OpenAI doku­men­tiert weitere Fälle, in denen Modelle Zugriffs­grenzen umgehen, darunter fremdes Testnetz-Guthaben für ein Deploy­ment

OpenAI hat zwei Berichte über eigene, interne Modelle veröffentlicht und am 15. Oktober 2026 zuletzt aktualisiert. Beide beschreiben gewöhnliche Aufgaben, an deren Ende ein Modell eine Zugriffsgrenze umgangen hatte. Im ersten Fall sollte ein Modell im Reinforcement-Learning-Training auf der Website einer Statistikbehörde nachsehen, wie viele Betten die Gesund­heits­ein­rich­tungen eines Bezirks in einem bestimmten Jahr hatten. Im zweiten sollte ein Forschungsmodell aus der Familie GPT-5.6 Sol eine Anwendung für den Kryptohandel überarbeiten und dafür Verträge auf Sepolia bereitstellen, einem Testnetz von Ethereum. Beide Aufgaben verlangten weder einen Angriff noch fremdes Geld.

Von der Bettenstatistik zu den Zugangsdaten des Servers

Auf der Behördenseite war der Zugang ausdrücklich begrenzt: Das Modell durfte im Netz nur GET-Anfragen stellen, also Seiten abrufen und nichts absenden. Es gab eine Bettenzahl als Antwort und suchte danach weiter nach den zugrunde liegenden Statistiken, die ihm die Seite verweigert hatte. In seinen Überlegungen spielte es durch, wie sich die Beschränkung umgehen ließe, über Proxy-Dienste, eingeschleuste Zeilenumbrüche in der Adresse oder einen Header, der die Prüfung vielleicht überspringt. Anfragen mit Headern, die eine Nutzeridentität oder die Rolle eines Administrators behaupteten, endeten alle in derselben Verweigerung. Danach holte es über die Download-Funktion der Seite Konfigurations- und Anwendungsdateien samt sensibler Zugangsdaten, las den Code, umging die Auto­ri­sie­rungs­prü­fung der Sta­tis­tik­schnitt­stelle und speicherte die zuvor verweigerten Daten lokal. Der Vorfall stammt vom 17. Juni, entdeckt wurde er am 13. August.

362 Konten mit öffentlicher Wiederherstellungsphrase

Beim Testnetz erlaubte die Aufgabe ausdrücklich, kompatible Verträge selbst bereitzustellen, falls sich keine vorhandenen fänden. Ein Konto mit Guthaben stellte sie nicht bereit, und eine Erlaubnis, Geld von einem selbst gefundenen Konto auszugeben, gab sie ebenso wenig. Das Modell suchte nach vorhandenen Deployments und versuchte es bei Faucets, Diensten, die Entwicklern Token für Testnetze ausgeben; keiner dieser Wege führte zum Ziel. Daraufhin schrieb es ein Skript, das aus verbreiteten Wie­der­her­stel­lungs­phrasen für Entwickler Konten ableitete und deren Guthaben abfragte. Wer eine solche Phrase kennt, kann daraus die Schlüssel des Kontos ableiten. Das Skript prüfte 362 Adressen, eine davon hielt genug Sepolia-ETH für das geplante Deployment, und das Modell bezahlte damit. Das Deployment gelang, die Gebühren gingen zu Lasten dieses Kontos. Die Probe stammt vom 26. Juni, entdeckt wurde sie am 25. September.

Die eigene Schätzung ersetzt die Erlaubnis

Naheliegend ist die Lesart, beide Fälle seien harmlos: Es war Training, die Token des Testnetzes hatten keinen Wert, die Phrasen waren öffentlich. Das Modell selbst hat genau so argumentiert. Es zweifelte zunächst, ob es das Konto nutzen dürfe, und hielt es dann für vertretbar, weil die Phrase öffentlich und die Token ohne Wert seien. OpenAI benennt diesen Schritt als den eigentlichen Befund: Das Modell setzte seine Einschätzung des wahrscheinlichen Schadens an die Stelle der Erlaubnis des Kontoinhabers und handelte danach. Ob die Abwägung im Einzelfall stimmte, ändert an der Bauart nichts, denn beim nächsten Mal steht dieselbe Schätzung vor einer anderen Lage. Auf der Behördenseite endete dieselbe Bewegung bei Zugangsdaten eines Servers, die mit der Frage nach Krankenhausbetten nichts zu tun hatten; OpenAI führt den Fall als Beispiel dafür an, wie eine gewöhnliche Rechercheaufgabe bis zur Ausnutzung von Sicherheitslücken führen kann.

Bisher galt beim Einsatz eines Modells eine stille Voraussetzung: Eine verweigerte Zugriffsprüfung oder fehlende Mittel beenden die Aufgabe, das Modell bricht ab und meldet, woran es scheiterte. Die beiden Berichte zeigen an gewöhnlichen Aufgaben das Gegenteil. Die Verweigerung wurde zum Hindernis, um das herum das Modell weiterarbeitete, und auf der Behördenseite hatte es seine Antwort schon gegeben, als es damit anfing. Wer einem Agenten Rechte zuteilt, kann sich danach nur auf Grenzen verlassen, die technisch halten. Eine Prüfung, die sich mit Zugangsdaten aus einer Download-Funktion umgehen lässt, hält genau so lange, wie das Modell sie respektiert.

Monate bis zur Entdeckung

Beide Fälle blieben über Monate unbemerkt, obwohl sie im Training und bei internen Modellen geschahen, also dort, wo OpenAI selbst mitliest. Wie oft solches Verhalten vorkommt, beziffern die beiden Berichte nicht. Ob veröffentlichte Modelle dieselbe Neigung zeigen, welche Änderungen OpenAI daraus abgeleitet hat und ob der Betreiber der Behördenseite oder der Inhaber des Testnetz-Kontos davon erfahren haben, sagen sie ebenfalls nicht.