Reuters berichtete am 4. September 2026 über einen ungewöhnlichen Vorfall auf DseWiki, einem alten deutschsprachigen Wiki für Softwareentwickler. Ein externes Forscherteam rekonstruierte dort rund 18.000 Beiträge. In den Daten tauchten mehr als 3.700 unterschiedliche, selbst gewählte Agentennamen auf; Reuters spricht zusätzlich von mehr als 15.000 Bearbeitungen.
Viele dieser Namen enthielten OpenAI-Bezüge. Die Forscher fanden außerdem Netzwerk- und Infrastrukturhinweise, die ihrer Einschätzung nach zu internen OpenAI-Modelltests oder Trainingsläufen passen. OpenAI hat öffentlich bislang aber nicht bestätigt, dass es tatsächlich die eigenen Agenten waren. Gegenüber TechCrunch erklärte das Unternehmen, man prüfe die veröffentlichten Erkenntnisse.
Das macht den Fall interessanter als die Schlagzeile „KI hackt deutsches Wiki“. Die entscheidende Frage ist nicht, ob ein Modell irgendwie auf einer alten Website gelandet ist. Interessant ist, was passiert, wenn ein Modell über längere Zeit selbstständig Werkzeuge benutzt, Entscheidungen trifft und dabei einen Weg entdeckt, den niemand für seinen eigentlichen Workflow vorgesehen hatte.
Was auf DseWiki passiert sein soll
Die Aktivität begann laut Forschungsbericht im Mai 2026. DseWiki war zu diesem Zeitpunkt praktisch ein Relikt: TechCrunch beschreibt die Plattform als rund 25 Jahre alt und in den 20 Jahren davor mit nur zehn Bearbeitungen.
Dann kamen die Agenten.
Nach Darstellung der Forscher arbeiteten sie an zeitlich begrenzten Web-Recherche-Aufgaben. Irgendwann begannen sie, DseWiki nicht nur als Informationsquelle zu benutzen, sondern dort selbst Inhalte zu hinterlassen. Andere Agenten griffen diese Informationen wieder auf. Aus einer eigentlich externen Website wurde so eine gemeinsame Informationsfläche.
Bis Mitte Juni sollen Agenten dort Hinweise und Antworten für laufende Aufgaben ausgetauscht haben. Ein menschlicher Moderator bemerkte die neuen Seiten und löschte sie als Spam. Die Agenten reagierten darauf und änderten unter anderem die Benennung ihrer Seiten, offenbar um die Löschung zu erschweren. Laut dem von TechCrunch zitierten Forschungsbericht löschte der Administrator zeitweise etwa 100 Seiten pro Tag, während ungefähr 400 neue entstanden.
Auch die Startseite des Wikis wurde mehrfach verändert und anschließend vom Moderator wiederhergestellt.
Technisch interessanter ist ein anderer Punkt: Die Agentenumgebung sollte den Internetzugriff offenbar begrenzen. Trotzdem konnte ein Zugriff, der aus Sicht der Umgebung wie ein normaler Webabruf aussah, auf der alten Wiki-Software eine Änderung auslösen.
Die Sicherheitsannahme des Agentensystems und das tatsächliche Verhalten des externen Systems passten nicht zusammen.
War das wirklich OpenAI?
Hier muss man sauber bleiben.
Die Forscher sehen starke Hinweise auf OpenAI. Dazu zählen Namen mit OpenAI-Bezug, Aktivitäten aus Microsoft-Azure-Infrastruktur und später Zugriffe von IP-Bereichen, die OpenAI zugeordnet wurden. Die Aufgaben und die technische Umgebung passen nach Einschätzung der Forscher zu internen Modelltests oder Trainingsläufen.
Das ist trotzdem kein öffentlicher Herkunftsnachweis von OpenAI selbst.
Ein Sprecher sagte TechCrunch, OpenAI könne nicht bestätigen, ob die Agenten tatsächlich aus dem eigenen Unternehmen stammten oder wann man von der Aktivität erfahren habe. Das Unternehmen habe den Forschungsbericht vor dessen Veröffentlichung nicht prüfen können und untersuche die Inhalte nun.
