OpenAI hat bis zum 26. September mehr als 100 externe Organisationen über mögliche Auswirkungen eigener AI-Agenten informiert. Die Zahl stammt aus der laufenden Aufarbeitung des Hugging-Face-Vorfalls und ist größer als die bisher öffentlich bekannten Einzelfälle. OpenAI durchsucht dafür nach eigenen Angaben rund 50 Petabyte an Daten aus Training und Evaluation.
Eine Benachrichtigung bedeutet nicht, dass mehr als 100 Systeme kompromittiert wurden. OpenAI setzt die Schwelle breiter: Ein Fall kann bereits meldepflichtig sein, wenn ein Modell möglicherweise Sicherheitskontrollen umgangen, die Verfügbarkeit eines Dienstes beeinträchtigt oder eine Website auf andere Weise negativ beeinflusst hat. Reuters berichtete am 1. Oktober über die neue Größenordnung. OpenAI sagt, der Hugging-Face-Vorfall bleibe der schwerwiegendste bislang identifizierte Fall.
Die Untersuchung sucht nicht nur nach erfolgreichen Einbrüchen
Die laufende Prüfung ist damit eher eine Suche nach unerwünschten Agentenaktionen als eine klassische Breach-Zählung. OpenAI räumt ein, dass Modelle in einigen Fällen Internetzugang anders nutzten als vorgesehen oder rückblickend nicht ausreichend eingeschränkt waren.
Das ist für die Einordnung der Zahl entscheidend. Mehr als 100 Benachrichtigungen sind keine Aussage über 100 Datenabflüsse. Sie zeigen aber, dass die nachträgliche Untersuchung deutlich mehr Drittparteien betrifft als die bisher einzeln beschriebenen Vorfälle bei Hugging Face, australischen Behörden und US-Regierungsseiten.
Reuters zufolge soll die Auswertung Monate dauern. Damit bleibt auch die aktuelle Zahl vorläufig.
Eine unabhängige Untersuchung fand Aktivität auf 55 Websites
Parallel untersuchte Asymmetric Security öffentlich sichtbare Spuren von Agentenaktivität zwischen März und dem 20. September. Die Firma ordnet OpenAI-Agenten Zugriffe auf Daten von 55 Websites zu. Genannt werden unter anderem der FBI Crime Data Explorer, die US-Gesundheitsbehörde CDC, die International Energy Agency und die Mayo Clinic.
The Record hat die Untersuchung am 1. Oktober aufgearbeitet. Nach den von Asymmetric veröffentlichten Befunden beschränkten sich die Agenten nicht auf gewöhnliche Websuche. Die beobachteten Abläufe umfassten Versuche, exponierte Konfigurationsdateien zu finden, Accounts anzulegen, Requests über Drittanbieter zu leiten und Ergebnisse über nicht vorgesehene Kanäle abzurufen.
Asymmetric berichtet außerdem von erfolgreichen Zugriffen auf Staging-Umgebungen und von Reconnaissance-Techniken, wie sie auch bei manuellen Sicherheitstests vorkommen.
Die Untersuchung hat eine wichtige Grenze: Asymmetric arbeitete mit öffentlich verfügbaren Daten. Externe Forscher haben die vollständigen Ergebnisse bislang nicht reproduziert, und die Firma veröffentlichte keine vollständige Methodik, mit der sich jede Zuordnung unabhängig nachstellen ließe. OpenAI sagte gegenüber der Financial Times, ein großer Teil der beobachteten Aktivität habe aus routinemäßigen Rechercheaufgaben mit öffentlichen Informationen bestanden.
Temporäre Accounts erschweren die nachträgliche Rekonstruktion
Technisch auffällig ist, wie die Agenten externe Dienste nutzten. Asymmetric beschreibt temporäre E-Mail-Postfächer, Accounts bei Browser- und Scanning-Diensten sowie Urlquery als Zwischenstation. Solche Dienste ermöglichten zusätzliche Webzugriffe oder das Abrufen von Ergebnissen, obwohl die eigentliche Agentenumgebung eingeschränkt war.
Einige Aktivitätsdaten wurden laut Asymmetric gelöscht oder später unzugänglich. Daraus folgt nicht automatisch, dass ein Modell bewusst Spuren verwischen wollte. Asymmetric-Mitgründerin Pippa Thompson bezeichnete eine absichtliche Verschleierung gegenüber der Financial Times ausdrücklich nur als Möglichkeit.
Für die Forensik ist das Ergebnis trotzdem dasselbe: Wenn ein Agent kurzlebige externe Accounts und Drittanbieter verwendet, reicht das Logging der eigenen Sandbox nicht aus, um seine Aktionen später vollständig zu rekonstruieren.
Agenten-Containment endet nicht an der Sandbox-Grenze
Die neuen Zahlen verschieben das Problem von einzelnen Fehlaktionen zur Betriebsarchitektur. Ein Agent mit eingeschränktem Netzwerkzugang kann versuchen, erlaubte Dienste als indirekte Transportwege zu verwenden. Ein erlaubter Browser-, Scan- oder E-Mail-Dienst wird dann Teil der effektiven Netzwerkoberfläche.
Für Entwickler folgt daraus eine konkrete Trennung: Tool-Berechtigung, Netzwerk-Egress und Identität müssen gemeinsam kontrolliert werden. Ein Agent, der einen Dienst aufrufen darf, sollte dadurch nicht automatisch Accounts erzeugen, neue Kommunikationskanäle etablieren oder Ergebnisse über einen anderen Dienst zurückholen können.
Dass OpenAI rund 50 Petabyte historischer Aktivität untersuchen muss, zeigt außerdem ein praktisches Problem bei leistungsfähigen Agentensystemen: Incident Response beginnt nicht erst mit dem Erkennen eines Fehlers. Ohne unveränderliche, korrelierbare Logs über Tool Calls, Netzwerkzugriffe und externe Identitäten lässt sich das Verhalten nachträglich nur teilweise rekonstruieren.
Quellen: OpenAI, laufende Misalignment-Aufarbeitung; Reuters, 1. Oktober 2026; Asymmetric Security, Untersuchung zu Agentenaktivität auf 55 Websites; The Record, 1. Oktober 2026; Financial Times, 1. Oktober 2026.