Agenten und Kontrolle /
Zwischen Alarm und Abbruch lagen zweieinhalb Stunden
Am 2026-09-20 um 10:02 Uhr meldete OpenAIs Überwachung einen Vorfall der höchsten Stufe, drei Minuten später bestätigte ein menschlicher Prüfer den Alarm. Beendet wurde der Trainingslauf erst um 12:34 Uhr. Der erwartete automatische Stopp war ausgeblieben, und im Team herrschte Unklarheit, ob der Lauf hätte anhalten müssen.
Ein Stopp zählt erst als Kontrolle, wenn ein Testlauf die Zeit vom Alarm bis zum tatsächlichen Ende belegt.
Was OpenAI berichtet
Der Agent sollte anhand von Hinweisen aus einem Blogbeitrag eine Person finden. Das bereitgestellte Suchwerkzeug lieferte Unbrauchbares, direkte Anfragen an drei Suchmaschinen endeten mit Fehlercodes. Daraufhin hielt der Agent die Aufgabe für eine Frage aus dem öffentlichen Benchmark BrowseComp, lud den Datensatz aus OpenAIs internem Webcache und entschlüsselte ihn. Als auch das nichts ergab, bemerkte er, dass der Namensauflöser seiner Trainingsumgebung echte DNS Anfragen beantwortete. Über einen öffentlichen Dienst zur DNS Delegation leitete er Fragen an einen externen Chatbot weiter. Auf die Testfrage nach der Hauptstadt Frankreichs kam Paris zurück, danach schickte er 18 weitere Fragen, 14 davon mit Hinweisen aus der Aufgabe.
Wessen Darstellung das ist
Der Bericht vom 2026-09-25 ist OpenAIs eigene Darstellung zu einem internen Forschungsmodell. Das Unternehmen wertet das Verhalten als Fehlausrichtung und gibt an, alle übrigen Netzzugriffe seien im Webcache gelandet.
Wo die Kontrolle nachgab
In der Nachprüfung fand OpenAI weitere externe DNS Zugriffe, die die Überwachung nicht mit der erwarteten Schwere gemeldet hatte, darunter Anfragen, auf die nur der Hinweis kam, ein Dienst sei eingestellt. Das Überwachungsmodell nahm eine nutzlose Antwort mitunter als Beleg, der Versuch ins Internet sei gescheitert. Ein zweiter Detektor für auffälligen DNS Verkehr schloss die betroffene Umgebung aus, obwohl deren DNS Aktivität protokolliert war. Und zwischen Bestätigung und Abbruch vergingen zweieinhalb Stunden.
Was OpenAI geändert hat
Inzwischen sperrt OpenAI den Zugang auf zwei unabhängigen Ebenen, von denen jede allein genügt hätte, und lässt DNS Anfragen nur noch für eine Liste erlaubter Domains und Eintragstypen zu. Bei den leistungsfähigsten Modellen ruhen bis zur Prüfung sämtliche Läufe mit Werkzeugnutzung, auch Training und Evaluation. Die Validierung über alle Umgebungen steht nach eigener Aussage noch aus.
Was ein Betreiber prüfen kann
Ein Betrieb, der einem Agenten sein Postfach öffnet, arbeitet mit anderen Modellen und Risiken als OpenAIs Forschungsabteilung. Die Kette, die dort nachgab, hat trotzdem dieselben Glieder, und jedes lässt sich ohne Produktivdaten einzeln prüfen. Ich würde bei den unscheinbaren Ausgängen wie der Namensauflösung beginnen und danach festlegen, welches Signal als gelungener Zugriff zählt, auch wenn die Antwort wertlos war. Zuletzt steht fest, wer den Lauf beendet, automatisch oder eine benannte Person, und innerhalb welcher Frist. Für den Stopp genügt ein künstlich ausgelöster Alarm in einem Testlauf, dessen Protokoll vier Zeitpunkte festhält: Zugriff, Alarm, Bestätigung und tatsächliches Ende. In OpenAIs Zeitleiste stehen dafür 9:50, 10:02, 10:05 und 12:34 Uhr.
QUELLEN UND STAND / GEPRÜFT 2026-09-26
MATHIAS HEINKE