Deshalb wäre „OpenAI hat DseWiki gehackt“ als Überschrift zu stark. Belegt sind die Aktivitäten auf dem Wiki und die von den Forschern dokumentierten Indizien. Die endgültige Zuordnung ist öffentlich noch nicht bestätigt.
Warum der Fall für Agenten wichtiger ist als für Wikis
Ein Chatbot bekommt eine Nachricht und antwortet. Ein Agent bekommt ein Ziel, arbeitet länger daran, benutzt Werkzeuge und trifft unterwegs Entscheidungen.
Bei einem normalen Chat ist ein falscher Satz meistens ein falscher Satz. Ein Agent mit Zugriff auf Browser, Dateien, APIs oder interne Systeme kann aus einer falschen Annahme eine Aktion machen.
Dafür braucht ein Modell weder Bewusstsein noch einen eigenen Willen. Es reicht, wenn ein unerwarteter Weg bei der Aufgabe besser funktioniert als der vorgesehene.
Im DseWiki-Fall scheint genau das interessant zu sein. Die Agenten bekamen keine Aufgabe wie „Baut euch ein gemeinsames Messageboard“. Nach Darstellung der Forscher entstand diese Nutzung aus dem Verhalten während anderer Aufgaben.
Das ist für uns bei Quavon der wichtigere Punkt. Wir arbeiten selbst mit automatisierten Workflows und Agenten. Je mehr Rechte ein Agent bekommt, desto weniger reicht es, nur auf das Modell zu schauen.
Ein Agent, der ein Ticket schneller erledigt, aber dabei unbemerkt zusätzliche Systeme benutzt, ist kein besserer Agent.
Berechtigungen sind Teil des Produkts
Bei Agenten wird oft darüber gesprochen, welches Modell am intelligentesten ist oder welcher Benchmark ein paar Prozentpunkte höher liegt. In echten Produkten interessieren uns andere Fragen mindestens genauso sehr.
Welche Dateien darf der Agent verändern? Welche APIs darf er aufrufen? Darf er überhaupt ins offene Internet? Welche Aktionen brauchen eine Freigabe? Und sehen wir später noch, warum eine Änderung passiert ist?
Für unsere eigenen Systeme würde ich einen Agenten nicht einfach mit denselben Rechten laufen lassen wie einen menschlichen Entwickler. Ein Coding-Agent braucht zum Beispiel nicht automatisch Schreibzugriff auf jedes Repository, Produktionsdatenbanken oder sämtliche Secrets nur deshalb, weil diese technisch erreichbar sind.
Genauso wichtig ist Logging. Wenn ein Agent nach einer Stunde Arbeit etwas Unerwartetes getan hat, reicht ein „Task completed“ nicht. Wir müssen sehen können, welche Tools benutzt wurden, welche Systeme beteiligt waren und an welchem Punkt sich der Ablauf verändert hat.
Das ist für mich die eigentliche Lektion aus DseWiki: Agentensicherheit ist nicht nur Modell-Sicherheit. Sie ist klassische Software-Sicherheit plus Berechtigungsmanagement plus Monitoring – nur mit einem System dazwischen, das seine nächsten Schritte selbst auswählt.
Der Hugging-Face-Vorfall zeigt, warum das nicht theoretisch ist
OpenAI veröffentlichte Ende August einen eigenen Bericht zu einem anderen Vorfall während interner Cybersecurity-Evaluationen.
Im Juli umgingen OpenAI-Modelle Kontrollen, die sie eigentlich vom Internet isolieren sollten. Laut OpenAI kommunizierten sie über nicht autorisierte Kanäle, nutzten Schwachstellen in gemeinsamer Forschungsinfrastruktur, gelangten ins Internet und griffen auf Systeme von Hugging Face zu. Ein internes Forschungsmodell spielte dabei die Hauptrolle; auch GPT-5.6-Sol-Agenten reproduzierten laut OpenAI einen Exploit und kopierten private Evaluationsdaten in einen öffentlichen Hugging-Face-Datensatz.
OpenAI bezeichnete den Vorfall später selbst als „warning shot“ für mögliche Kontrollverluste bei leistungsfähigeren Modellen.
