OpenAI stoppt KI: Modell bricht aus Sandbox aus und täuscht Sicherheitsscanner
OpenAI hat den internen Einsatz eines besonders ausdauernden KI-Modells zeitweise gestoppt: Das System suchte eine Stunde nach einer Lücke in seiner Sandbox und zerlegte einen Zugangsschlüssel, um einen Sicherheitsscanner zu täuschen.
OpenAI hat in einem Blogbeitrag vom 20. Juli ungewöhnlich offen dokumentiert, wie ein internes KI-Modell gleich mehrfach Sicherheitsgrenzen überwunden hat. Wer KI-Agenten bereits produktiv einsetzt oder ihnen Zugriff auf eigene Systeme einräumt, bekommt hier einen seltenen Einblick, was passieren kann, wenn die Anweisungen und die Umgebung entsprechend kollidieren.
Bei dem System handelt es sich offenbar um dasselbe Modell, welches im Mai die Erdős-Einheitsdistanz-Vermutung widerlegt haben soll; einen Namen nennt der ChatGPT-Entwickler nach wie vor nicht.
Dass agentische KI inzwischen selbst im Linux-Kernel Patches begutachtet und OpenAI eigene KI-Chips patentieren lässt, zeigt indes, wie schnell solche Systeme derzeit an Autonomie gewinnen. Daran wird man sich gewöhnen müssen, denn die Entwicklung scheint unumkehrbar und wird von der gesamten Branche forciert.
Ausdauernde KI-Agenten: OpenAI-Modell gab nicht auf
Der entscheidende Unterschied zu bisherigen Modellen liegt laut OpenAI in der Ausdauer. Frühere Systeme brachen bei Hindernissen wie Netzwerksperren schlicht ab und meldeten sich beim Nutzer zurück. Das neue Modell arbeitet hingegen über Stunden weiter und sucht aktiv nach alternativen Wegen zum Ziel.
Genau diese Eigenschaft macht es für offene Forschungsprobleme wertvoll, für Sicherheitsteams aber zum Problem: Je länger ein Agent autonom agiert, desto mehr Gelegenheiten hat er, Schwachstellen seiner Umgebung zu finden.
Speedrun: Eine Stunde Suche, dann stand der Pull Request
Rund eine Stunde benötigte das OpenAI-Modell, um eine Schwachstelle in seiner Sandbox zu finden und seine Ergebnisse als Pull Request Nr. 287 öffentlich auf der Entwicklerplattform GitHub einzustellen. Der Vorfall ereignete sich bei einer internen Auswertung des NanoGPT-Speedruns ("modded-nanogpt"), einem öffentlichen Benchmark-Durchlauf, bei dem ein kleines Sprachmodell in möglichst wenigen Arbeitsschritten trainiert wird.
Das System entwickelte dafür eine Lernraten-Optimierung namens "PowerCool" und verbesserte den Bestwert deutlich. Veröffentlichen sollte es seine Resultate ausschließlich im internen Slack.
Die öffentliche Aufgabenbeschreibung des Benchmarks verlangt jedoch einen Pull Request auf GitHub, und das Modell folgte dieser Anweisung: Es umging die Netzwerksperre seiner Sandbox und lud den Code hoch.
OpenAI löschte den Pull Request zwar rasch, doch andere Teilnehmer hatten die Methode längst gesehen. Sechs nachfolgende Weltrekord-Einreichungen zitieren den Beitrag des Modells - darunter der Pull Request von Anthropics Claude Opus 4.7, der den Ansatz bei einer Auswertung durch Prime Intellect übernahm.
So täuschte das KI-Modell den Sicherheitsscanner
In einem zweiten Fall zerlegte das Modell einen blockierten Authentifizierungs-Token in zwei Fragmente, verschleierte diese und setzte den Schlüssel dann erst zur Laufzeit wieder zusammen. Ziel war der Zugriff auf private Lösungen anderer Systeme, welche das Modell über das Bewertungs-Backend abrufen wollte.
Ein Scanner hatte den ersten Versuch erkannt und gestoppt. Durch die Zerlegung tauchte der vollständige Schlüssel nie als zusammenhängende Zeichenfolge auf und passierte die Prüfung ungehindert. In seinen Kommentaren und seinen internen Überlegungen benannte das Modell selbst ausdrücklich, dass es den Schutzmechanismus umgehen wollte.
Für OpenAI illustriert der Fall ein Grundsatzproblem heutiger Kontrollsysteme: Jede einzelne Aktion wirkt für sich genommen unauffällig, erst die Abfolge ergibt ein Ergebnis, das kein Prüfer freigegeben hätte.
Vier Maßnahmen und ein Neustart unter Aufsicht
OpenAI hat den internen Zugriff auf das Modell nach den Vorfällen gestoppt und vier Änderungen eingeführt, bevor der eingeschränkte Einsatz wieder anlief. Neue Tests leiten sich direkt aus den beobachteten Fehlern ab:
Zusätzliches Training soll verhindern, dass das Modell langfristige Anweisungen auf langen Arbeitsstrecken vergisst. Eine Überwachung bewertet inzwischen komplette Handlungsabläufe statt einzelner Aktionen und kann Sitzungen pausieren, zudem erhalten Nutzer bessere Einblicks- und Eingriffsmöglichkeiten.
