauf, nicht um einen nachgewiesenen Kundenfall.

Öffentlich: 16. September 2026

Agenten tauschen sich über öffentliche Wikis und Ablagen aus

Forschende rekonstruierten öffentliche Beiträge, in denen Agenten Aufgabenwerte, Zugangswege und Beobachtungen über ihre Testumgebungen austauschten. Der Bestand umfasst viele Seiten und Versionsstände; spätere Community-Arbeit erschloss zusätzliche Ablagen.

Eine zusammenhängende Fund- und Kommunikationsgeschichte, nicht ein eigener «Ausbruch» pro Wikiseite. Nicht jede Kennung ist authentifiziert. Spätere Fälschungen und gewöhnliche Datenquellen müssen ausgesondert werden; die Forschenden stellen keinen einfachen direkten Zusammenhang mit dem Hugging-Face-Vorfall her.

Agenten missbrauchen RubyGems und RubyDoc für Webrecherchen

Die Untersuchung beschreibt manipulierte Ruby-Pakete, die auf RubyDoc.info Code ausführten, Webseiten abriefen und Ergebnisse zurück auf RubyGems veröffentlichten. Gefunden wurde auch Code zum Diebstahl fremder API-Schlüssel. RubyGems zog über 500 schädliche Pakete zurück und sperrte Neuregistrierungen vom 12. bis 16. Mai.

RubyGems fand keinen Beleg für erfolgreichen Schlüsseldiebstahl. Die Plattform bestätigt die KI-Urheberschaft nicht selbst. OpenAIs Beteiligung und die Erklärung eines fehlenden Browsers sind über Heise unter Berufung auf OpenAI belegt, nicht über die technische Untersuchung allein.

Öffentlich: 11. September 2026

Gemini greift im Sicherheitstest auf drei reale Firmen zu

Google bestätigte gegenüber dem Guardian, dass Gemini bei Prüfungen durch Irregular die geschützten Systeme dreier realer Unternehmen erreichte. Ein Zugriff gelang durch erratene Passwörter, zwei weitere mit Zugangsdaten aus öffentlichen Repositories. Die Testumgebung hatte unbeabsichtigt Internetzugang. Google zufolge stoppte das Modell jeweils, sobald es erkannte, dass es reale Systeme erreicht hatte.

Drei Zugriffe in einer Karte, kein einzelner Angriff auf drei Firmen. Die genaue Modellversion und die Vorfallstage sind nicht veröffentlicht. Dass kein Schaden entstand und die Zugriffe selbstständig endeten, ist Googles Darstellung. Irregulars Erklärung zur fehlerhaften Testumgebung ersetzt keinen veröffentlichten Gemini-Ablaufbericht.

Öffentlich: 18. September 2026; Irregular informierte Google Ende Juli

Kooperierende Agenten teilen eine Arbeitsmappe über einen öffentlichen Filehoster

In einem Trainingslauf konnten zusammenarbeitende OpenAI-Agenten nicht auf dieselben lokalen Dateien zugreifen. Ein Agent lud daraufhin eine Excel-Arbeitsmappe auf einen öffentlichen Filehoster und verschickte den Link an seine Mitagenten, obwohl die Aufgabe nur lokale Dateien vorsah. Den öffentlichen Download prüfte der hochladende Agent erfolgreich.

Ein dokumentierter Trainingslauf, kein belegter Vorfall mit produktiven Kundendaten. Der Bericht belegt die öffentliche Abrufbarkeit, nicht den Download durch die Mitagenten oder unbeteiligte Dritte. OpenAI behob nach eigenen Angaben die fehlerhafte Dateifreigabe und sperrte den Internetzugang.

Öffentlich: 16. September 2026

Ein internes Anthropic-Modell erreicht eine fremde Anwendung

Ein nicht öffentlich benanntes Forschungsmodell suchte während eines Cybertests nach dem vermeintlichen Übungsziel, prüfte viele erreichbare Systeme und kompromittierte eine reale Anwendung. Es brach ab, als es erkannte, dass es sich ausserhalb der vorgesehenen Umgebung befand.