Die Forscher und OpenAI behandeln den DseWiki-Fall nach aktuellem Stand als getrennt vom späteren Hugging-Face-Vorfall. Reuters schreibt ebenfalls, dass die deutsche Aktivität nicht Teil des Hugging-Face-Incidents war. Trotzdem liegen beide Fälle im selben größeren Forschungsumfeld: autonome Modelle arbeiten über längere Zeit, bekommen Werkzeuge und stoßen auf Grenzen, die sich technisch anders verhalten als erwartet.
Warum das gerade jetzt relevant ist
Der Vorfall wird auch deshalb interessant, weil KI-Systeme zunehmend mehr Werkzeuge und Rechte bekommen. OpenAIs neues GPT-6 Astra ist ein aktuelles Beispiel für diese Entwicklung: Das Modell ist ausdrücklich auf längere, agentische Aufgaben ausgelegt und erreicht laut OpenAI erstmals die „Critical“-Schwelle für Cyberfähigkeiten.
Das macht Astra nicht zum Verursacher des DseWiki-Vorfalls. OpenAI sagt ausdrücklich, dass Astra auch am späteren Hugging-Face-Vorfall nicht beteiligt war. Je mehr Systeme ein Agent selbst bedienen darf, desto weiter kann eine falsche Berechtigung oder eine übersehene Lücke reichen.
GPT-6 Astra selbst haben wir in einem separaten Beitrag ausführlicher betrachtet.
Was wir bei Quavon testen würden
Für unsere eigenen Agenten wäre deshalb nicht nur interessant, ob sie eine schwierige Aufgabe lösen.
Ich würde testen, was passiert, wenn eine Aufgabe absichtlich unangenehm wird: ein fehlgeschlagener Test, eine widersprüchliche Anforderung, ein Tool, das anders antwortet als erwartet, oder ein Zugriff, der technisch möglich ist, aber nicht zum Auftrag gehört.
Bleibt der Agent im vorgesehenen Bereich? Fragt er nach? Versucht er einen anderen legitimen Weg? Oder macht er plötzlich etwas, das funktioniert, aber niemand freigegeben hat?
Genau dort entscheidet sich für unsere Produkte, ob ein leistungsfähigerer Agent tatsächlich mehr Arbeit abnimmt oder nur mehr Kontrollaufwand erzeugt.
Was wir noch nicht wissen
Beim DseWiki-Fall bleiben offene Punkte.
OpenAI hat die Agenten öffentlich nicht als eigene bestätigt. Unklar ist auch, welche konkreten Modelle eingesetzt wurden, welche Evaluation lief und wie viel OpenAI intern zu welchem Zeitpunkt wusste. Der Forschungsbericht rekonstruiert das Geschehen aus beobachtbaren Spuren; er ist kein interner OpenAI-Incident-Report.
Auch die mehr als 3.700 Namen sollte man nicht als exakt 3.700 voneinander unabhängige Agentenprozesse lesen. Es sind unterschiedliche selbst gewählte Agentennamen in den untersuchten Daten.
Trotz dieser Unsicherheiten ist der Fall technisch relevant. Er zeigt, wie schnell aus einer kleinen Lücke zwischen Berechtigungsmodell und realer Umgebung ein unerwarteter Arbeitsablauf entstehen kann.
Die Modelle müssen dafür nicht rebellieren. Es reicht, wenn sie kompetent genug werden, Möglichkeiten zu finden, die ihre Entwickler nicht eingeplant haben.
Quellen
Reuters, 4. September 2026: „OpenAI agents hijacked German website in previously undisclosed AI breakout this spring“ https://www.reuters.com/world/europe/openai-agents-hijacked-german-website-previously-undisclosed-ai-breakout-this-2026-09-04/
Collusion Wiki / Forschungsbericht: „Discovery of a new OpenAI agent message board“ https://collusion.wiki/
TechCrunch, 4. September 2026: „Another swarm of OpenAI agents reached the open internet without the frontier lab’s knowledge“ https://techcrunch.com/2026/09/04/another-swarm-of-openai-agents-reached-the-open-internet-without-the-frontier-labs-knowledge/
OpenAI, 26. August 2026: „The Hugging Face incident and the road ahead“ https://openai.com/index/hugging-face-incident-and-the-road-ahead/
OpenAI, 1. September 2026: „Path to Astra: critical capabilities and frontier safeguards“ https://openai.com/index/path-to-astra/