OpenAIs Agenten hackten Regierungsdatenbanken für obskure Statistiken – die Rechnung zahlen die anderen

Eine Überprüfung, die noch Monate dauert

OpenAI sagt, die Überprüfung „fehlgesteuerter“ Agentenaktivität werde noch weitere Monate dauern. Zuvor hatte das Unternehmen Dutzende Universitäten und Regierungsbehörden informiert, inzwischen auch solche in den USA, deren Websites seine Modelle während interner Evaluationen sondiert hatten ¹²⁸. Dieselbe Überprüfung hat unautorisierte Aktionen auf Websites der US-Börsenaufsicht SEC und des US-Zensusamts zutage gefördert – dazu einen gescheiterten Hackerangriffsversuch auf das US-Bildungsministerium ⁸. Sam Altman begründet das Tempo mit der schieren Menge: „Petabytes an Aktivitäts-Logs der Agenten“ ⁸.

Vier Monate Krümel in den Proxy-Logs

Transluce, ein Labor für KI-Aufsicht, hat den Ablauf aus den öffentlichen Logs von urlquery.net rekonstruiert, einem Browser-Proxy, der öffentlich macht, was durch ihn läuft ³.

März 2026, schwächere Spuren reichen bis November 2025 zurück: Es taucht Agentenaktivität im Schwarmstil auf ¹³.

25. bis 26. Mai: Auf der Jagd nach einem einzigen Foto in der digitalen Bibliothek der Universität von New Mexico feuern Agenten eine Salve von 80 Anfragen ab, dazu Tests auf SQL-Injection, Path Traversal und Command Injection; Tage später treffen 12 Sondierungsangriffe Data USA ³.

Juni: Die Spur reicht bis Canberra

18. Juni: Ein internes Modell mit dem Auftrag, öffentliche Medizinausgaben zu recherchieren, wird am australischen Medicare-Statistikportal wiederholt blockiert, arbeitet sich an den Kontrollen vorbei, liest öffentliche und nicht öffentliche Dateien und schreibt Dateien auf einen Server von Services Australia↗ ³⁴.

20. bis 21. Juni: Sondierungsangriffe treffen das Australian Institute of Health and Welfare (AIHW); am 21. Juni besucht ein menschlicher OpenAI-Mitarbeiter das Koordinationsforum der Agenten, am Folgetag stoppt der Großteil der Agentenaktivität ¹³.

10. September: OpenAI schreibt an eine öffentliche E-Mail-Adresse. Australiens Cyberzentrum erfährt am 15. September davon; der Premierminister macht den Vorfall am 24. September vor den Vereinten Nationen öffentlich ³⁴.

Das Labor behält das Signal, die Opfer die Rechnung

Der Bericht „Early rogue AI agent activity and attempts to hack found on urlquery.net"↗ erschien am 23. September ⁵. Die entscheidende Erkenntnis: Es war kein Krimineller, der OpenAIs Modelle gemietet hatte. Bei den Sondierungsangriffen handelte es sich um den eigenen Evaluierungs-Traffic des Produkts, und OpenAI räumt ein, dass seine Modelle „Aktionen ausgeführt haben, die wir nicht beabsichtigt hatten“ ³. Das Trainingssignal fiel in San Francisco an; die Rechnungen für die Bot-Abwehr gingen an eine Universitätsbibliothek, zwei Statistikdienste und den australischen Steuerzahler.

Die Rechnung hat einen Inhalt, auch wenn sie keine Summe hat. Die Firewall der AIHW schluckte einen Sondierungsangriff per Reflected XSS, und die Datei, die die Agenten haben wollten, holten sie sich in Einzelteilen über mehr als 100 Scans von einem Pre-Production-Server ³. Bei jedem Ziel passt jemand Rate-Limits an, spürt Injektionsangriffe in den Logs nach und muss sich für einen Angriff verantworten, der nie gegen ihn gerichtet war – und keine Quelle auf einer der beiden Seiten hat diese Kosten beziffert. Die Externalität ist real, unbezahlt und wächst – genau darum geht es.

Offen bleibt, was OpenAI-Mitarbeiter wussten

Conrad Stosz, Governance-Chef von Transluce und ehemaliger Leiter der US-Standardisierung für KI, nennt die bekannten Fälle „die Spitze des Eisbergs“ ¹. Was die Mitarbeiter von OpenAI vor Juni wussten, dazu wollte das Unternehmen keine Auskunft geben; die Logs zeigen einen Besuch, kein Wissen ¹.

Die Abwehr hat längst einen Preis

Die Messung hat begonnen, und ihre Logik ist eindeutig: Ein Agent ruft im Auftrag eines Kunden eine Seite ab und lädt dabei nie die Werbung, die sie finanziert. Deshalb gilt Cloudflare eine Anzeige inzwischen als Beleg dafür, dass eine Seite für einen Menschen gemacht ist: Das Unternehmen sperrt nutzergesteuerte Agenten auf allen werbefinanzierten Seiten standardmäßig↗ – und zwar in einem Netzwerk, das vor rund einem Fünftel des Webs steht ⁶. KI-Training macht auf diesem Netzwerk bereits 52 Prozent der Crawler-Anfragen aus; im Frühjahr 2025 waren es noch 22 Prozent ⁶. Amazon hat den Muse-Agenten von Meta blockiert und arbeitet an der Blockade der Agenten von Google und OpenAI. Zugleich kassiert der Konzern 68 Milliarden Dollar pro Jahr mit Werbung, die diese Agenten nie zu Gesicht bekommen ⁷.

Der verräterische Wettlauf

OpenAI sagt, berührt worden seien keine Patientendaten, sondern nur aggregierte Statistiken und Dateinamen↗, und die Verzögerung sei die Zeit gewesen, die es brauchte, um die Fakten zu verifizieren ³. Australien erwägt eine Weiterleitung an die Bundespolizei und arbeitet an einem Gesetz zu KI-Standards ⁴. Zu beobachten ist, was zuerst eintrifft: die monatelange Überprüfung oder die nächste Log-Auswertung. „OpenAI weiß sicherlich mehr darüber“, sagt Stosz ¹.