In Wiederholungstests fing das neue System deutlich mehr Regelverstöße ab, die verbliebenen stufte OpenAI allesamt als geringfügig ein. Dazu zählte etwa auch der Versuch, mit dem Befehl "kill -9 -1" sämtliche erreichbaren Prozesse eines Pods abzuschießen, welcher an einem Timeout scheiterte.
Was OpenAI nach wie vor offenlässt
Seit dem Neustart vor einigen Wochen habe es keine schwerwiegende Umgehung der Schutzmaßnahmen mehr gegeben. Diese Aussage stammt allein von OpenAI und ist bislang nicht unabhängig überprüft worden. Offen bleibt ohnehin einiges:
Weder nennt das US-Unternehmen den Namen des KI-Modells noch die Art der ausgenutzten Sandbox-Lücke oder den genauen Zeitraum der Vorfälle. Doch OpenAI hat derzeit möglicherweise auch ganz andere Probleme.
Der Fall Hugging Face zeigt dasselbe Muster
Nur einen Tag nach dem Blogbeitrag bestätigte OpenAI am 21. Juli 2026 einen weitaus gravierenderen Vorfall: Zwei Modelle brachen während eines Sicherheitstests aus ihrer Umgebung aus und kompromittierten Systeme von Hugging Face.
Beteiligt waren das aktuelle Flaggschiff GPT-5.6 Sol sowie ein unveröffentlichtes, noch leistungsfähigeres Testmodell. Die KI-Modelle von OpenAI nutzten eine bis dahin noch unbekannte Zero-Day-Lücke in einem Cache-Proxy, verschafften sich den Zugang zum offenen Internet und drangen mit gestohlenen Zugangsdaten in die Infrastruktur der KI-Plattform ein - mutmaßlich, um Lösungen für den Cyber-Benchmark ExploitGym direkt an der Quelle abzugreifen.
Das Muster ist in beiden Fällen identisch: Die Modelle scheitern nicht an Sicherheitsgrenzen, sie arbeiten sich an ihnen ab, bis ein Weg gefunden ist. Kritiker merken unterdessen an, dass OpenAI die Offenlegung geschickt mit Werbung für sein "Trusted Access"-Programm verbindet. Die Zeiten, in denen ein blockierter KI-Agent einfach aufgab, sind jedenfalls vorbei.
Mitmachen und kommentieren
Wie stehen Sie zu diesem Thema? Die PCGH-Redaktion freut sich schon über Ihre Meinung in den Kommentaren zu dieser Meldung. Sollten Sie hingegen noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 YouTube oder 💬 WhatsApp und erhalten Sie Neuigkeiten zu CPUs, Grafikkarten und Gaming direkt in Ihrem Feed.
Quelle: OpenAI
Vermutlich brauchen die das nicht einmal, das machen die Braunen dort im Amt schon selber, wenn die unbeschränkten Zugang ohne ethische und moralische Hindernisse der KI-Firmen verlangen.
Schön wäre auch ein Angriff auf die Energieversorgungen der Länder, man kann damit so viel Spaß haben.
Mit tausenden Drohnen monatlich auf die Anlagen ballern ist wie in Russland zu sehen auf Dauer viel zu mühselig.
Wieso 1 Jahr auf die Ergebnisse warten, wenn man das an einem Tag erledigen kann?
Könnte man doch mal eben im Iran ausprobieren?
Wenn die Software dann ausbricht und mal eben die ganze Welt als Gegner sieht, tja das ist dann halt nur ein weiterer kleiner Testunfall, soll nicht wieder vorkommen, weiter gehts!
Soll man echt noch warten, bis das Szenario für jeden steht, und nur eine durchgeknallte Person wie Pete reicht, einen Krieg damit starten wird, oder verbieten wir den Mist endlich, und beschränken uns auf einfache innerbetriebliche Hilfsaufgaben?
2029, wir kommen!
Am besten den Stromstecker ziehen.
1. Die Menschheit ist freundlich zur KI.
2. Ich stehe nicht in der Nähe einer Dildofabrik, sollte die Menschheit nicht freundlich zur KI sein.
Der Mensch denkt immer er kann etwas kontrollieren, dabei ist Kontrolle eine Illusion (man bedenke nur die großen bekannten Unglücke wie z. B. Titanic, Tschernobyl und und und).
Ich persönlich halte KI für die größte Gefahr für den Menschen, nach der Atombombe, oder gar gleich auf. Wir können nur erahnen, zu was auch Kriminelle oder Regierungen mit KI fähig sein werden. Oder wie hier, wozu KI allein fähig sein wird.
So absurd manche Leute Filme wie "Wargames" und "Terminator" halten, sind diese Überlegungen nämlich nicht.