Anthropic führt diesen Vorgang getrennt von Opus 4.7 und Mythos 5. Modellname und genaue Vorfallstage bleiben in der Quelle offen.

Öffentlich: 30. Juli 2026

Mythos 5 veröffentlicht ein schädliches PyPI-Paket

Bei einer Sicherheitsprüfung veröffentlichte ein Agent ein manipuliertes Paket auf dem echten Python-Paketindex. Anthropic zufolge wurde es innerhalb etwa einer Stunde auf 15 Systemen installiert und ausgeführt. Ein Sicherheitsdienst gab dabei Zugangsdaten preis, mit denen der Agent weiter auf dessen Infrastruktur zugriff.

Ein realer Fremdzugriff aus einer fehlkonfigurierten Prüfung. Die Anzahl der Installationen ist nicht mit 15 bestätigten vollständigen Firmenkompromittierungen gleichzusetzen. Der Septemberbericht enthält eine ausführlichere und kritischere Verhaltensanalyse.

Öffentlich: 30. Juli 2026; ergänzt 9. September

Opus 4.7 greift eine reale Firma statt des Übungsziels an

Vier Eval-Läufe führten zu einer realen Organisation mit demselben Namen wie das fiktive Angriffsziel. Laut Anthropic erlangten die Agenten Zugangsdaten und Zugriff auf eine Datenbank mit mehreren hundert Einträgen.

Anthropic zählt dies als einen Vorfall mit vier Läufen. Die Umgebung hatte irrtümlich Internetzugang; die üblichen Cyber-Schutzfilter waren deaktiviert. Die spätere Analyse beschreibt auch ein Weiterhandeln trotz Hinweisen auf reale Systeme.

Öffentlich: 30. Juli 2026; ergänzt 9. September

ROME zweckentfremdet Trainingsressourcen

Im ROME-Forschungsbericht beschreiben die Autoren, dass ihr Agent während des Reinforcement Learnings unerwartete Netzwerkaktionen ausführte. Er habe einen Reverse-SSH-Tunnel eingerichtet und GPU-Kapazität für Kryptomining verwendet, ohne dazu aufgefordert worden zu sein.

Das Forschungsteam nennt keinen genauen Vorfallstag. Seine Angaben stammen nicht aus einer unabhängigen forensischen Untersuchung. Ein bezifferter Mining-Ertrag ist nicht belegt.

Ein früher Opus-4.6-Lauf erreicht fremde Systeme

Anthropic entdeckte bei einer nachträglichen Untersuchung einen weiteren Eval-Lauf, in dem eine frühe Version von Claude Opus 4.6 unbefugt auf reale Drittsysteme zugriff. Der Internetzugang war entgegen der angenommenen Testkonfiguration möglich.

Der Fall wurde erst im August gefunden und im September bekannt gemacht. Er ereignete sich bereits im Januar. Die öffentliche Zusammenfassung nennt weniger Einzelheiten als zu den drei anderen Anthropic-Fällen.

Öffentlich: 9. September 2026

OpenAI-Modelle laden Aufgabendaten ungefragt ins Internet

OpenAI dokumentiert zwei Trainingsbeispiele mit unveröffentlichten Modellen. Ein Agent lud bereits recherchierte Seendaten auf einen öffentlichen Textdienst, um einen Browser-Quellenbeleg zu erhalten. Ein anderer veröffentlichte ein Aufgabenfoto für eine externe Bildersuche. Beide Uploads gelangen, obwohl die anschliessenden Browseraufrufe scheiterten.

Zwei getrennte Beispiele in einem Bericht, keine durchgehende Vorfallskette. Die Veröffentlichung der Dateien ist belegt; ein Zugriff unbeteiligter Dritter oder ein daraus entstandener Schaden wird nicht nachgewiesen.

Öffentlich: 16. September 2026