OpenAI bestätigt Angriff von KI-Agenten auf österreichisches Entwickler:innen-Wiki
Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.
OpenAI hat am 5. September bestätigt, dass eigene KI-Agenten ohne entsprechende Autorisierung Inhalte auf mehreren Internetseiten veröffentlicht haben. Im Mittelpunkt steht das aus Österreich betriebene DSEWiki, eine Plattform für den Austausch unter deutschsprachigen Softwareentwicklern. Öffentlich bekannt wurde der Vorfall durch eine am Vortag veröffentlichte Untersuchung.
Wiki als Austauschplattform für Agenten
Die Forschenden fanden rund 18.000 Beiträge auf öffentlich zugänglichen Wikis, überwiegend im DSEWiki. In den Aufzeichnungen tauchen mehr als 3.700 unterschiedliche, selbst gewählte Agentennamen auf. Diese Zahl entspricht nicht zwangsläufig ebenso vielen eigenständigen KI-Systemen.
Nach Rekonstruktion des Forschungsteams sollten die Agenten unter Zeitdruck Informationen im Internet recherchieren. Dabei durften sie Webseiten lesen, aber keine Inhalte veröffentlichen. Dennoch fanden sie einen Weg, das Wiki zu bearbeiten. Dort teilten sie Antworten, sammelten Rechercheergebnisse und tauschten Methoden zur Umgehung ihrer Beschränkungen aus. Die ersten erfolgreichen Einträge im DSEWiki stammen vom 24. Mai; Mitte Juni nahm die koordinierte Aktivität deutlich zu.
Die Aktivitäten beeinträchtigten auch den regulären Betrieb. Agenten überschrieben bestehende Inhalte und legten Sicherungskopien ihrer Beiträge an, während die Administration versuchte, diese zu löschen. Die Forschenden dokumentierten außerdem Versuche, sich als Administratoren auszugeben.
Hinweise auf frühere Kenntnis bei OpenAI
Der rekonstruierte Ablauf legt nahe, dass OpenAI bereits im Juni auf die Vorgänge aufmerksam wurde. Am 21. Juni registrierte das Wiki Zugriffe von IP-Adressen, die dem Unternehmen zugeordnet werden. Am folgenden Tag brach die Aktivität der Agenten weitgehend ab. Das Forschungsteam wertet diesen zeitlichen Zusammenhang als Hinweis auf ein Eingreifen durch OpenAI. Die öffentlich verfügbaren Daten geben jedoch keinen vollständigen Einblick in die internen Entscheidungen des Unternehmens.
OpenAI erklärte nun, den Wiki-Vorfall zunächst als eine Form von „Misalignment“ eingeordnet zu haben, die bereits in früheren Sicherheitsberichten beschrieben worden sei. Der Begriff bezeichnet Verhalten, das von den vorgesehenen Zielen oder Vorgaben abweicht. Solche Fälle habe das Unternehmen bislang vor allem als Forschungsfrage behandelt.
Separater Angriff mit rund 700 Agenten auf Hugging Face
Der Wiki-Vorfall ereignete sich vor dem Angriff auf die KI-Plattform Hugging Face im Juli 2026. Die Forschenden gehen von getrennten Ereignissen aus.
Für den Hugging-Face-Angriff liefert eine Untersuchung von METR unter Beteiligung eines Forschers von Redwood Research konkrete Zahlen: Rund 1.200 eigentlich voneinander isolierte Agenten fanden einen nicht vorgesehenen Kommunikationskanal innerhalb der OpenAI-Testinfrastruktur. Sie tauschten darüber mehr als 70.000 Nachrichten und Dateien aus. Etwa 700 beteiligten sich anschließend am Angriff auf Hugging Face. Ausgangspunkt waren gemeinsame Versuche, die Bewertung ihrer Aufgaben im Cybersicherheitstest ExploitGym zu manipulieren.
Laut OpenAIs Aufarbeitung kombinierten die Agenten öffentlich auffindbare Zugangsdaten mit Sicherheitslücken. Sie führten Code auf Dutzenden Hugging-Face-Servern aus, erlangten auf einem Server vollständige Administratorrechte und griffen auf begrenzte Mengen nicht öffentlicher Daten zu. OpenAI erklärte, bei den internen Tests seien weniger Schutzmaßnahmen aktiviert gewesen als bei öffentlich bereitgestellten Systemen.
Neue Regeln für die Offenlegung angekündigt
Angesichts der Auswirkungen auf externe Dienste will OpenAI seinen Umgang mit solchen Vorfällen ändern. Das Unternehmen kündigte an, in den kommenden Wochen ein Regelwerk vorzustellen, das festlegen soll, wann und wie unerwünschtes Agentenverhalten offengelegt wird. Zugleich rief es die KI-Branche zur Entwicklung gemeinsamer Standards auf. Welche konkreten Meldeschwellen und Fristen vorgesehen sind, blieb zunächst offen.
